Почему опасно хранить пароли в браузере: риски, статистика и защита

Браузерные хранилища паролей — приоритетная цель инфостилеров: вредоносных программ, извлекающих учётные данные прямо из памяти процесса или локального хранилища браузера. По данным отчёта Flashpoint, в 2025 году инфостилеры заразили более 11,1 млн устройств и украли 3,3 млрд учётных записей, сессионных cookie-файлов и токенов.

Украденные учётные данные попадают на теневые форумы и перепродаются. Пароли и логины, похищенный сегодня, могут использоваться для атаки на компанию месяцы спустя. Итог такой цепочки: взлом корпоративной системы и остановка всего бизнеса — именно так завершались 75% успешных атак на российские компании в 2025–2026 годах, по данным Positive Technologies.

Причина уязвимости в архитектуре браузерных хранилищ: ключ шифрования и зашифрованные данные находятся в одном контуре — профиле пользователя. Разберём, как это устроено в Chrome, Firefox и Safari, какие техники взлома браузера используют инфостилеры, и как защитить пароли от кражи.

Главное за 30 секунд

• Архитектурная уязвимость. Браузер хранит пароли и ключ для их расшифровки в одной папке на компьютере. Вредоносной программе не нужно взламывать шифрование — достаточно скопировать оба файла и открыть их тем же способом, что и сам браузер.
• Разница между браузерами непринципиальна. Chrome, Edge, Firefox и Safari защищены по-разному, но у всех ключ и данные находятся в общем контуре — устраняет это только изоляция хранилища паролей от остальной системы.
• Пароли не изолированы от остальных данных аккаунта. В одном хранилище браузера лежат история, карты, автозаполнение и пароли — доступ к профилю открывает всё сразу, а не только пароли.
• Защита браузера рано или поздно обходится. Даже механизмы вроде App-Bound Encryption в Chrome, привязывающие расшифровку к конкретному процессу, уже обходят инфостилеры типа VoidStealer через отладку процесса.
• ИИ снижает порог входа в киберпреступность. Исследователи зафиксировали случаи, когда рабочий код инфостилера создавался через обход ограничений языковой модели (LLM) без единой строки, написанной вручную.
• Защита паролей завязана на безопасность самого устройства. Браузер показывает сохранённые пароли после проверки входа в систему. Если устройство украдено, оставлено разблокированным или пароль системы слабый, доступ к паролям получить не сложнее, чем открыть вкладку настроек.
• Рабочая альтернатива — специализированный менеджер паролей. Архитектура нулевого знания изолирует пароли от остальной инфраструктуры устройства и делает саму технику атаки инфостилеров бесполезной.

Что такое браузерный менеджер паролей

Браузерный менеджер паролей — встроенный в веб-браузер модуль хранения учётных данных: он сохраняет логин и пароль от сайта в локальной базе и автоматически подставляет в форму входа при следующем посещении страницы. Данные хранятся локально на устройстве в зашифрованном виде и синхронизируются между устройствами через учётную запись пользователя.

В Chrome эта функция называется менеджер паролей Google — она доступна и как всплывающее окно автозаполнения, и как отдельная страница настроек со списком всех сохранённых записей. Это означает, что пароли Google, сохранённые в браузере, доступны на любом устройстве, где выполнен вход в тот же аккаунт.

Функция работает одинаково во всех основных браузерах, хотя реализация шифрования и синхронизации отличается:

• Chrome и Edge — сохранённые пароли привязаны к Google- или Microsoft-аккаунту, синхронизируются через облако вендора, шифруются с использованием системного хранилища учётных данных операционной системы.
• Firefox — данные шифруются локально, синхронизация происходит через аккаунт Firefox, опциональна дополнительная защита через Primary Password (мастер-пароль, который пользователь задаёт отдельно и должен вводить для доступа к сохранённым паролям браузера).
• Safari — пароли хранятся в iCloud Keychain с привязкой к Apple ID, шифрование использует аппаратную изоляцию на устройствах Apple.

Помимо автозаполнения, браузерные менеджеры паролей обычно предлагают минимальный набор смежных функций: генератор случайных паролей, проверку на утечки (сравнение с базами скомпрометированных учётных данных) и предупреждение о повторном использовании одного пароля на разных сайтах.

Как браузеры хранят пароли

Браузер хранит пароли в локальной зашифрованной базе данных. Ключ шифрования при этом находится в том же профиле пользователя: в отдельном файле или в системном хранилище учётных данных операционной системы. Проще говоря, замок и ключ от него лежат в одном ящике. Получив доступ к файловой системе, вредоносная программа извлекает и зашифрованные данные, и ключ расшифровки одновременно.

Почему архитектура устроена именно так

Это следствие изначальной задачи продукта. Браузерное хранилище паролей проектировалось для удобства автозаполнения, а не для защиты от целенаправленных атак: разработчикам было важно, чтобы пароль подставлялся в форму за доли секунды, без лишних действий пользователя. Такая логика определила архитектуру — минимум барьеров между сохранённым паролем и полем ввода.

Гонка между защитой и обходом

Разработчики постоянно пытаются усилить защиту, но злоумышленники сразу находят способ её обойти. Например, Chrome добавил App-Bound Encryption — механизм, привязывающий расшифровку данных к конкретному процессу приложения на Windows. В ответ появился инфостилер VoidStealer, который обходит защиту менеджера паролей Google через отладку процесса Chrome: вредонос подключается к браузеру как debugger и извлекает ключ расшифровки напрямую, без повышения привилегий в системе.

Пример VoidStealer показывает: даже усиленная защита Chrome не останавливает взлом браузера, если ключ и данные лежат в одном контуре.

Как это реализовано в разных браузерах

Итог одинаков для всех браузеров: хранение пароля и ключа шифрования в одном месте — системная уязвимость. Разница между Chrome, Edge, Firefox и Safari в том, насколько сложно эту уязвимость эксплуатировать, а не в том, устранена ли она в принципе.

Почему хранить пароли в браузере небезопасно

Браузерное хранилище паролей устроено проще, чем кажется на первый взгляд, и в этой простоте — источник большинства сценариев взлома браузера. Вот ключевые причины, почему специалисты по безопасности не рекомендуют доверять браузерным менеджерам паролей эту задачу.

Риски для персонального использования

1. В одном месте хранится слишком много информации. Браузер держит вместе историю посещений, пароли, данные карт и автозаполнение. Один взлом аккаунта означает доступ сразу ко всему, а не только к паролям.
2. Ключ шифрования рядом с самими паролями. Замок и ключ хранятся в одном профиле пользователя или системном хранилище операционной системы. Вредонос, получивший доступ к файловой системе, извлекает и зашифрованную базу, и ключ одновременно.
3. Пароли не изолированы от остальных данных аккаунта. Браузер решает задачу навигации по веб-страницам, а не защиты данных — многие вендоры не изолируют пароли от остальной инфраструктуры аккаунта, а бизнес-модель части браузеров строится на сборе данных и отслеживании пользователя, что прямо противоречит идее конфиденциальности. Например, менеджер паролей Google является частью экосистемы, которая монетизирует данные пользователей через рекламу.
4. Браузер — приоритетная цель инфостилеров. Вредоносное ПО этого класса специально проектируют для кражи браузерных паролей, данных автозаполнения, сессионных cookie-файлов и сохранённых данных карт.
5. Слабое или устаревшее шифрование. Не все браузеры одинаково защищают сохранённые пароли: часть используют упрощённые алгоритмы шифрования или хранят данные с минимальной защитой, рассчитанной на удобство, а не на противостояние целевой атаке. Это касается и паролей Google — их защита зависит от настроек конкретной ОС, а не от единого стандарта.
6. Защита завязана на безопасность самого устройства. Браузер показывает сохранённые пароли после проверки входа в с систему. Если устройство украдено, оставлено разблокированным или пароль системы слабый, доступ к паролям в браузере получить не сложнее, чем открыть вкладку настроек.

Риски для бизнеса

1. Нет функции безопасного обмена паролями внутри команды. Чтобы поделиться доступом с коллегой, приходится отправлять пароль через почту или мессенджер открытым текстом.
2. Отсутствие административного контроля. ИТ- и ИБ-специалистам практически невозможно централизованно управлять паролями, разбросанными по личным браузерам сотрудников — нет эффективного способа быстро выдать или отозвать доступ при приёме и увольнении. Администратор не видит, кто и к каким сервисам имеет доступ, и не может обеспечить единую парольную политику.
3. Слабые защитные механизмы. Браузерные хранилища обычно не поддерживают многофакторную аутентификацию (MFA) и гибкую настройку прав доступа для разных ролей в команде — того минимума, который ожидают от инструмента для работы с корпоративными учётными данными.
4. Пароли — первая цель при заражении рабочего компьютера. Если на устройстве сотрудника окажется вирус, незашифрованные или слабо защищённые пароли из браузера — первое, за чем придёт вредоносное ПО. Для бизнеса это означает риск не одного аккаунта, а всей цепочки связанных с ним сервисов.
5. Нет журнала аудита. Компаниям для проверок безопасности и соответствия внутренним политикам нужны отчёты о том, кто и когда заходил в тот или иной сервис. Браузерный менеджер паролей такой возможности не даёт вообще.

Почему инфостилеры — главная угроза 2025–2026

Инфостилер — тип вредоносного программного обеспечения, которое скрытно извлекает из заражённого устройства сохранённые пароли, cookie-файлы и токены сессий, а затем передаёт их операторам через командный сервер (C2) или ботнет — сеть заражённых устройств под централизованным управлением.

Вредонос работает с правами обычного пользователя: чтобы прочитать файлы профиля браузера и украсть учётные данные, ему не нужно эксплуатировать системные уязвимости или повышать привилегии.

Масштаб проблемы

По данным итогового отчёта Flashpoint за 2025 год, инфостилеры заразили более 11,1 млн устройств и украли 3,3 млрд учётных записей, сессионных cookie-файлов и токенов. Рост числа краж на 800% в первой половине 2025 года вылился в устойчивую тенденцию на весь 2025 год.

Проблему усугубляет поведение пользователей: 54% паролей, попавших в утечки в 2025 году, уже встречались в более ранних базах утечек (Лаборатория Касперского, 2025). Это говорит о массовом повторном использовании одних и тех же комбинаций на разных сервисах — один похищенный пароль открывает доступ сразу к нескольким аккаунтам жертвы.

Проблема опирается также и на общий поток вредоносного ПО: Лаборатория Касперского ежедневно обнаруживает около 500 000 новых вредоносных файлов, часть которых — модификации инфостилеров, ориентированные именно на браузерные хранилища паролей.

Кража cookies обходит пароль и MFA

Отдельная опасность инфостилеров — кража не паролей, а сессионных cookie-файлов. Если у злоумышленника оказывается действующий токен сессии, вход в аккаунт проходит без пароля и без запроса многофакторной аутентификации (MFA). Для пользователя ситуация выглядит противоречиво: пароль никто не менял, код подтверждения не запрашивался, но в списке активных сеансов появляется незнакомое устройство.

Признаки заражения

Заподозрить взлом аккаунта можно по нескольким сигналам:

• неожиданные письма о сбросе пароля
• вход в аккаунт из незнакомой страны или города
• новые активные сеансы, которые пользователь не открывал
• внезапный выход из сайтов без видимой причины
• исчезновение ранее сохранённых паролей
• непонятные изменения в настройках браузера

Как инфостилер похищает данные из браузера

Атака проходит в шесть этапов — от заражения устройства до продажи украденных данных на теневых форумах или их прямого использования для кражи денег и аккаунтов. Это типовой алгоритм взлома браузера, одинаковый для большинства инфостилеров.

Шаг 1. Заражение устройства

Инфостилер попадает на устройство через один из типовых векторов:

• вредоносный сайт
• поддельное ПО или заражённый торрент-файл
• фишинговое письмо с вложением
• уязвимость нулевого дня в браузере
• вредоносное расширение для браузера
• физический доступ через USB-носитель

Шаг 2. Доступ к профилю браузера

Инфостилер работает с правами обычного пользователя — повышать привилегии ему не нужно. Все файлы браузера, включая базу паролей, лежат в открытой папке профиля:

Шаг 3. Извлечение и расшифровка паролей

Инфостилер копирует базу паролей и файл с ключом шифрования, которые лежат рядом в одной папке (в Chrome — Login Data и Local State, в Firefox — logins.json и key4.db), и расшифровывает пароли, повторяя операцию, которую обычно выполняет сам браузер. Раз ключ и данные не разделены, взламывать ничего не нужно — достаточно скопировать файлы.

Шаг 4. Что ещё забирает инфостилер

Пароли редко становятся единственной целью. За один проход вредонос собирает куки и сессионные токены, данные карт и автозаполнения, коды двухфакторной аутентификации, сессии мессенеджеров, данные криптокошельков, а также сведения об устройстве — IP- и MAC-адрес, версию ОС, список установленных программ.

Шаг 5. Отправка данных злоумышленнику

Собранные файлы архивируются, шифруются, дополняются идентификатором заражённого устройства и отправляются на инфраструктуру атакующего — через HTTPS, Telegram-бота или собственный командный сервер (C2).

Шаг 6. Как злоумышленники используют украденные данные

Дальнейший сценарий зависит от ценности данных: прямой взлом аккаунта и вывод денег, продажа наборов учётных данных (combolist) на теневых форумах, использование в новых фишинговых атаках или взлом корпоративных систем, если среди украденного оказались рабочие учётные записи.

Новый вектор: ИИ-инфостилеры атакуют браузерные хранилища

ИИ-инфостилер — вредоносная программа, код которой частично или полностью сгенерирован LLM через обход встроенных ограничений (LLM-джейлбрейк). В 2025 годe исследователи Cato Networks продемонстрировали, что такой код успешно компрометирует менеджер паролей Google в браузере Chrome.

Механика атаки обесценивает главный барьер, который раньше сдерживал массовое киберпреступление — необходимость владеть навыками программирования. Атакующий формулирует промпт, обходящий защитные фильтры модели, и получает рабочий код стилера без единой строки, написанной вручную. Порог входа в разработку вредоносного ПО снижается, а скорость появления новых модификаций растёт быстрее, чем сигнатурные антивирусные базы успевают их фиксировать.

Альтернатива браузерным менеджерам паролей

Специализированный менеджер паролей — программа, спроектированная исключительно для безопасного хранения и передачи учётных данных, а не как побочная функция браузера. Ключевое отличие — архитектура нулевого знания (Zero Knowledge): шифрование и расшифровка происходят на устройстве пользователя, а сам сервис не имеет доступа к паролям в открытом виде даже теоретически.

Чем специализированный менеджер отличается от браузерного хранилища

Разница в самой архитектуре защиты данных:

• Изоляция от остальной инфраструктуры. Пароли хранятся отдельно от истории браузера, cookie-файлов и данных автозаполнения — компрометация одного компонента не открывает доступ ко всему сразу.
• Ключ шифрования не хранится рядом с данными. В браузерных хранилищах ключ и зашифрованная база лежат в одной папке профиля. В специализированных решениях ключ вычисляется из мастер-пароля пользователя и не сохраняется на сервере в принципе.
• Кроссплатформенность без ограничений вендора. Доступ к паролям работает одинаково в любом браузере, на любой операционной системе и в десктопных приложениях — не только внутри веб-страниц.
• Инструменты для команды. Ролевой доступ, безопасная передача паролей коллегам, журнал аудита действий и многофакторная аутентификация — то, что браузерное хранилище не предлагает вообще.

Как отказаться от хранения паролей в браузере

Переход с браузерного хранилища на специализированный менеджер паролей занимает один рабочий день и укладывается в четыре шага: экспорт паролей из браузера, импорт в менеджер паролей, полное удаление данных из браузера, настройка многофакторной аутентификации (MFA). Ниже — пошаговый порядок для каждого этапа.

1. Экспортируйте пароли из браузера. Chrome, Firefox и Edge позволяют выгрузить сохранённые пароли в CSV-файл через настройки встроенного менеджера паролей — раздел Пароли → Экспорт паролей.
2. Импортируйте пароли в специализированный менеджер паролей. Большинство менеджеров паролей принимают CSV-файл напрямую и распределяют записи по папкам за один шаг. На этом этапе стоит сразу проверить дубликаты и слабые пароли.
3. Удалите пароли и CSV-файл из браузера. Очистите сохранённые пароли в настройках браузера и удалите экспортированный CSV-файл, включая копию в Корзине или облачном хранилище синхронизации. Пока файл существует хотя бы в одном месте, риск утечки не закрыт.
4. Настройте многофакторную аутентификацию. Включите MFA для самого менеджера паролей и для ключевых корпоративных сервисов. Это не отменяет риск кражи cookie-файлов, описанный выше, но закрывает основной сценарий: вход по украденному паролю без знания второго фактора.

На что обращать внимание при выборе менеджера паролей для бизнеса

Надёжный менеджер паролей для бизнеса должен закрывать три группы задач: удобство ежедневной работы сотрудников, устойчивость к взлому и инструменты контроля для администраторов. Ниже — чек-лист из 9 критериев выбора менеджера паролей для бизнеса, который стоит проверить перед внедрением любого решения.

Удобство для сотрудников

• Автозаполнение. Менеджер паролей должен подставлять логин и пароль в поля на сайтах без ручного копирования и вставки.
• Генератор паролей. Встроенный генератор создаёт случайные комбинации из спецсимволов, букв разного регистра и цифр — такие пароли невозможно подобрать по словарю или угадать по шаблону.
• Синхронизация между устройствами. Изменение пароля на одном устройстве должно отражаться на всех остальных.
• Поддержка всех платформ. Один и тот же менеджер паролей должен одинаково работать на Windows, macOS, Linux, Android и iOS.

Устойчивость к взлому

• Архитектура нулевого знания (Zero Knowledge). Никто, включая саму компанию-разработчика менеджера паролей, не может получить доступ к паролям пользователя в открытом виде. Шифрование и расшифровка происходят локально, на устройстве пользователя, а не на сервере.
• Надёжное шифрование. За хранением паролей должны стоять проверенные криптографические алгоритмы, которые гарантируют, чторасшифровать данные способен только владелец мастер-пароля. Отсутствие открытой информации об алгоритме шифрования — повод насторожиться.
• Многофакторная аутентификация (MFA). Вход в само хранилище паролей должен требовать не только мастер-пароль, но и дополнительный фактор — одноразовый код или аппаратный токен.

Контроль для администраторов

• Единый вход (SSO — Single Sign-On). Поддержка SSO позволяет сотрудникам заходить в менеджер паролей той же учётной записью, что и в остальные корпоративные сервисы — без отдельного пароля именно для хранилища.
• Инструменты администратора. Безопасная передача паролей внутри команды, мониторинг использования учётных данных и оповещения о подозрительной активности — обязательный набор для эффективного управления доступом в компании любого размера.

Менеджер паролей Пассворк или браузер: сравнительный анализ безопасности

Браузерное хранилище паролей и Пассворк решают похожие задачи, но на принципиально разном уровне и архитектуре. Облачная и on-prem версии Пассворка дают одинаковый уровень защиты данных: шифрование нулевого знания, ролевой доступ, журнал аудита. Разница между ними — только в том, где физически размещаются зашифрованные данные.

Ключевое различие — не между Пассворк Облаком и локальным Пассворком, а между Пассворком в любой конфигурации и браузерным хранилищем. Все версии Пассворка изолируют пароли от остальной инфраструктуры устройства, что делает бесполезной саму технику атаки инфостилеров, описанную выше: скопировать ключ и базу из одной папки здесь просто нечего.

Заключение

Браузерное хранилище паролей проектировалось для удобства автозаполнения, а не для защиты от целевых атак. Ключ шифрования и зашифрованные данные лежат в одном контуре — этого достаточно для любого современного инфостилера, включая ИИ-генерируемые версии. Для компании цена одной скомпрометированной учётной записи сотрудника — это реальная вероятность остановки бизнеса.

Частые вопросы о безопасности паролей в браузере

Безопасно ли хранить пароли в браузере?

Браузерное хранилище паролей уязвимо к атакам инфостилеров, потому что ключ шифрования и зашифрованная база данных лежат в одном профиле пользователя. Для личного использования с несложными аккаунтами риск ниже, но для корпоративных учётных данных браузер не даёт ни ролевого доступа, ни журнала аудита, ни защиты от целевых атак.

Чем менеджер паролей отличается от браузерного хранилища?

Специализированный менеджер паролей строится на архитектуре нулевого знания: ключ шифрования вычисляется из мастер-пароля пользователя и никогда не хранится рядом с зашифрованными данными. Браузер хранит ключ и базу паролей в одной папке профиля, поэтому вредоносная программа извлекает их одновременно одним и тем же действием. Например, менеджер паролей Google, встроенный в Chrome, устроен именно по этому принципу: ключ и база лежат в одном профиле.

Может ли инфостилер украсть пароли без ввода мастер-пароля пользователем?

Да. Инфостилер работает с правами обычного пользователя и копирует файлы профиля браузера напрямую — базу паролей и ключ шифрования, — без необходимости знать мастер-пароль или пароль от системы. Расшифровка происходит на устройстве атакующего тем же способом, каким это обычно делает сам браузер.

Защищает ли двухфакторная аутентификация от кражи cookie-файлов?

Нет. Если инфостилер похищает действующий сессионный cookie-файл, злоумышленник входит в аккаунт с уже подтверждённой сессией — запрос кода MFA не появляется, потому что аутентификация для этой сессии уже прошла ранее. Защититься помогает ограничение времени жизни сессии и мониторинг активных подключений.

Можно ли экспортировать пароли из браузера в менеджер паролей?

Да. Менеджер паролей Google в Chrome, а также Firefox и Edge поддерживают экспорт сохранённых паролей в CSV-файл через настройки менеджера паролей браузера. Файл импортируется в большинство менеджеров паролей за один шаг. После успешного импорта CSV-файл и пароли в браузере нужно удалить.

Как защитить корпоративные пароли от инфостилеров?

Базовый набор мер: перейти на специализированный менеджер паролей с архитектурой нулевого знания, включить многофакторную аутентификацию для всех учётных записей, ограничить права доступа по ролям и вести журнал аудита обращений к паролям. Дополнительно стоит настроить антифишинговую фильтрацию почты и регулярно обновлять браузеры и ОС.

Как понять, что устройство заражено инфостилером?

Признаки заражения: неожиданные письма о сбросе пароля, вход в аккаунт из незнакомого города или страны, новые активные сеансы, которые пользователь не открывал, внезапный выход из сайтов без причины и исчезновение ранее сохранённых паролей. При любом из этих сигналов стоит немедленно сменить пароли и проверить устройство антивирусом.

Релиз Пассворк 7.7: управляемый офлайн-доступ

В новой версии Пассворка добавили офлайн-доступ в мобильных и десктопных приложениях, блокировку действий пользователей во время обновления системы, возможность запретить прикрепление файлов к записи на уровне организации, и множество других улучшений и исправлений.

Блог ПассворкаИлья Шелыгин

Что такое брутфорс (Brute Force): виды, угрозы и защита

В первом квартале 2025 года число брутфорс-атак на российские организации выросло в 2,7 раза. 48% паролей из реальных утечек взламываются за минуту. Разбираем 8 техник перебора, объясняем, чем ИИ изменил атаки, и даём конкретные меры защиты: от парольной политики до управления учётными записями.

Блог ПассворкаИлья Шелыгин

Пассворк: как разделить контуры ИБ и бизнеса

ИБ-секреты отличаются от обычных корпоративных доступов: компрометация пароля от SIEM — это потеря контроля над всей защитной инфраструктурой. Разбираем, когда достаточно одной инсталляции Пассворка, а когда нужен физически изолированный ИБ-контур.

Блог ПассворкаИлья Шелыгин