Как проверить сохранённые пароли браузера после заражения компьютера

Если компьютер был заражён вредоносной программой, сохранённые в браузере пароли нужно считать потенциально скомпрометированными. Современные стилеры — класс вредоносного ПО, ориентированный именно на кражу данных — умеют извлекать пароли из Chrome, Firefox, Edge и других браузеров за секунды, даже если хранилище защищено системным шифрованием. Это не повод для паники, но повод действовать по чёткому плану: определить, какие учётные записи под угрозой, сменить критичные пароли, включить двухфакторную аутентификацию и только потом возвращаться к обычной работе. Ниже — пошаговый порядок действий и объяснение, почему каждый шаг важен.

Почему заражение означает компрометацию паролей

Многие пользователи считают, что раз браузер хранит пароли «в зашифрованном виде», то вредоносная программа их не достанет. Это опасное заблуждение. Шифрование хранилища паролей защищает данные от посторонних людей, физически имеющих доступ к файлу на диске, но не от программ, работающих внутри вашей учётной записи Windows или macOS. Браузер сам расшифровывает пароли, когда вы заходите на сайт, — значит, любой код с правами вашей учётной записи может сделать то же самое.

Существуют целые семейства вредоносных программ (стилеры, инфостилеры), которые при запуске автоматически собирают:

• пароли и данные автозаполнения из всех установленных браузеров;
• файлы cookies и сессионные токены — с их помощью злоумышленник может войти в аккаунт даже без пароля;
• данные банковских карт, сохранённые в браузере;
• содержимое криптовалютных кошельков и файлы конфигурации FTP-клиентов, мессенджеров, почтовых программ.

Собранный архив обычно отправляется на сервер злоумышленника в первые минуты после заражения. Поэтому важно понимать: если заражение подтверждено или очень вероятно, исходить нужно из худшего сценария — данные уже скопированы. Задача проверки — не выяснить, «утекли ли пароли на самом деле», а быстро закрыть все возможные точки входа.

Первый шаг: изолируйте компьютер

Прежде чем что-либо проверять и тем более менять пароли, отключите заражённую машину от интернета и не вводите на ней никаких учётных данных. Логика простая: пока вредоносная программа активна, каждый новый пароль, который вы введёте, может быть перехвачен кейлоггером или перехватчиком экрана. Смена паролей с заражённого устройства — типичная ошибка, которая сводит все усилия на нет.

1. Отключите компьютер от сети: выньте кабель Ethernet или выключите Wi-Fi. Полное выключение питания допустимо, если вы не планируете сразу проводить анализ — часть вредоносного ПО живёт только в памяти и исчезает после перезагрузки, но рассчитывать на это нельзя.
2. Все дальнейшие действия — смену паролей, проверку активности в аккаунтах, настройку защиты — выполняйте с другого, заведомо чистого устройства: телефона, планшета или второго компьютера.
3. Если заражённый компьютер нужен для работы, верните его в строй только после полной переустановки системы или подтверждённой очистки надёжным антивирусом — и только после того, как пароли будут заменены.

Какие пароли менять в первую очередь

Менять все пароли подряд — долго и утомительно, поэтому действуйте по приоритетам. Критичность учётной записи определяется не тем, «сколько в ней хранится», а тем, какой ущерб принесёт доступ к ней злоумышленника и какие другие аккаунты через неё можно восстановить.

Приоритет 1: почта и восстановление доступа

Основной почтовый ящик — главный ключ ко всему остальному. Через письмо «Забыли пароль?» злоумышленник может сбросить доступ практически к любому сервису, привязанному к этому адресу. Смените пароль почты первым, с чистого устройства, и сразу проверьте:

• правила пересылки и фильтры писем — злоумышленники иногда добавляют скрытое правило, пересылающее письма со словом «пароль» или «код» на чужой адрес;
• привязанный номер телефона и резервный адрес — не заменены ли они;
• список активных сессий и приложений с доступом — завершите все чужие сеансы.

То же касается аккаунтов Apple ID, Google-аккаунта и Microsoft-аккаунта: они управляют не только почтой, но и синхронизацией, резервными копиями, а в ряде случаев и платёжными данными.

Приоритет 2: финансы

Банковские приложения, онлайн-банки, платёжные системы, брокерские и криптовалютные сервисы. Здесь действуйте особенно внимательно:

• смените пароли и проверьте историю операций за период с момента возможного заражения;
• если в браузере были сохранены карты — заблокируйте их и перевыпустите, либо как минимум установите лимиты на онлайн-операции;
• для криптовалютных кошельков, если seed-фраза или файл ключей хранились на заражённом диске, средства нужно перевести на новый кошелёк, созданный на чистом устройстве. Смена пароля к старому кошельку не поможет, если скомпрометирован сам ключ;
• при подозрении на несанкционированные операции сразу обращайтесь в банк — во многих случаях быстрая блокировка повышает шансы на возврат средств.

Приоритет 3: рабочие и административные аккаунты

Если заражённый компьютер использовался для работы, уведомьте IT-отдел или ответственного за безопасность. Под угрозой могут быть доступы к корпоративным системам, VPN, панелям управления сайтами, облачным сервисам компании, репозиториям кода. Компрометация одного рабочего ноутбука нередко означает компрометацию всей инфраструктуры — особенно если с него заходили в административные панели.

Приоритет 4: социальные сети, мессенджеры, госуслуги и всё остальное

Аккаунты мессенджеров часто используют для рассылки мошеннических сообщений вашим контактам, поэтому их тоже стоит защитить рано. Далее по убыванию важности: госуслуги и электронная подпись, облачные хранилища (в них могут лежать сканы документов), маркетплейсы с привязанными картами, затем все остальные сервисы.

Практический ориентир: если пароль использовался больше чем в одном месте, меняйте его везде, где он повторялся, — и впредь не допускайте повторов. Повторное использование паролей превращает одну утечку в цепочку взломов.

Проверка следов доступа в аккаунтах

Пароль — не единственный способ входа. Даже после его смены злоумышленник может оставаться в системе через сохранённую сессию, поэтому проверьте в каждом важном сервисе:

1. Список активных сессий и устройств (обычно находится в настройках безопасности). Завершите все сеансы, кроме текущего, особенно те, что запущены с незнакомых устройств или из других стран.
2. Историю входов: время, устройство, IP-адрес, географию. Единичные «странные» записи могут быть ложной тревогой (например, вход через мобильный оператор с другого региона), но систематические чужие входы — признак активного доступа.
3. Настройки безопасности: привязанные телефоны, резервные почты, приложения с доступом к аккаунту (OAuth-интеграции). Удалите всё незнакомое.
4. Правила обработки почты и автответы — классическое место для скрытых закладок злоумышленника.
5. Историю действий: отправленные письма, платежи, изменения профиля. Это поможет оценить, успел ли злоумышленник что-то сделать.

Если в аккаунте обнаружены чужие правила пересылки, новые устройства или изменения данных — это уже не гипотетическая утечка, а подтверждённый доступ. В этом случае, помимо смены пароля, стоит включить принудительный выход из всех сессий (большинство крупных сервисов имеют такую опцию) и внимательно проверить связанные аккаунты.

Как понять, какие пароли вообще были сохранены в браузере

Чтобы оценить масштаб, нужно вспомнить или посмотреть, что именно хранилось в браузере на заражённой машине. Сделать это можно после очистки системы, но полезно понимать механику:

• В Chrome, Edge, Opera и других браузерах на движке Chromium пароли хранятся в локальной базе, зашифрованной ключом, привязанным к учётной записи Windows (через механизм DPAPI). Стилеры умеют расшифровывать эту базу, запускаясь от имени пользователя.
• В Firefox используется собственное хранилище с мастер-паролем. Если мастер-пароль не был установлен, файл с паролями расшифровывается без каких-либо препятствий.
• Если вы пользовались синхронизацией (Google Sync, Firefox Sync, iCloud Keychain), пароли хранились также в облаке. Это упрощает восстановление на чистом устройстве, но означает, что кража локальных данных могла затронуть и облачную копию — точнее, доступ к ней через украденную сессию.

Вывод для проверки: считайте скомпрометированными все пароли, которые были сохранены в браузерах на заражённом компьютере, независимо от того, каким браузером вы пользовались. Исключение — пароли, сохранённые в отдельном менеджере паролей с мастер-паролем и, желательно, с аппаратной защитой: они значительно лучше защищены, хотя и не дают стопроцентной гарантии против кейлоггера, перехватившего ввод мастер-пароля.

Очистка системы перед возвратом к работе

Менять пароли бессмысленно, если потом вы снова введёте их на заражённой машине. Порядок такой: сначала чистка, потом смена паролей, потом возвращение к обычной работе.

1. Просканируйте систему несколькими инструментами: штатным антивирусом и одной из специализированных утилит для лечения (такие утилиты предлагают крупные антивирусные вендоры и распространяют их бесплатно). Разные продукты находят разное, поэтому двух проверок обычно достаточно для базовой уверенности.
2. Проверьте автозагрузку, расширения браузера и запланированные задачи: часть заражений живёт именно в расширениях и задачах планировщика, а не в исполняемых файлах.
3. Если заражение серьёзное, данные для входа в банковские системы обрабатывались на компьютере или вы не уверены в полноте очистки — самый надёжный вариант это переустановка операционной системы с форматированием системного раздела. Это единственный способ, дающий высокую уверенность в отсутствии скрытых компонентов.
4. После очистки обновите систему и браузеры, удалите все сохранённые пароли из браузеров (они всё равно считаются скомпрометированными) и очистите cookies.

Как хранить пароли после инцидента

Возвращаться к привычке хранить пароли в браузере не стоит. Браузерное хранилище удобно, но именно оно стало точкой массовой утечки. Разумная альтернатива:

• Менеджер паролей с мастер-паролем и шифрованием на устройстве. Он же решает проблему уникальных паролей: вам нужно помнить один, остальные генерируются и хранятся автоматически.
• Двухфакторная аутентификация на всех важных аккаунтах. Предпочтительны приложения-аутентификаторы или аппаратные ключи; SMS-коды лучше, чем ничего, но уязвимы к перехвату номера.
• Резервные коды восстановления — сохраните их офлайн, в бумажном виде или на зашифрованном носителе, а не в том же менеджере и не в облаке.
• Для самых критичных аккаунтов рассмотрите аппаратный ключ безопасности (стандарт FIDO2): он защищает даже от фишинга, поскольку привязан к домену сайта.

Отдельно про мастер-пароль менеджера: если он вводился на заражённом компьютере, его тоже нужно сменить, а в идеале — пересоздать хранилище. Кейлоггер мог записать ввод.

Типичные ошибки после заражения

• Смена паролей с заражённого устройства. Новый пароль тут же попадает к злоумышленнику. Всегда используйте чистое устройство.
• Смена пароля без завершения сессий. На многих сервисах активная сессия продолжает работать после смены пароля. Завершайте все сеансы принудительно.
• Игнорирование почты. Пользователи меняют пароли от соцсетей и банков, но забывают про почтовый ящик, через который восстанавливается доступ ко всему.
• Уверенность, что «антивирус всё почистил». Современные загрузчики вредоносного ПО умеют маскироваться. При серьёзном заражении переустановка системы дешевле и надёжнее, чем недели сомнений.
• Возврат старых паролей. Если пароль утёк, использовать его снова нельзя нигде.
• Забытые связанные сервисы. Проверьте не только основные аккаунты, но и старые, редко используемые: доступ к ним через повтор пароля или почту может навредить не меньше.

Сценарии: что делать в зависимости от ситуации

Ситуация	Что делать
Антивирус обнаружил и удалил стилер, вы быстро заметили заражение	Считайте пароли скомпрометированными: смените почту, финансы, рабочие доступы, завершите сессии, проверьте историю входов. Дополнительная проверка системы вторым сканером.
Заражение обнаружено спустя дни или недели	Тот же список, но с обязательной проверкой истории операций в банках, исходящих писем, изменений в аккаунтах и уведомлением контактов, если с ваших мессенджеров рассылали спам.
На компьютере хранились ключи криптовалютных кошельков	Немедленно создайте новый кошелёк на чистом устройстве и переведите средства. Смена паролей не защищает от кражи самих ключей.
Компьютер рабочий, есть доступ к корпоративным системам	Сразу сообщите в IT/безопасность, не пытайтесь скрыть инцидент. Смена корпоративных паролей и аудит доступа — зона ответственности специалистов.
Пароли хранились в менеджере паролей, а не в браузере	Риск ниже, но не нулевой: смените мастер-пароль, проверьте историю входов в сам менеджер, при сомнениях пересоздайте хранилище.

Как снизить риск повторения

После того как инцидент закрыт, стоит закрепить результат несколькими привычками:

• не сохраняйте пароли и карты в браузере — используйте менеджер паролей;
• включите двухфакторную аутентификацию хотя бы на почте, банке и основных рабочих сервисах;
• обновляйте систему и браузер promptly — большинство заражений эксплуатирует известные уязвимости, для которых уже есть исправления;
• не запускайте исполняемые файлы из писем и мессенджеров, не устанавливайте программы из непроверенных источников — стилеры чаще всего попадают на машины через «взломанные» программы, поддельные установщики и вредоносные вложения;
• периодически просматривайте список активных сессий в важных аккаунтах — это занимает пару минут и позволяет заметить чужой доступ до серьёзного ущерба;
• проверяйте, не фигурируют ли ваши адреса в публичных утечках, через сервисы мониторинга утечек — это не заменяет защиту, но даёт ранний сигнал.

Что важно запомнить

Главный принцип: после подтверждённого заражения сохранённые в браузере пароли считаются утраченными, и вопрос не в том, проверять ли их безопасность, а в том, как быстро их заменить. Порядок действий: изолировать устройство, с чистого компьютера сменить пароль почты и финансовых сервисов, завершить все сессии, проверить настройки безопасности аккаунтов, очистить или переустановить систему и только потом возвращаться к работе. Дальнейшая защита строится на менеджере паролей, уникальных паролях и двухфакторной аутентификации.

Если инцидент затронул рабочие системы, банковские счета или криптовалюту, не действуйте в одиночку: уведомьте ответственных специалистов и, при признаках хищения средств, банк или правоохранительные органы. Чем быстрее зафиксирован факт, тем выше шансы ограничить ущерб.

Материал носит информационный характер и не заменяет консультацию специалиста по информационной безопасности, а также официальные рекомендации банков и сервисов. Конкретные действия при инциденте зависят от типа заражения, используемых систем и требований организаций, в которых у вас есть аккаунты.