Забуті акаунти: чим небезпечні старі облікові записи і як їх знайти та видалити
Інтернет-магазин, де колись купили один подарунок, форум, сервіс доставки, застосунок, встановлений заради разової знижки, — більшість таких облікових записів створюються за хвилину і забуваються назавжди. Дані в них при цьому нікуди не зникають: адреса електронної пошти, номер телефону, адреса доставки, іноді збережена банківська картка і старий пароль, який, можливо, досі використовується деінде. Саме тому покинуті акаунти — одна з найзручніших цілей для кіберзлочинців.
Головне
Неактивні облікові записи частіше захищені старими або повторно використаними паролями і вдесятеро рідше мають двоетапну перевірку.
Google і Microsoft закривають особисті акаунти після двох років без входу, але багато дрібних сервісів таких правил не мають.
Знайти забуті акаунти допомагають пошук у поштовій скриньці, менеджер паролів і список сервісів із входом через Google, Apple чи Facebook.
Перед видаленням акаунта варто прибрати з нього картки й особисті дані, а на акаунтах, що залишаються, — увімкнути двофакторну автентифікацію або ключі доступу.
Чому старі акаунти стають проблемою
Обліковий запис живе довше, ніж інтерес до сервісу. За даними NordPass, у 2024 році середній користувач мав 168 паролів до особистих акаунтів і ще 87 — до робочих. Опитування 2026 року показало зниження до 120 особистих і 67 робочих паролів. У компанії пояснюють це не тим, що акаунтів стало менше, а тим, що дедалі більше людей входять у нові сервіси через Google, Apple чи Facebook або користуються ключами доступу. Загальна кількість облікових записів, за оцінкою NordPass, продовжує зростати — просто частина з них тепер не має окремого пароля і не потрапляє до жодного списку.
Покинутий акаунт ніхто не перевіряє. Google, пояснюючи свою політику щодо неактивних облікових записів, зазначає: забуті акаунти часто захищені старими або повторно використаними паролями, які могли вже потрапити до зловмисників, на них рідко налаштована двофакторна автентифікація, а власник не помічає підозрілої активності. За внутрішнім аналізом компанії, у покинутих акаунтах двоетапну перевірку вмикають щонайменше вдесятеро рідше, ніж в активних.
Як зловмисники отримують доступ до неактивних акаунтів
Зламувати кожен обліковий запис окремо кіберзлочинцям не потрібно — облікові дані вони отримують масово.
Шкідливе ПЗ для викрадення даних (інфостілери). Такі програми витягують із заражених пристроїв збережені в браузері паролі, файли cookie сесій і токени доступу. За даними Flashpoint, у 2024 році зловмисники скомпрометували понад 3,2 мільярда облікових даних, і 75% з них — 2,1 мільярда — зібрали саме інфостілери. У першій половині 2026 року, згідно з піврічним звітом компанії, інфостілери заразили 7,4 мільйона пристроїв і зібрали 1,7 мільярда облікових даних.
Витоки баз даних. Коли зламують сам сервіс, на продаж або у відкритий доступ потрапляють бази з адресами пошти, іменами користувачів і хешами паролів. Старі й невеликі сервіси нерідко зберігають паролі без надійного захисту, тож розшифрувати їх простіше.
Підстановка облікових даних (credential stuffing). Пари «логін — пароль» з витоків автоматично перевіряють на десятках інших сайтів. Якщо пароль колись використовувався повторно, разом зі старим акаунтом зловмисник отримує доступ і до нових.
Підбір паролів. Короткі й прості паролі, створені багато років тому, піддаються автоматичному перебору значно швидше, ніж довгі й унікальні.
Читайте такожЯк перевірити надійність пароля: скільки часу хакерам потрібно на злам у 2026 році
Що роблять зі зламаним старим акаунтом
Розсилають шахрайські повідомлення контактам. Зламана стара пошта чи сторінка в соцмережі виглядає для знайомих справжньою: від імені власника просять позичити гроші, надсилають фішингові посилання або шкідливі файли.
Збирають особисті дані. Імʼя, телефон, адреса доставки та історія замовлень допомагають складати переконливі фішингові листи «від сервісу» або використовуються для шахрайства з особистими даними.
Користуються збереженими банківськими картками. Якщо термін дії картки не минув, нею можуть розрахуватися просто в інтерфейсі сервісу.
Продають акаунт. На тіньових майданчиках є попит на облікові записи з накопиченими бонусами, балами програм лояльності чи авіамилями, про які власник давно забув.
Виводять кошти. Забутий криптогаманець, акаунт на біржі чи в платіжному сервісі — це пряма фінансова втрата.
Використовують як ключ до інших акаунтів. Особливо небезпечна стара електронна пошта: через функцію відновлення пароля вона відкриває доступ до всіх сервісів, зареєстрованих на цю адресу.
Потренуйтеся: гра «Твентін Карантіно» від ЄМА
Тема гри: прохання про гроші від імені друга (злам месенджера).
Коли забутий акаунт відкриває двері компанії
Для бізнесу неактивні облікові записи — службові, тестові, акаунти звільнених працівників — ще небезпечніші, бо ведуть просто в корпоративну мережу.
Colonial Pipeline, 2021. Атака програми-вимагача, через яку на сході США виникли перебої з пальним, почалася з VPN-профілю, яким компанія вже не користувалася, але не вимкнула. Як свідчив у Сенаті США гендиректор Colonial Pipeline Джозеф Блаунт, цей профіль був захищений лише паролем, без багатофакторної автентифікації. Згодом пароль від нього виявили серед злитих облікових даних у даркнеті — ймовірно, працівник використовував його і для іншого акаунта, який раніше зламали.
Лондонське боро Гекні, 2020. Під час атаки програми-вимагача зловмисники отримали доступ до 440 тисяч файлів і зашифрували їх; постраждали щонайменше 280 тисяч мешканців і працівників. Британський регулятор у сфері захисту даних ICO в рішенні 2024 року встановив, що однією з причин став неактивний обліковий запис із ненадійним паролем, який досі мав доступ до серверів ради. В ICO окремо наголосили, що не можна допускати таких простих помилок, як неактивні акаунти з однаковими логіном і паролем. Рада Гекні з висновками регулятора не погодилася.
АТБ, 2026. Угруповання DataSuckers, яке на початку жовтня заявило про злам сайту і застосунку мережі, стверджувало, що отримало доступ до даних 7,9 мільйона клієнтів, зокрема адрес електронної пошти та хешів паролів. За версією самих зловмисників, одним з етапів атаки став старий пароль від службового доступу, знайдений у мобільному застосунку. В АТБ атаку підтвердили, але заперечили витік персональних даних.
Читайте такожАтака на сайт АТБ: що заявляють хакери DataSuckers, що відповідає компанія і що робити клієнтам
Які сервіси самі видаляють неактивні акаунти
Частина великих платформ уже автоматично закриває облікові записи, якими не користуються.
Google. Особистий акаунт, у який не входили щонайменше два роки, може бути видалений разом із вмістом Gmail, Диска, Документів і Google Фото. Перед цим компанія надсилає кілька попереджень на основну та резервну адреси. Активністю вважається будь-яка дія після входу — від читання пошти й перегляду відео на YouTube до входу через Google на сторонньому сайті. Акаунти з активною підпискою Google не зачіпає, а облікові записи з опублікованими відео на YouTube наразі видаляти не планує. Політика не поширюється на корпоративні й навчальні акаунти.
Microsoft. Згідно з політикою активності, в обліковий запис Microsoft потрібно входити щонайменше раз на два роки, інакше його вважають неактивним і закривають.
X. Правила платформи радять входити щонайменше раз на 30 днів і попереджають, що через тривалу неактивність акаунт може бути остаточно видалений, проте конкретного терміну не називають.
Telegram. За замовчуванням видаляє акаунт після шести місяців без входу — разом з усіма повідомленнями, медіафайлами і контактами. Термін можна змінити в налаштуваннях конфіденційності.
Покладатися на автоматичне видалення не варто. Багато інтернет-магазинів, форумів і невеликих сервісів таких правил не мають або не оприлюднюють, а дані, які вже потрапили у витік, закриття акаунта звідти не прибере.
Як знайти забуті облікові записи
Пошук у поштовій скриньці
Кожна реєстрація залишає слід у пошті. Варто перевірити всі свої адреси, зокрема старі, за запитами «ласкаво просимо», «підтвердіть адресу», «дякуємо за реєстрацію», «пробний період», «відновлення пароля», а також англійськими welcome, verify, confirm your account і password reset.
Менеджер паролів і збережені паролі браузера
Список паролів у менеджері паролів або браузері — фактично готовий каталог акаунтів. Менеджер паролів Google та аналогічні функції інших браузерів і менеджерів паролів також показують, які паролі скомпрометовані, слабкі або використовуються повторно, — з таких акаунтів варто почати.
Входи через Google, Apple і Facebook
Акаунти, створені кнопкою «Увійти через…», не мають окремого пароля і тому не потрапляють до менеджера паролів. Їх видно в налаштуваннях основного облікового запису:
Google: Обліковий запис Google → Безпека → Ваші підключення до сторонніх застосунків і сервісів;
Apple: Параметри → [імʼя користувача] → Вхід і безпека → Вхід з Apple;
Facebook: Налаштування й конфіденційність → Налаштування → Програми та вебсайти.
Там само можна відкликати доступ у сервісів, якими більше не користуються.
Перевірка в базах витоків
Безкоштовний сервіс Have I Been Pwned показує, у яких відомих витоках фігурувала адреса електронної пошти. Перелік сервісів у результатах часто нагадує про акаунти, про які давно забули, — і підказує, де пароль потрібно змінити насамперед.
Як правильно закрити непотрібний акаунт
Зберегти потрібне: фото, документи, чеки чи історію замовлень.
Прибрати особисті дані: видалити збережені банківські картки, адреси доставки, документи з профілю.
Скасувати платні підписки, інакше списання можуть тривати й після того, як про акаунт забули.
Скористатися функцією видалення облікового запису в налаштуваннях. Якщо такої функції немає, — звернутися до служби підтримки із запитом на видалення акаунта і персональних даних. У політиці конфіденційності варто перевірити, чи сервіс справді видаляє дані, а не лише деактивує профіль.
Якщо видалити акаунт неможливо, — залишити в профілі мінімум даних, а пароль замінити на довгий унікальний, згенерований менеджером паролів.
Як захистити акаунти, які варто залишити
Унікальний пароль для кожного сервісу. Найпростіше досягти цього з менеджером паролів.
Двофакторна автентифікація, а де можливо — ключі доступу (passkeys), стійкі до фішингу і підбору.
Актуальні дані для відновлення: резервна адреса пошти і номер телефону, якими користуються зараз.
План на випадок неактивності. Менеджер неактивних облікових записів Google дозволяє заздалегідь вирішити, що станеться з акаунтом і даними після періоду неактивності до 18 місяців: передати файли довіреним людям, увімкнути автовідповідь у Gmail або видалити акаунт.
Регулярний аудит. Раз на рік переглядати список акаунтів, підключених сервісів і активних сесій.
Окремо варто зважати на повідомлення про «блокування акаунта», «борг» чи «неактивність, через яку профіль буде видалено»: це типові приводи для фішингових листів. Переходити за посиланнями з таких повідомлень не слід — стан акаунта безпечніше перевірити, відкривши сервіс напряму.
Висновок
Кожен забутий акаунт — це копія частини особистих даних, яку ніхто не охороняє. Година на пошук і видалення непотрібних облікових записів зменшує кількість місць, звідки ці дані можуть витекти, а унікальні паролі й двофакторна автентифікація на решті акаунтів не дадуть одному давньому витоку перетворитися на злам усього цифрового життя.
Ця стаття Забуті акаунти: чим небезпечні старі облікові записи і як їх знайти та видалити раніше була опублікована на сайті CyberCalm, її автор — Олена Кожухар
