Почему бытовая кибербезопасность начинается не с антивируса

Потеря доступа к почте, банковскому приложению или аккаунту с документами обычно обходится дороже, чем покупка любого защитного сервиса. Один скомпрометированный пароль может открыть злоумышленнику доступ сразу к десяткам сайтов, если он повторяется. Незащищённый телефон в кафе, публичная камера с заводским паролем или открытый наружу Home Assistant могут стать точкой входа к деньгам, персональным данным и домашней сети.

Практичная цель — не построить «непробиваемую крепость», а сделать атаку неудобной и невыгодной: для входа потребуется уникальный пароль, второй фактор, подтверждение на устройстве, а банковская карта будет иметь ограниченный лимит. Базовую схему можно настроить за один вечер, а затем поддерживать за 15–20 минут в месяц. Она подходит для квартиры, офиса, поездки, общественного Wi‑Fi, автомобиля, дачи и умного дома.

Приоритет простой: сначала защищают главный почтовый ящик и банковские сервисы, затем документы и мессенджеры, после этого — роутер, камеры, IoT-устройства и Home Assistant. Такой порядок важен: почта часто используется для сброса паролей, а доступ к роутеру позволяет перенаправлять трафик всей домашней сети.

Пароли и второй фактор: собрать единый контур доступа

Основной метод — хранить уникальные длинные пароли в менеджере паролей и включить двухфакторную аутентификацию на критичных сервисах. Не нужно придумывать десятки запоминающихся комбинаций: менеджер генерирует случайные пароли длиной 16–24 символа и заполняет их только на подходящем сайте. Это одновременно снижает риск повторного использования паролей и помогает заметить фишинговую страницу: автозаполнение не сработает, если домен отличается хотя бы одним символом.

Для личного использования подойдут Bitwarden, 1Password, Proton Pass или KeePassXC. Bitwarden удобен как кроссплатформенный вариант с браузерным расширением и приложениями для телефона; KeePassXC полезен тем, кто предпочитает хранить зашифрованную базу локально. Выберите один основной инструмент, включите синхронизацию только после настройки сильной мастер-фразы и не храните мастер-пароль в заметках, браузере или переписке.

• Создайте мастер-фразу из 4–6 случайных слов либо пароль длиной не менее 20 символов. Она должна быть уникальной и не использоваться нигде больше.
• Начните перенос не со всех сайтов подряд, а с почты, банка, госуслуг, облачных дисков, маркетплейсов, операторов связи, рабочих VPN, мессенджеров и аккаунтов умного дома.
• Для каждого сервиса создавайте новый пароль. Повторять допустимо только пароль от самого менеджера — и только потому, что он не должен использоваться нигде более.
• Сохраните коды восстановления MFA в зашифрованной заметке менеджера и дополнительно на бумаге в недоступном посторонним месте.
• Проверьте список активных сессий в почте, Google, Apple ID, Microsoft Account, Telegram и банковских приложениях; незнакомые устройства завершите.

Двухфакторная аутентификация должна быть включена прежде всего для почты, финансовых сервисов, облака, домена, VPN, менеджера паролей и административных панелей. Одноразовые коды из приложения-аутентификатора лучше SMS: номер телефона можно попытаться перехватить через перевыпуск SIM-карты или социальную инженерию. Для кодов подойдут 2FAS, Aegis, Microsoft Authenticator, Google Authenticator или встроенный TOTP-генератор менеджера паролей.

Самый сильный вариант для почты, облака, админ-панелей и рабочих аккаунтов — аппаратный ключ FIDO2/WebAuthn, например YubiKey или ключи других совместимых производителей. Такой вход проверяет настоящий домен сайта и значительно лучше защищает от фишинга; CISA называет FIDO/WebAuthn широко доступным фишинг-устойчивым методом аутентификации. Рекомендации CISA по фишинг-устойчивой MFA

Типичная ошибка — включить MFA, но оставить единственным способом восстановления старую почту без защиты или номер телефона с простым PIN-кодом. Проверьте резервные адреса, задайте PIN для SIM-карты, отключите неиспользуемые способы входа и не подтверждайте push-запрос, если сами не начинали авторизацию. При «усталости от уведомлений» злоумышленник рассчитывает, что пользователь однажды нажмёт «Разрешить»; используйте подтверждение числом либо коды из приложения.

Деньги и документы: разделить риски, лимиты и каналы оплаты

Для повседневных покупок в интернете используйте отдельную виртуальную карту или цифровую карту с ограниченным остатком. На ней держите сумму под ближайшую покупку, а не все доступные средства. Если реквизиты утекут из магазина, фишинговой формы или подписочного сервиса, ущерб будет ограничен балансом и установленным лимитом, а основная карта останется изолированной.

Удобная схема состоит из трёх уровней. Основная карта или счёт не используется для оплаты на малоизвестных сайтах. Виртуальная карта применяется для маркетплейсов, подписок и разовых покупок. Отдельная карта либо временный платёжный лимит используется для поездок, бронирований, аренды и зарубежных сервисов. Если банк поддерживает управление лимитами, запретите снятие наличных и оплату в интернете там, где это не требуется, а push-уведомления включите для каждой операции.

• Установите лимит на интернет-покупки: например, сумму одной планируемой покупки плюс 10–20% на возможную конвертацию или сервисный сбор.
• Отключайте оплату в интернете у основной карты, если функция доступна в приложении банка.
• Не отправляйте фото карты, CVV/CVC, коды из SMS и экран подтверждения оплаты даже «службе доставки», «работнику банка» или «покупателю с доски объявлений».
• Для подписок заведите отдельную карту и раз в месяц проверяйте список автосписаний; ненужные подписки отменяйте до даты продления.
• Для рабочих расходов не смешивайте личную и корпоративную оплату в одном браузерном профиле и не сохраняйте корпоративные карты в личных магазинах.

Документы требуют отдельной дисциплины. Сканы паспорта, договоров, медицинских документов, свидетельств и резервные коды не должны лежать в папке «Загрузки», обычном чате или публичной ссылке на облачный диск. Храните их в зашифрованном контейнере, защищённом облаке с MFA либо в архиве с надёжным паролем. На Windows можно использовать BitLocker для системного и внешнего диска, а для отдельных архивов — 7-Zip с шифрованием AES-256 и скрытием имён файлов.

Ошибка — считать, что пароль на архиве заменяет резервное копирование. Сделайте минимум две копии важных документов: локальную на зашифрованном носителе и удалённую в облаке или у доверенного родственника. Проверяйте восстановление хотя бы раз в полгода: резервная копия, которую невозможно открыть, не является резервной копией.

Смартфон и публичный Wi‑Fi: безопасный режим для кафе, аэропорта и пляжа

В общественных местах главный риск связан не только с перехватом трафика, но и с поддельными точками доступа, фишинговыми порталами, кражей телефона и автоматическим подключением к знакомо названной сети. Сеть с названием «Airport Free Wi‑Fi» или «Coffee_Guest» не доказывает, что она принадлежит аэропорту или кафе. Перед подключением уточните точное название сети у сотрудника, а после работы нажмите «Забыть сеть».

Перед поездкой настройте на телефоне автоматическую блокировку через 30–60 секунд, PIN длиной не менее 6 цифр или буквенно-цифровой код, биометрию и поиск устройства: «Локатор» на iPhone, «Найти устройство» на Android. Включите удалённую блокировку и заранее убедитесь, что знаете пароль от Apple ID или Google Account. Утерянный телефон опасен не стоимостью устройства, а тем, что он часто остаётся активным ключом к почте, банку, облаку и MFA.

• Отключите автоматическое подключение к открытым Wi‑Fi и не подключайтесь к точкам, которые просят установить сертификат, профиль управления, APK-файл или неизвестное приложение.
• Для финансовых операций, входа в рабочий VPN и отправки документов используйте мобильный интернет либо личную точку доступа, а не гостевую сеть.
• Если публичный Wi‑Fi необходим, используйте VPN с функцией Kill Switch и включайте его до открытия почты, облака и рабочих ресурсов.
• Проверяйте адрес сайта перед вводом пароля; HTTPS защищает соединение с настоящим сайтом, но не спасает, если пользователь сам открыл фишинговый домен.
• Не используйте общественные USB-зарядки для передачи данных. Берите собственный адаптер в розетку, пауэрбанк или USB-адаптер с блокировкой линий передачи данных.

NIST рекомендует для публичных сетей использовать HTTPS и VPN: VPN шифрует коммуникации устройства до выхода трафика в интернет, а HTTPS обеспечивает конфиденциальность, целостность и проверку сайта. Памятка NIST по безопасному использованию публичного Wi‑Fi

Типичная ошибка — включать VPN только в браузере. Банковское приложение, почта, синхронизация файлов и мессенджеры используют сеть независимо от браузера, поэтому нужен системный VPN-профиль. Но VPN не делает безопасным ввод кода из SMS на поддельном сайте и не отменяет необходимость обновлений. Раз в неделю устанавливайте обновления ОС и приложений, а в поездке не откладывайте критические патчи «до дома».

Роутер, камеры и IoT: отделить умный дом от личных устройств

Домашний роутер — центральная точка доверия. Через него проходят ноутбуки, телефоны, телевизоры, камеры, принтеры и умные колонки. Если в панели управления остался заводской пароль или включено удалённое администрирование, злоумышленник может сменить DNS, перенаправить трафик на фальшивые сайты или получить доступ к устройствам в локальной сети.

Сразу после установки роутера обновите прошивку, измените пароль администратора, отключите WPS и удалённое управление из интернета. Для Wi‑Fi используйте WPA3-Personal, а если часть устройств его не поддерживает — WPA2-AES. Не используйте WEP, WPA первого поколения или смешанный режим с устаревшими протоколами. Пароль Wi‑Fi должен быть случайным и длиной не менее 16 символов; его лучше хранить в менеджере паролей и передавать гостям QR-кодом, а не сообщением в чате.

• Создайте минимум две сети: основную для компьютеров и телефонов и гостевую/IoT-сеть для камер, розеток, телевизоров, колонок и роботов-пылесосов.
• Запретите устройствам гостевой сети доступ к локальной сети, если роутер поддерживает Client Isolation, AP Isolation или аналогичную настройку.
• Проверьте список DHCP-клиентов и удалите неизвестные устройства; раз в квартал меняйте пароль гостевой сети после визитов мастеров, арендаторов или большого числа гостей.
• Отключите UPnP, если вы не знаете, какие сервисы его используют. Он может автоматически открыть порт наружу без явного решения владельца.
• Не публикуйте в интернете веб-интерфейсы камер, NAS, принтера и роутера через прямой проброс портов.

Камеры требуют отдельного подхода. Сначала обновите прошивку, смените все заводские учётные данные, создайте отдельного пользователя без административных прав для просмотра и включите MFA в облачном аккаунте производителя, если она доступна. Затем поместите камеры в IoT VLAN или гостевую сеть. Доступ к видеопотоку извне лучше организовать через VPN, а не через открытый порт камеры или функцию DMZ.

Ошибка — полагаться на фильтрацию по MAC-адресу как на главный барьер. MAC-адрес можно подменить; он полезен для учёта устройств, но не заменяет сегментацию, сильный пароль и обновления. Также не стоит покупать камеру, для которой нельзя изменить пароль, обновить прошивку или отключить ненужное облако: экономия в несколько тысяч рублей может обернуться постоянной утечкой видео и данных домашней сети.

Home Assistant и удалённый доступ: не открывать дом в интернет напрямую

Home Assistant управляет замками, светом, климатом, камерами и сценариями, поэтому его нужно считать административной системой, а не обычным сайтом. Первое правило: не открывайте напрямую порт 8123 в интернет. Официальная документация Home Assistant рекомендует безопасный удалённый доступ через Home Assistant Cloud, VPN или SSH-туннель вместо прямого выставления инстанса наружу. Официальная документация Home Assistant по удалённому доступу

Самая простая схема для семьи — Home Assistant Cloud: он не требует проброса портов и ручной настройки сертификата. Для самостоятельной инфраструктуры подойдут WireGuard, Tailscale или другой VPN с MFA на связанной учётной записи. Если нужен обратный прокси, используйте HTTPS с действующим сертификатом, ограничьте доступ дополнительной аутентификацией и внимательно настройте доверенные прокси. Не переносите пример конфигурации из случайного форума без понимания, какие порты он открывает.

• Создайте отдельные учётные записи для членов семьи; не используйте общий admin-аккаунт.
• Оставьте права администратора только тем, кто действительно меняет интеграции, автоматизации и резервные копии.
• Включите MFA для каждого пользователя, особенно для администратора; Home Assistant поддерживает модули многофакторной аутентификации в профиле пользователя.
• Храните токены, пароли API, ключи MQTT и данные интеграций в secrets.yaml, но помните: этот файл не шифруется сам по себе и должен попадать только в защищённые резервные копии.
• Перед обновлением ядра, ОС или аддонов создавайте резервную копию; храните хотя бы одну копию вне самого сервера Home Assistant.
• Ставьте дополнения и HACS-интеграции только из источников, которым доверяете, и удаляйте то, чем не пользуетесь.

Официальная инструкция Home Assistant отдельно указывает на уникальные пароли, MFA, минимизацию числа администраторов, регулярные обновления и безопасный метод удалённого доступа. Официальный чеклист защиты Home Assistant

Типичная ошибка — настроить удалённый доступ один раз и забыть о нём. Раз в месяц проверьте список пользователей, активные интеграции, журнал входов, резервные копии и версии аддонов. Раз в квартал посмотрите, какие порты видны снаружи, и убедитесь, что старые правила проброса портов для тестов, камер или NAS удалены. Для устройств умного дома особенно опасны «временные» исключения, которые остаются навсегда.

Чеклист: что сделать сегодня и что проверять дальше

Начните с действий, которые перекрывают максимальное число сценариев мошенничества и взлома. Не пытайтесь за один день перенастроить каждый датчик: сначала защитите точки, через которые можно восстановить доступ или управлять всей сетью.

• Сегодня: установите менеджер паролей, поменяйте пароль от основной почты на уникальный, включите для неё MFA и сохраните коды восстановления.
• Сегодня: включите MFA в банке, облаке, мессенджерах, Apple ID/Google Account, Microsoft Account и Home Assistant.
• Сегодня: создайте виртуальную карту для интернет-покупок, задайте лимит и включите мгновенные уведомления об операциях.
• В ближайшие 24 часа: обновите роутер, смените пароль администратора, отключите WPS, UPnP и удалённое администрирование, если они не нужны.
• В ближайшую неделю: перенесите камеры и IoT в отдельную сеть, запретите им доступ к основной LAN и проверьте прошивки.
• В ближайшую неделю: уберите прямой проброс порта Home Assistant 8123 и настройте Home Assistant Cloud или VPN для удалённого доступа.
• Каждый месяц: обновляйте телефон, роутер, Home Assistant и аддоны; проверяйте активные сессии, автоплатежи и резервные копии.
• Каждый квартал: меняйте пароль гостевой сети, ревизуйте подключённые устройства и удаляйте лишние облачные интеграции, аккаунты и правила проброса портов.

Эта схема не требует дорогостоящего оборудования. Даже без аппаратного ключа, сложной VLAN-конфигурации и корпоративного VPN она резко снижает риск: уникальные пароли не дают одной утечке открыть все аккаунты, MFA останавливает вход по украденному паролю, виртуальная карта ограничивает финансовый ущерб, а сегментация не позволяет одной уязвимой камере свободно добраться до ноутбука и документов.