Брутфорс: что это такое и как его предотвратить

Брутфорс, или атака полным перебором, — старый и давно известный тип киберугроз, с которым по-прежнему часто сталкиваются владельцы веб-ресурсов. В начале 2025 года число таких атак для получения доступа к ИТ-системам российских компаний выросло в 2,7 раза в сравнении с IV кварталом 2024 года — до 570 тысяч. Брутфорс — один из распространенных методов взлома пользовательских аккаунтов и панелей управления сайтами. Он опасен для бизнеса, поскольку приводит к утечкам и уничтожению конфиденциальной информации, угрозе дефейса. Для пользователей сайтов тоже — взлом аккаунтов оборачивается утечкой персональных данных, отвечать за которую, кстати, придется компаниям. Чтобы минимизировать риски, от брутфорс-атак нужно защищаться. В статье рассказываем, что можно предпринять.

Что такое брутфорс

Брутфорс (Brute-force — с англ. «грубая сила») — кибератака, при которой перебирают комбинации паролей до тех пор, пока не найдут «ключи» от аккаунта. Для взлома пароля на сайтах хакеры используют специальные программы. Они способны за несколько часов подобрать даже сложные комбинации, которые человек угадать не сможет. Кстати, такие программы помогают не только хакерам, но и специалистам по кибербезопасности, тестирующим системы на проникновение.

Киберпреступники могут взламывать учетные данные, чтобы:

• Получить доступ к конфиденциальным данным.
• Рассылать рекламу или фишинговые ссылки с украденного аккаунта.
• Распространять вредоносные программы.
• Проникать в корпоративные системы (если речь об административных аккаунтах), чтобы нанести ущерб.

Были случаи, когда хакеры атаковали методом брутфорс сайты на WordPress, чтобы установить майнеры криптовалюты. В общей сложности пострадало несколько сотен тысяч веб-ресурсов. Опасность такой манипуляции в том, что хакеры начинают использовать ресурсы сервера в своих целях, например для скрытого майнинга или атак на другие сайты.

Помимо брутфорса есть еще один способ взлома учеток — Credential Stuffing. Эти типы атак часто путают, поскольку у них на первый взгляд похожие механики. Credential Stuffing — подстановка скомпрометированных учетных данных. То есть хакеры пытаются завладеть аккаунтами в разных системах, используя уже украденные логины и пароли. Такая схема сработает, если пользователь применял одни и те же учетные данные для нескольких сервисов. Хакеры часто комбинируют брутфорс и Credential Stuffing — сначала подбирают пароли, затем «примеряют» их к аккаунтам.

Виды брутфорс-атак

Самые распространенные методы взлома аккаунтов:

• Перебор случайных символов — традиционный метод брутфорс, когда хакеры перебирают комбинации, пока не угадают пароль.
• Перебор по словарю — метод, аналогичный предыдущему, только здесь перебираются не случайные комбинации, а цитаты, названия предметов, городов и др.
• Гибридная брутфорс-атака — сочетание двух предыдущих способов. Например, хакеры могут к словам подставлять цифры или случайные символы.
• Обратная атака — использование украденных или общеизвестных паролей для поиска учетных записей, к которым они подходят. То есть это метод, противоположный классическому брутфорсу, когда перебирается множество паролей для одного логина.
• Персональный взлом — атака с применением приемов социальной инженерии, направленная на аккаунты конкретных людей. Хакеры собирают информацию в социальных сетях или через знакомых своих жертв, а иногда и напрямую у «мишени». Они узнают и пробуют использовать в качестве паролей важные даты, имена родственников и питомцев, номера телефонов и др.
• Брут-чек — использование утекших или украденных учетных данных. Хакеры перебирают множество пар логинов и паролей, чтобы найти системы, где они будут работать.

Рекомендации по защите от брутфорса и взлома сайтов

Защищаться от брутфорс-атак нужно комплексно с учетом того, что хакеры могут все же подобрать пароли или найти скомпрометированные. Цель — не дать попасть в аккаунт или хотя бы максимально усложнить задачу. Описываем самые эффективные методы.

Грамотная парольная политика

Надежный пароль — главная защита от брутфорс-атак. Что делать, чтобы она сработала:

• Используйте сложные и уникальные пароли. Желательно длинные — от 12 символов. Никаких личных данных, памятных дат, дней рождения, номеров телефонов и имен близких — все это легко узнать, например, из социальных сетей. Откажитесь и от банальных паролей вроде «admin», «password123», «123456789» и т. д. Возьмите какую-то аббревиатуру, фразу из песни или книги, комбинацию из строчных и прописных букв, цифр и символов. Идеальными считаются пароли, которые вы не можете запомнить из-за сложности. Удобно копировать их из сервисов хранения паролей и вставлять при входе в аккаунты.
• Регулярно меняйте пароли — хотя бы раз в три месяца, а лучше чаще. И обязательно делайте это сразу, когда получаете тревожные предупреждения о попытках входа в аккаунты.
• Используйте разные пароли для разных учеток, особенно админских. Один «ключ» ко всем системам — большая удача для хакеров, ведь тогда удается взломать сразу несколько аккаунтов.

Многофакторная аутентификация

Аутентификация — подтверждение, что пользователь имеет права на аккаунт. Сначала человек вводит логин и тем самым представляется системе — проходит идентификацию. Затем очередь пароля, который как раз и используется в качестве подтверждающего фактора.

Системе все равно, кто пытается войти — любой человек, владеющий учетными данными, получит доступ к аккаунту. Поэтому можно подстраховаться и в качестве защиты от брутфорс-атак настроить везде многофакторную аутентификацию. В таком случае для входа в аккаунт одного только пароля будет недостаточно — пользователь должен «предъявить» что-то еще. Например, одноразовый код, который придет на телефон или электронную почту. Код станет не только дополнительным фактором аутентификации, но и предупреждением, если в ваш аккаунт пытается войти кто-то чужой.

Ограничение числа попыток входа за определенное количество времени

Такой способ если не предотвратит брутфорс-атаку, то хотя бы ее замедлит. После нескольких неудачных попыток ввода учетных данных хакеры вынуждены будут прерваться на некоторое время. Возможно, киберпреступники не станут продолжать и пойдут искать другие цели.

Регулярное обновление и мониторинг системы безопасности

В системах могут быть уязвимости, которые облегчают хакерам задачу по взлому паролей на сайте. Важно вовремя выявлять слабые места, для чего и нужен регулярный мониторинг безопасности. Также не забывайте обновлять ПО, ведь в старых версиях зачастую как раз есть уязвимости. Это особенно актуально для сайтов, созданных на базе CMS.

Принцип наименьших привилегий

Применение принципа наименьших привилегий актуально в корпоративной среде. Его смысл — полномочий должно быть ровно столько, сколько нужно для работы. Это не защищает от брутфорса, но позволяет максимально ограничить количество пользователей корпоративных систем, у которых есть права на доступ к критически важным системам и функциям. Чем меньше таких пользователей, тем ниже риск, что брутфорс-атака будет иметь тяжелые последствия для компании.

Антибот для защиты от брутфорс-атак

Распространенность, успешность и эффективность брутфорс-атак обусловлена использованием автоматизированных скриптов для перебора миллионов комбинаций за короткий срок времени. С ними борются антибот-системы, например WEB Antibot от Solar Space. Он защищает от различных типов вредоносных ботов, включая тех, которые используются для брутфорс-атак.

Отсеивание роботизированного трафика на сайте с помощью WEB Antibot снижает риск брутфорс-атак. Меньше ботов на сайте — меньше возможностей применить программы для взлома. Вручную хакеры перебирают пароли редко, потому что это долго и требует много ресурсов. Как правило, такой способ используется недобросовестными конкурентами, которые очень заинтересованы во взломе учеток или пользовательских аккаунтов конкретного сайта. Но это все-таки единичные случаи, а не массовые хакерские атаки.

WEB Antibot — облачный сервис с ежемесячной подпиской. Как он работает:

• Вы самостоятельно ставите сайт на защиту в личном кабинете.
• WEB Antibot круглосуточно анализирует посетителей по поведенческим факторам и их запросы по техническим параметрам.
• Подозрительным пользователям сервис показывает капчу и пропускает на сайт только после ее успешного прохождения.

WEB Antibot подключается вместе с WEB AntiDDoS, потому что в комплексе решения работают максимально эффективно. Сначала отбрасывается характерный для DDoS-атак паразитный трафик, далее работают механизмы выявления и блокировки ботов.

Минимальный ежемесячный тариф за два решения — от 1800 рублей. Обычно его достаточно для сайтов со средней посещаемостью до 5000 посетителей в месяц. Сначала можно подключить демотариф и бесплатно использовать сервис 14 дней. После этого на основе реальных данных о трафике мы порекомендуем подходящий тариф с ежемесячной оплатой.

Что вы получаете, подключив WEB Antibot

Преимущества использования WEB Antibot:

• Стабильно работающий сайт с качественным трафиком.
• Защита от различных типов бот-атак: брутфорса, массового создания фейковых заявок, сканирования сайта на уязвимости вредоносными ботами, скальперских покупок с помощью гринч-ботов.
• Более эффективное расходование бюджетов на онлайн-рекламу, потому что большой объем бот-трафика негативно влияет на конверсии на сайте.
• «Чистая» веб-аналитика, что дает возможность четко формировать портрет целевой аудитории и корректно ставить маркетинговые цели.

Бонус — возможность бесплатно просканировать веб-сервер на уязвимости, получить подробный отчет по их устранению для защиты сайта от взлома.