Главная/Регулирование и безопасность/Cybersecurity

Кибербезопасность трейдера — 2FA, фишинг, вывод средств и защита устройств

Автор: Jarosław Wasiński • Опубликовано: • Обновлено: • около 32 мин

Безопасность торгового счёта начинается с электронной почты, уникального пароля и подходящего метода аутентификации. Также важны устройства, активные сеансы, правила вывода и порядок восстановления при потере телефона. Статья последовательно рассматривает эти меры, объясняет их ограничения и порядок действий при подозрении на захват счёта. Пользователи VPS и торговых роботов найдут рекомендации по защите удалённого доступа, API-ключей и открытых позиций. Мошенничество с имитацией фирм отдельно разбирается в статье о поддельных брокерах.

Почта, аутентификация, устройства и восстановление вместе образуют систему защиты. Ни один уровень не устраняет все угрозы.
Открыть изображение в полном размере
Главное за 60 секунд
  • Электронная почта — уровень 1, а не необязательное дополнение. В зависимости от мер восстановления у брокера взлом почты может позволить сбросить брокерский пароль и перехватить подтверждения изменений. Задайте уникальный пароль почты и включите MFA до настройки остальных уровней.
  • Одного повторно используемого пароля может хватить для захвата счёта, особенно без эффективной MFA. Подстановка учётных данных — автоматическая проверка пар логин/пароль из других утечек — нацелена на любой раскрытый пароль, используемый повторно. Уникальный пароль и 2FA, предпочтительно TOTP вместо SMS, — операционный минимум.
  • SMS 2FA лучше отсутствия 2FA, но слабее TOTP или аппаратного ключа безопасности. Подмена SIM может быть быстрой и недорогой; время, стоимость и вероятность успеха зависят от оператора и страны. Практический стандарт — TOTP в приложении без облачной копии секретов или аппаратный ключ безопасности, например YubiKey.
  • Фишинг в FX бывает целевым. Поддельные письма от «брокера», звонки из «службы безопасности» и ссылки на имитации страниц входа MT4 могут быть адаптированы под трейдеров, а не рассылаться совершенно случайно.
  • Создайте белый список получателей вывода после защиты почты. Если брокер предлагает белый список банковских счетов, включите его: атакующему придётся изменить реквизиты и пройти дополнительную проверку. Однако она часто опирается на почту, поэтому при взломе уровня 1 защита ограничена.
  • Использование одного устройства для всего увеличивает поверхность атаки. Отдельное торговое устройство или профиль пользователя — вопрос операционной дисциплины, а не чрезмерная предосторожность.

1. Повторные пароли — когда одна утечка угрожает торговому счёту

Начнём с совершенно обыденного сценария: именно обыденность и делает его опасным. Здесь нет ни хакера в капюшоне, ни взлома шифрования. Это подстановка учётных данных: автоматическая проверка на разных сервисах пар логин/пароль, полученных из утечек баз данных[1].

Механизм прост. 22 января 2024 года исследователи Cybernews описали общедоступную коллекцию более чем из 26 миллиардов записей и 12 терабайт данных, названную «Матерью всех утечек»[5]. Важно точно обозначить её статус и характер: от этого зависит значение этой цифры: это была не одна новая утечка, а компиляция записей из тысяч прежних утечек и баз данных, которыми торговали частным образом. Сам отчёт указывает на высокую вероятность дубликатов и рассматривает наличие ранее не публиковавшихся сведений как вероятность, а не установленный факт. Его описание последующего раскрытия также является заявлением организации, а не независимо установленным выводом: сервис поиска утечек Leak-Lookup заявил, что коллекция принадлежит ему, а раскрытие произошло из-за исправленной им ошибки настройки межсетевого экрана[5]. У нас нет независимого подтверждения прекращения распространения копий. Практический вывод для трейдера от этой неопределённости не зависит: если вы повторно используете пароль на торговом форуме, в Gmail и у брокера, одна из тысяч коллекций может дать атакующему данные для всех трёх.

Подстановка данных: риск повторных паролей
Подстановка данных: риск повторных паролей. Утечка одного сервиса не доказывает взлом всех счетов. Учебная схема; подробные условия и источники объясняются в статье.
Открыть схему в полном размере
Иллюстративный сценарий: подстановка учётных данных после утечки форума. Повторяющийся сценарий: после утечки базы торгового или криптовалютного форума атакующие проверяют те же пары логин/пароль на брокерских счетах. Повторно использующий пароль трейдер может потерять доступ в течение нескольких часов. Атакующий может изменить контакты и подать заявку на вывод до блокировки счёта брокером. TOTP существенно усложняет захват: использующие его счета меньше подвержены именно этому вектору атаки.

Возможная цепочка атаки: взлом почты → сброс пароля брокера → изменение контактов → заявка на вывод на счёт атакующего. Промежуток между взломом почты и заявкой может быть коротким, но мы не указываем конкретную длительность: она зависит от процедур изменения данных у брокера и платёжного канала; измерений, подтверждающих точную цифру, мы не нашли. Брокер отправляет подтверждение вывода по почте, но атакующий уже контролирует этот ящик.

Многоуровневая модель — определите, что защищаете

Прежде чем что-либо настраивать, определите модель угроз: что вы защищаете, от кого и что произойдёт при отказе определённого уровня. Иначе можно купить аппаратный ключ для счёта, восстановление пароля которого всё ещё зависит от старого Gmail.

У торгового счёта семь звеньев цепи зависимостей. Проходите их в таком порядке:

  1. Электронная почта — вышестоящий аккаунт. Его взлом угрожает восстановлению других аккаунтов.
  2. Идентификация — телефонный номер, коды восстановления и документы, подтверждающие вашу личность у брокера.
  3. Устройство — компьютер и телефон, на которых вы вводите секретные данные и получаете коды.
  4. Брокер — пароль, MFA, активные сеансы и настройки клиентского портала.
  5. API — программные ключи, которые могут подтверждать доступ независимо от пароля и MFA клиентского портала.
  6. Платежи — способы пополнения и вывода и белые списки счетов получателей.
  7. Восстановление — каналы восстановления доступа, нередко предпочитаемый атакующим обходной путь.

Практическое правило: уровень зависит от поддерживающего его уровня. На белый список вывода нельзя полагаться, если атакующий контролирует почту с подтверждениями смены получателей. Поэтому статья следует определённому порядку: части 1 и 2 посвящены почте, идентификации и брокеру; части 5 и 6 — устройствам и API; часть 4 — платежам. Восстановление рассматривается на протяжении всей статьи как альтернативный путь к другим уровням.

Обязанности брокера — DORA как контекст, а не щит. С 17 января 2025 года подпадающие под действие финансовые организации ЕС применяют Регламент (ЕС) 2022/2554 от 14 декабря 2022 года о цифровой операционной устойчивости финансового сектора, известный как DORA (OJ EU L 333, 27.12.2022; вступил в силу 16 января 2023 года)[11]. В сферу действия входят инвестиционные фирмы по статье 2(1)(e). Регламент вводит обязанности по управлению ИКТ-рисками и уведомлению надзорного органа о значительных ИКТ-инцидентах с учётом исключений статьи 2(3), включая лиц, освобождённых по статьям 2 и 3 Директивы 2014/65/EU. Само слово «брокер» ничего не устанавливает: охват зависит от юридического лица и статуса поставщика, а не бренда. В Великобритании действует отдельный, меняющийся режим FCA. 18 марта 2026 года FCA опубликовала PS26/2 об уведомлении об операционных инцидентах и соглашениях с существенными сторонними поставщиками; вступление соответствующих правил в силу запланировано на 18 марта 2027 года.[3]. Это не означает, что DORA гарантирует отсутствие инцидентов у брокера или передаёт фирме ответственность за ваш пароль или устройство. Она даёт основу для выяснения после инцидента, какие меры брокер внедрил для входа, изменения данных и вывода средств.
MFA защищает вход, но не обязательно останавливает вредоносное ПО. 2FA защищает этап входа, но может не помешать вредоносному ПО украсть токены сеанса или cookies после аутентификации. На заражённом устройстве атакующий может захватить действительный сеанс, не зная пароля или кода 2FA. Поэтому безопасность устройства и браузера так же важна, как надёжный пароль.

Практические действия

Используйте уникальный пароль брокера. Не используйте его больше нигде. Используйте менеджер паролей, например Bitwarden, 1Password или KeePass. Создайте случайный пароль минимум из 16 символов, с запасом относительно порога в 15 символов в текущих рекомендациях NIST для паролей, используемых как единственный фактор аутентификации[2]. Не придумывайте пароли самостоятельно: людям плохо удаётся генерировать случайность.

Используйте отдельную почту для торговли. Создайте ящик исключительно для связи с брокерами и торговыми платформами. Не регистрируйтесь с ним на форумах, в соцсетях и других сервисах. Если основной адрес утечёт, адрес торгового счёта не раскроется через те же регистрационные записи. Это снижает риск, но само по себе не защищает счёт.

Проверьте, не раскрывались ли ваши данные. Введите свой адрес на haveibeenpwned.com и изучите, какие данные раскрыты. Немедленно смените пароль, если он утёк, использовался повторно или есть основания подозревать компрометацию. Наличие адреса в утечке другого сервиса само по себе не доказывает взлом другого, уникального пароля брокера.

Менеджер паролей — операционная необходимость. Без него обычные альтернативы — простые запоминающиеся пароли, которые легче взломать, или повторное использование паролей, открывающее путь подстановке учётных данных. На практике запоминание более тридцати уникальных случайных паролей — нереалистичная альтернатива.

2. 2FA — необходимый минимум, а не опция

Двухфакторная аутентификация (2FA) добавляет второй уровень после пароля. При правильной реализации 2FA затрудняет вход с украденным паролем, но фишинг может перехватить код, а восстановление аккаунта или кража сеанса — обойти обычный экран входа. Методы 2FA неравноценны: у SMS и TOTP существенно разные уязвимости, как у разных типов замков разная защита.

Метод 2FA Как работает Безопасность Главная уязвимость
SMS Одноразовый код, отправляемый на ваш номер Низкая Подмена SIM: атакующий получает контроль над номером через оператора
Электронная почта Код, отправляемый на вашу почту Самая низкая Если почта взломана, 2FA по почте больше не даёт независимой защиты
TOTP (приложение-аутентификатор) Код, генерируемый локально каждые 30 секунд (Google Authenticator, Authy); предпочтительна настройка без облачных копий секретов Высокая Одноразовый код может перехватить фишинговая страница; отдельно потеря телефона без кодов восстановления может лишить доступа
Аппаратный ключ безопасности Физическое USB-устройство (YubiKey, Titan Key) Самая высокая В польском примере стоимости — несколько сотен PLN в зависимости от модели и продавца; поддержка брокерами ограничена
Методы MFA против разных атак
Методы MFA против разных атак. Сравнение механизмов, не обещание полной защиты. Учебная схема; подробные условия и источники объясняются в статье.
Открыть схему в полном размере

Почему SMS 2FA недостаточно

SMS 2FA лучше отсутствия 2FA, но слабее TOTP или аппаратного ключа. При подмене SIM мошенник связывается с оператором, выдаёт себя за владельца номера и просит перенести его на новую SIM. Атака может быть быстрой и недорогой, но время, стоимость и вероятность успеха зависят от оператора, страны и качества сведений о жертве. Оператор устанавливает собственные проверки при замене SIM, а используемые данные могут присутствовать в утечках. Масштаб документирован в США: FCC сообщает примерно о 300 жалобах на подмену SIM и перенос номера через свой Consumer Complaint Center в 2020 году, 400 в 2021 и 500 в 2022[4].

TOTP — практический стандарт

TOTP (Time-based One-Time Password) генерирует коды локально на устройстве каждые 30 секунд. Мобильная сеть не используется, поэтому подмена SIM не перехватывает код, а интернет для генерации не нужен. Британский NCSC в порядке предпочтений ставит коды приложений существенно выше кодов, доставляемых сообщениями[7], но это не метод на первом месте. Подраздел о ключах доступа объясняет, что стоит выше.

Для настройки TOTP скачайте аутентификатор и выберите работу без аккаунта или отключите облачную синхронизацию. Google Authenticator синхронизирует коды с Google-аккаунтом при входе и предлагает режим без аккаунта; Authy поддерживает облачный резерв. Это удобно, но подтверждённый инцидент LastPass декабря 2022 года, описанный ниже, показывает дополнительную точку отказа при хранении данных аутентификации в облаке. Предпочитайте офлайн-генераторы с физической копией кодов восстановления. В настройках брокера найдите «Безопасность» → «Двухфакторная аутентификация» и отсканируйте QR-код приложением. После этого вход требует пароля и 6-значного кода приложения.

Критически важно: сохраните коды восстановления. Если брокер выдаёт одноразовые резервные коды на случай потери телефона, сохраните их при настройке. Если нет, заранее проверьте и запишите документированный официальный порядок восстановления. Распечатайте коды и надёжно храните отдельно от телефона, облачного аккаунта и менеджера паролей: потеря доступа к менеджеру не должна означать потерю кодов. Один из вариантов — лист бумаги в сейфе или запертом ящике.

Пример из отрасли: инцидент LastPass, декабрь 2022 года. В декабре 2022 года LastPass подтвердила, что инцидент привёл к копированию резервных данных клиентов, включая зашифрованные хранилища паролей[9]. Это инцидент, подтверждённый компанией в уведомлении декабря 2022 года. Мы не устанавливаем последствий для отдельных клиентов, поскольку не располагаем подтверждающим источником. Практический вывод от этих последствий не зависит: хранение паролей и кодов восстановления TOTP в одном облачном менеджере помещает оба компонента аутентификации в одно место. Одна база становится потенциальной единой точкой отказа. Держите коды офлайн и на бумаге, а не просто в другом облачном менеджере.
Уровни MFA: устойчивость к конкретным угрозамБолее сильный метод не заменяет защиту сеанса, устройства и восстановленияУровни MFA: устойчивость к конкретным угрозамБолее сильный метод не заменяет защиту сеанса, устройства и восстановленияЭлектронная почтаЗависит от защиты почты и её восстановления.SMSКоды могут быть перехвачены через подмену SIM или фишинг.TOTPНе зависит от SIM; код уязвим к фишингуи ретрансляции.FIDO2 / ключ доступаПривязка к источнику противостоит фишингу. Проверьте синхронизацию ивосстановление.Аппаратно привязанные и синхронизируемые ключи доступа различаются; не каждая реализация соответствует AAL3.
Открыть схему в полном размере

Ключи доступа и FIDO2 — направление развития

Аппаратный ключ из таблицы — физическая реализация более широкого стандарта: FIDO2/WebAuthn. Вместо кода, который можно продиктовать или скопировать на поддельную страницу, браузер и аутентификатор обмениваются криптографической подписью, привязанной к нужному домену. Другой домен не может получить аутентификацию для зарегистрированных данных. Эта доменная привязка — ключевое отличие от TOTP.

Ключ доступа использует этот механизм с учётными данными FIDO2, хранящимися на телефоне, компьютере или в менеджере паролей и разблокируемыми отпечатком или PIN устройства, поэтому отдельный брелок может не понадобиться. NCSC ставит FIDO2 на первое место по устойчивости к угадыванию, фишингу и краже секретов аутентификации. Коды приложений занимают третье место; документ прямо отмечает возможность их перехвата[7]. NIST допускает многофакторные криптографические аутентификаторы на высших уровнях доверия при выполнении требований конкретного уровня; синхронизируемый ключ доступа автоматически не становится AAL3. Аутентификация через телефонную сеть, включая SMS, имеет ограниченный статус[2].

Что сделать сегодня. Поддержка ключей доступа у розничных брокеров различается: некоторые порталы предлагают лишь TOTP и SMS. Ищите в настройках «ключ безопасности», «ключ доступа» или «WebAuthn». При наличии поддержки сделайте его основным методом, сохранив TOTP в резерве. Если поддержки нет, TOTP с офлайн-кодами восстановления остаётся разумным минимумом. Независимо от брокера включите ключ доступа на почте: в приведённой модели это уровень 1.

3. Фишинг — почта, телефон и социальная инженерия в FX

Фишинг на форекс бывает целевым: атакующие знают, что трейдеры держат деньги на счетах и реагируют на «маржин-колл » и «предупреждение безопасности». Это может быть и обычный спам с логотипом брокера и дёшево зарегистрированным доменом. Для успеха атаке не обязательно быть сложной.

Поддельные письма от «брокера»

Это недорогой и потому распространённый вектор атаки. Письмо копирует цвета, логотип и подпись брокера. Тема может быть «Срочно: подтвердите счёт», «Предупреждение безопасности: необычный вход» или «Требуется действие: обновите способ оплаты». Ссылка открывает копию страницы входа на другом домене. Вводя данные, вы передаёте их атакующему. Рекомендации NCSC для организаций охватывают два элемента: подмену отправителя, которой противодействуют DMARC, SPF и DKIM, и необходимость простого и быстрого сообщения о подозрительных письмах[6]. Этот документ не рассматривает похожие домены; дальнейшее объяснение принадлежит нам и не является утверждением NCSC.

Модель фишингового письма: срочность, домен не совпадает с сохранённым порталом и проверка ссылки.
Здесь portal.broker.example и broker-login.example — разные домены. Откройте известный портал независимо; грамотный текст и шифрование не доказывают подлинность.
Открыть изображение в полном размере
Иллюстративный сценарий: фишинговая кампания под видом брокера. Её повторяющийся первый этап — подмена отправителя — рассматривается в рекомендациях по фишингу[6]: клиенты получают якобы официальное «срочное обновление безопасности». Остальное в сценарии — наша иллюстрация. Ссылка открывает похожий домен, например brokername-security[.]com вместо brokername.com. Страница копирует клиентский портал, включая действительный SSL-сертификат, поэтому замок в браузере не доказывает подлинности. Адреса часто берутся из утечки стороннего сервиса, а не брокера, поэтому письмо могут получить и не-клиенты. Мы не называем конкретную фирму и масштаб кампании: это модель, а не описание одного документированного события.
Для продвинутых пользователей: журналы Certificate Transparency. Замка в браузере недостаточно: у поддельного портала из примера тоже действительный сертификат. crt.sh позволяет изучить историю сертификатов домена. Возраст сам по себе ничего не доказывает: законные сервисы регулярно обновляют сертификаты, а фишинговый домен может существовать долго. Certificate Transparency фиксирует выпуск сертификатов и даёт дополнительные сигналы, например новые сертификаты для имён, похожих на домен брокера. Сопоставляйте их с самим доменом, записью юридического лица в реестре регулятора и официальным каналом связи. История сертификатов не заменяет ни одной проверки и не определяет, законен сайт или мошеннический.

Звонки из «службы безопасности»

Более сложный метод — вишинг, то есть голосовой фишинг. Звонящий представляется сотрудником безопасности брокера, сообщает о подозрительной активности и просит подтвердить личность: «Назовите номер счёта и код 2FA, который мы только что отправили». Передача кода может разрешить вход атакующему.

Добросовестно работающий брокер не должен запрашивать код 2FA для входа по телефону. Запрашивающий код может взламывать счёт, а не защищать его. Завершите звонок и наберите официальный номер с сайта брокера, а не из письма. Давление срочностью может быть эффективнее вредоносного ПО.

Поддельные ссылки скачивания MT4/MT5

Трейдеры ищут в Google «скачать MT4» или «скачать MT5». Атакующие могут купить рекламу модифицированных установщиков: те выглядят привычно и работают нормально, одновременно передавая данные на сервер злоумышленника. Поддельная страница скачивания эффективно распространяет вредоносное ПО, поскольку пользователь сам запускает установщик и даёт разрешения.

Откуда скачивать торговую платформу? Используйте проверенный сайт брокера, официальный сайт производителя платформы или магазин приложений, указанный в документации производителя. Избегайте ссылок из нежелательных писем, Telegram-групп и непроверенных результатов поиска. Проще самостоятельно набрать адрес брокера и открыть «Загрузки» или «Платформы». В магазине проверяйте издателя, а не только легко копируемые название и значок.
Иллюстративный сценарий: агрессивное предложение перевода в офшорное лицо. Письмо от текущего брокера предлагает: «Увеличьте плечо до 1:500 и получите бонус!» Якобы один щелчок переводит счёт из юрисдикции под надзором FCAна Сейшелы или Вануату. Вы получаете кредитное плечо, но прежние гарантии могут перестать действовать. Какие именно изменятся, зависит от нового юридического лица, юрисдикции и договора. Отдельные статьи рассматривают ограничения плеча и защиту от отрицательного баланса и компенсационные системы; проверьте там применимость к новому лицу. Мы также не предполагаем законность перевода: она зависит от привлечения клиента и разрешений принимающей компании, а регуляторы могут оспаривать направление розничных клиентов в связанные фирмы третьих стран. Здесь важен механизм давления: срочное предложение, один щелчок и согласие до проверки — как в социальной инженерии.

Социальная инженерия в торговых группах

Торговые группы Telegram, Discord и Facebook создают возможности для социальной инженерии. Якобы администратор пишет лично: «У меня специальное предложение от брокера X, но нужно зарегистрироваться по моей ссылке». Или: «Пришлите снимок счёта, и я помогу настроить EA». Снимок может раскрыть номер брокерского счёта и помочь атакующему обойти слабые телефонные проверки личности. Учитывайте это, прежде чем публиковать «прибыль дня».

4. Безопасный вывод — методы, белые списки и документы KYC

Захвативший счёт атакующий может закрывать позиции и повредить капиталу, но при эффективном белом списке перенаправить деньги сложнее. Смысл контроля — переводить средства на заранее одобренный счёт на ваше имя. Настройки вывода — вопрос безопасности, а не только удобства.

Белый список банковских счетов

Если брокер предлагает «Одобренные получатели вывода» или «Белый список вывода», изучите точные правила. Включение ограничивает вывод заранее одобренными банковскими счетами. Добавление счёта может требовать проверки и ожидания; наличие и сроки этих мер определяет брокер. Это затрудняет перенаправление, но не гарантирует остановку вывода после захвата счёта.

Проверьте поддержку белых списков у брокера и включите их при наличии. Ищите на портале «белый список вывода», «одобренные получатели» или «доверенные счета». Проверьте договор и настройки: доступность меняется со временем и различается между лицами одной группы. Отсутствие функции — недостаток при сравнении контроля, а не окончательное доказательство недобросовестности.

Вывод: проверенные получатели и контроль изменений
Вывод: проверенные получатели и контроль изменений. Пример механизма — наличие и условия зависят от брокера. Учебная схема; подробные условия и источники объясняются в статье.
Открыть схему в полном размере

Уведомления о выводе

Включите уведомления по почте и push для каждой заявки на вывод. Увидев чужую заявку, немедленно звоните брокеру: почта уже может быть взломана. Между подачей и исполнением брокером и банком обычно есть время обработки, но его определяют условия конкретного лица. Изучите их заранее, а не во время инцидента. Это окно часто даёт лучший шанс остановить перевод, хотя оно не единственное: после отправки банк или платёжный провайдер ещё может начать процедуру отзыва, как поясняется ниже.

Изменение реквизитов — критическая точка безопасности

Критическим событием часто бывает не сам вход, а смена почты, телефона, банковского счёта или получателя вывода. Еженедельная смена способов вывода может вызвать ручную комплаенс-проверку, а иногда и временное ограничение как раз при желании вывести прибыль. Выберите подходящий метод, подтвердите его и используйте последовательно.

Политика некоторых брокеров: возврат тем же путём, что и пополнение. При «выводе тем же методом» пополнение Visa возвращается на эту карту Visa. Это не общерыночное правило: одни фирмы возвращают к источнику с исключениями, другие используют иерархию методов, а прибыль могут обрабатывать отдельно. Проверьте охват, исключения и порядок в условиях брокера. Где применимо, это одна из мер контроля вывода наряду с белыми списками, задержками и ручной проверкой.
Что действительно можно отменить после инцидента? Исход несанкционированного вывода зависит от того, ушли ли деньги, метода платежа, наличия получателя в белом списке и обнаружения инцидента брокером до расчёта. Банковский перевод: возврат после расчёта неопределён, но вопрос не закрывается автоматически. Банк или платёжный провайдер может попросить банк получателя отозвать перевод, в том числе при мошенничестве. Это не гарантирует возврата, и нет универсального часа, после которого любой перевод необратим; практический смысл в том, что промедление уменьшает шанс возврата. Криптовалютный перевод: после записи в блокчейн у плательщика нет механизма отмены. Карта: жалоба или chargeback зависят от вида транзакции, оснований, платёжной системы, эмитента и сроков; это не универсальная отмена вывода от брокера. Быстро сообщите брокеру и банку, чтобы сохранить доступные варианты.

Документы KYC — сведения, позволяющие открыть другой счёт

Для открытия счёта вы отправляете скан удостоверения или паспорта, подтверждение адреса, иногда банковскую выписку. Вместе эти документы могут помочь открыть или восстановить другой счёт. Относитесь к ним как к чувствительным идентификационным данным, а не обычному вложению.

На практике загружайте документы через клиентский портал, а не почту или мессенджеры. Если запрос пришёл письмом, подтвердите его звонком по номеру с проверенного сайта. Не оставляйте сканы в загрузках или галерее телефона; при хранении используйте шифрованный контейнер или менеджер паролей с вложениями. Удаляйте рабочие копии после проверки, включая отправленные сообщения и чаты. Утёкший документ может помочь попытке восстановления под предлогом «Забыл пароль и потерял 2FA». При возможности заранее задайте пароль для телефонных обращений. Вопросы о девичьей фамилии матери или первой школе — отдельная проблема: ответы можно восстановить по утечкам и соцсетям. Если брокер их использует, считайте их вспомогательной проверкой рядом с сильной MFA и проверенным восстановлением, а не заменой.

Заранее запишите безопасные каналы связи. Храните номер с сайта брокера, вручную введённый адрес портала, адрес комплаенса и номер счёта вне почтового аккаунта. Во время инцидента может не быть времени выяснять подлинность канала; поиск горячей линии может привести к рекламе поддельной.

5. Защита устройств — VPN, публичный Wi-Fi, обновления и разделение

Компьютер и телефон — входы в торговый счёт. При взломанном устройстве даже пароль, 2FA и белый список вместе могут оказаться недостаточными: атакующий потенциально наблюдает за действиями на экране.

Публичный Wi-Fi — что решает VPN и чего не решает

Отделяйте основы от дополнительных мер: публичный Wi-Fi вызывает немало преувеличений. Основа — правильно проверенный HTTPS, вручную введённый адрес портала на нужном домене, запрет обхода предупреждений сертификата, обновлённое устройство и устойчивая к фишингу MFA. Американский орган защиты потребителей прямо указывает, что широкое распространение шифрования обычно делает публичный Wi-Fi безопасным[13]. Она также отмечает, что мошенники могут получить сертификаты для своих сайтов, поэтому одно шифрование не устанавливает получателя ваших данных.

Публичный Wi-Fi всё же несёт риски поддельных точек доступа, перенаправления на имитации входа и фишинга. VPN или собственная точка доступа — дополнительный уровень, а не обязательное условие безопасности. Он может уменьшить раскрытие сопутствующего трафика и зависимость от незнакомой сети, но не исправит заражённое устройство и не остановит ввод пароля на поддельном домене.

Иллюстративный сценарий: поддельная точка доступа. Атакующий создаёт точку доступа с именем гостиничной сети. Проблема не в отсутствии certificate pinning в браузере: правильно проверенный HTTPS защищает содержимое и в незнакомой сети. Риск — перенаправление на поддельный вход и соблазн проигнорировать предупреждение сертификата. На мероприятиях и в гостиницах проще бывает использовать телефон как точку доступа. Предупреждение сертификата — повод остановиться, а не нажать «продолжить».

Выбирая VPN, ищите ясную политику журналирования и проверяйте финансирование сервиса. Для бесплатного сервиса это важнее самой цены: одни бесплатные тарифы оплачиваются подписками, другие — монетизацией трафика и данных. Оценивайте бизнес-модель, политику логов и независимый аудит конкретного поставщика, а не считайте оплату доказательством надёжности. Раздача LTE/5G с собственного телефона часто проще и не добавляет ещё одного поставщика, которому надо доверять.

Уровни безопасности, такие как VPN или сканирование на VPS могут влиять на сетевую задержку или нагрузку устройства. Измерьте эффект в своей конфигурации. Статья об инфраструктуре исполнения объясняет, когда это важно, например при торговле новостями или скальпинге, а когда нет.

VPN и комплаенс брокера. Смена IP, входы из нескольких стран и необычная геолокация могут вызвать ограничения или ручную проверку. При регулярном VPN рассмотрите стабильную точку выхода в своей стране и изучите политику брокера. Некоторые порталы поддерживают доверенные IP со дополнительной проверкой прочих адресов. Выясните наличие настройки и её точную работу.

Активные сеансы — проверка и отзыв

Вход создаёт сеанс, который может оставаться активным в браузере, приложении или терминале. Вредоносному ПО, крадущему cookies сеанса, может не понадобиться пароль или 2FA: достаточно действительного сеанса. Поэтому смена пароля без отзыва сеансов после инцидента может оставить атакующего подключённым.

Ищите «активные сеансы», «устройства», «выполненные входы» или «действия безопасности». Периодически проверяйте список и завершайте незнакомое: другой компьютер, старый телефон, неизвестное место. Заранее найдите «выйти на всех устройствах», если функция есть. Так же проверяйте почту, связанную с брокером, — уровень 1 указанной модели.

Разделение устройств

Вы управляете капиталом, поэтому сохраняйте торговую среду чистой. Выделенное торговое устройство — ноутбук или планшет, где вы избегаете постороннего веб-сёрфинга, вложений и непроверенного ПО. Нужные инструменты — платформа, браузер клиентского портала и менеджер паролей.

В польском бюджетном примере восстановленный ThinkPad примерно за тысячу PLN может быть вариантом защиты счёта. Если отдельное устройство непрактично, отдельный профиль ОС помогает организации и снижает некоторые риски, но не заменяет отдельного устройства против серьёзного вредоносного ПО.

Разделение устройств: меньше поверхность атаки
Разделение устройств: меньше поверхность атаки. Отдельный профиль — слабее отдельного устройства. Учебная схема; подробные условия и источники объясняются в статье.
Открыть схему в полном размере

Обновления — рутина, но важная

Windows, macOS, Android, iOS, MT5 и cTrader получают обновления, включая исправления безопасности; MT4 рассматривается отдельно ниже. Устаревшая установка может содержать известные уязвимости. Включайте автообновления вместо бесконечного откладывания.

MetaTrader 4 продолжает получать обновления производителя. Мы не приписываем MetaQuotes официального прекращения разработки MT4, поскольку не нашли устанавливающего это заявления. При использовании MT4 проверьте наличие последней версии от брокера или производителя. Старые сборки с посторонних сайтов могут иметь известные уязвимости.

Антивирус — лишь один уровень, но он должен быть включён. Обновлённый активный Windows Defender, встроенный в Windows 10/11, обеспечивает базовый уровень обычной торговой станции. У macOS собственные меры, включая Gatekeeper и XProtect. Не отключайте их лишь потому, что считаете замедляющими устройство.

6. Безопасность VPS и EA — сделки без управления и удалённый доступ

Работа советников (EA) на VPS добавляет поверхность атаки. Удалённый компьютер работает 24/7, подключён к брокеру и имеет доступ к счёту. Его взлом может дать контроль над торговой средой.

Безопасная настройка RDP

Remote Desktop Protocol (RDP) — стандартный способ подключения к Windows VPS. RDP, открытый в интернет, постоянно атакуется: сканирующие боты непрерывно, 24/7, перебирают пароли.

Смена порта RDP сама по себе защищает слабо. В приоритете — отсутствие публичного RDP, доступ через VPN/WireGuard; белый список IP при стабильном адресе от провайдера; Network Level Authentication (NLA); MFA у провайдера VPS и отдельно на шлюзе доступа при его использовании; регулярные снимки и журнал событий. Применяйте наименьшие привилегии: устанавливайте лишь необходимое торговой среде.

Иллюстративный сценарий: взлом VPS с сохранёнными данными. На дешёвом VPS оставлены стандартный пароль и публичный RDP. Боты подбирают пароль, входят, открывают терминал с сохранёнными данными и ставят максимальный объём. Утром трейдер видит отрицательный баланс. Брокер отказывает в компенсации, ссылаясь на действительный аутентифицированный сеанс. По одному сценарию нельзя установить ответственность: она зависит от договора, права и логов обеих сторон. Определить можно прямо контролируемый трейдером элемент — конфигурацию VPS.

Контролируйте хранение пароля MT4/MT5 на VPS

MT4 и MT5 предлагают «Сохранить пароль». Отключите при отсутствии необходимости: сохранённые данные упрощают доступ после взлома хоста или сеанса. Но для EA 24/7 проверьте подключение терминала после перезапуска. Отключение хранения без плана повторной аутентификации может остановить автоматизацию.

Это отличается от хранения в менеджере паролей. Он шифрует секрет за собственной аутентификацией и может входить в схему EA 24/7 при защите хоста и доступа MFA и белым списком IP. Порядок таков: сначала защитить хост и доступ, затем решить способ передачи данных. Одно не заменяет другого: ограничьте хранение и разрешения нуждами автоматизации; ручной ввод пароля не оправдывает публичный RDP с настройками по умолчанию.

Осиротевшие сделки — позиции без управления

Осиротевшая сделка открыта EA, но не управляется после сбоя VPS, потери связи или перезапуска. У неё может не быть стоп-лосса поскольку выходом должен был динамически управлять алгоритм, нет тейк-профита и наблюдения. Позиция может оставаться под риском до маржин-колла или иного вмешательства.

Мера защиты: EA должен выставлять принятый сервером стоп-лосс, а не полагаться лишь на виртуальный стоп алгоритма. При остановке EA принятый SL остаётся на сервере, но не гарантирует цену или ограничение убытка планом. Компромисс важен: при низкой ликвидности и широком спреде, например при ролловере брокера, стоп может сработать в худших условиях. Для ролловера в 17:00 Нью-Йорка польский пример — обычно 23:00 или 22:00 при несовпадении смены летнего времени. Само срабатывание не доказывает охоты брокера за стопом. Виртуальный стоп скрывает постоянный уровень в терминале, но добавляет инфраструктурную зависимость. Выбирайте схему под условия исполнения и метод торговли.

VPS: защита доступа и качество исполнения
VPS: защита доступа и качество исполнения. Два разных уровня — туннель не гарантирует результат и цену. Учебная схема; подробные условия и источники объясняются в статье.
Открыть схему в полном размере

Не делитесь VPS

Совместный VPS ради экономии может открыть EA и позиции другому пользователю с потенциальным доступом к терминалу, файлам, логам и секретам. В польском примере экономия PLN 50 создаёт такой риск. Держите торговый VPS под контролем одного трейдера, не деля среду счёта с посторонними.

Историческое событие и пример: 15 января 2015 года — решение SNB и EA без серверного SL. 15 января 2015 года Швейцарский национальный банк отменил минимальный курс 1,20 франка за евро и снизил ставку до -0,75%, как сообщил в тот день[10]. Решение было объявлено и исполнено; мы не повторяем противоречивые оценки движения в пипсах из отраслевой прессы. Далее — иллюстративный сценарий, а не документированный случай: VPS исполняет скальпирующий EA EURCHF с виртуальным стопом, без серверного SL. VPS и EA работают, но поставщики ликвидности перестают котировать. Без исполнимой цены виртуальный стоп не закрывает позицию. Инфраструктурный вывод: принятый серверный SL работает без EA, но всё же требует доступного рынка и подчиняется условиям исполнения; гэп может дать цену хуже стопа. Виртуальный SL дополнительно зависит от работающего EA и связи с брокером.
API-ключи — пароли с определёнными разрешениями. Модели программного доступа различаются. Один поставщик выдаёт личный токен для всех субсчетов; другой использует библиотеку, подключённую к уже аутентифицированному сеансу терминала, изначально только для чтения. Нет единого для рынка названия разрешения на заявки и повсеместной обязательной IP-привязки. Перед выдачей данных выясните с брокером пять вещей: тип данных, объём разрешений, срок действия, право торговли или вывода и способ отзыва. Отдельно проверьте ограничение доступа заданными IP. При любой модели право размещать заявки может обходить обычный вход на портал: это сильный секрет. Храните его в переменных среды, а не коде скрипта. Также проверяйте выданные ключи и отзывайте неиспользуемые: ключ, созданный два года назад для теста бота, может работать до сих пор, если нет срока и никто его не отозвал. Меньшее число действующих данных с узкими правами уменьшает поверхность атаки.
DLL: больше прав, больше риска
DLL: больше прав, больше риска. Код библиотеки работает в контексте процесса терминала. Учебная схема; подробные условия и источники объясняются в статье.
Открыть схему в полном размере
Разрешить импорт DLL — доступ внешнего кода к системе. Включение «Разрешить импорт DLL» для неизвестного EA допускает исполнение внешнего кода. DLL действует вне файловых ограничений MQL, но с правами процесса терминала: галочка не даёт прав администратора. Зловредный код может использовать доступные процессу файлы, память и сеть для кражи данных. EA с DLL требует проверенного разработчика и аудита кода. MetaQuotes запрещает импорт DLL и скомпилированных EX4/EX5 в MQL5 Market, поэтому EA с DLL вне этого канала[8].

Крупные счета и алгоритмическая торговля могут использовать FIX API или колокацию рядом с серверами брокера, рассмотренные в инфраструктуре исполнения. Здесь действует то же различие, что для других API-ключей: отделяйте данные только для чтения от права размещать заявки.

Копирование сделок как вектор атаки. Пользователи ZuluTrade, MQL5 Signals или eToro Copy Trading разрешают сервису повторять сделки выбранного поставщика. Модели различны: не считайте, что поставщик сигнала получает доступ к счёту; права и размещающее заявки лицо различаются, а некоторые поставщики не видят счетов или данных подписчиков. При взломе поставщика вредные сделки могут копироваться в заданных подписчиком пределах: доле капитала, пороге капитала для остановки копирования, размере позиций. Отдельно выясните права сервиса и настройки лимитов. Читайте документацию конкретного поставщика, не предполагая одинаковых настроек.
Иллюстративный сценарий: взлом поставщика сигналов. Поставщик с сотнями подписанных счетов взломан. Ночью атакующий открывает крупные позиции без стопов в неликвидных парах. Подписчики копируют в рамках своих настроек. Большая доля капитала и мягкие лимиты приближают маржин-колл. Следование чужим сигналам без жёстких ограничений счёта передаёт часть риска среде, безопасность которой вы не контролируете.

7. Проверочный список на 10 минут и реагирование на инцидент

Сегодня вы видите открытые позиции, а завтра можете потерять доступ. Ниже — обзор на 10 минут: достаточно, чтобы изучить список и выявить пока не выполненные пункты.

Начните с трёх пунктов. Приоритеты: (1) уникальный пароль и MFA связанной почты, (2) уникальный брокерский пароль из менеджера и (3) офлайн-TOTP с надёжно хранимыми кодами восстановления. Они противодействуют дешёвым масштабируемым атакам через почту и утёкшие повторные пароли. Первый пункт поддерживает остальные: восстановление и подтверждения изменений могут использовать почту. Белый список вывода при наличии — четвёртый, так как смена получателя тоже подтверждается письмом. Запланируйте оставшиеся настройки, не оставляя их незавершёнными бесконечно.
# Пункт Минимальный стандарт Статус
1 Почта защищена независимо Уникальный пароль почты, MFA (лучше ключ доступа), проверенные пересылки и фильтры — уровень 1 в части 1 ☐
2 Отдельная почта для торговли Выделенный адрес без регистраций в посторонних сервисах ☐
3 Уникальный пароль брокера 16+ случайных символов из менеджера, нигде не повторяются ☐
4 Включена 2FA (TOTP) TOTP без облачного резерва вместо SMS или почты ☐
5 Офлайн-коды восстановления 2FA Распечатаны и надёжно хранятся ☐
6 Белый список получателей вывода При поддержке: лишь одобренные счета, проверенные правила смены получателя ☐
7 Уведомления о выводе Письмо и push для каждой заявки на вывод ☐
8 Обновления системы и платформы Включены автообновления; актуальные сборки MT4/MT5 ☐
9 Незнакомые сети: проверенный HTTPS, VPN как дополнение Вводите адрес вручную; не обходите предупреждения сертификата. VPN с проверенной политикой логов или раздача телефона — дополнение ☐
10 Отдельные устройства или профили Торговый компьютер или профиль отдельно от повседневной активности ☐
11 VPS: VPN-туннель, белый список IP и MFA провайдера Нет публичного RDP; VPN/WireGuard, белый список IP, MFA провайдера и отдельная MFA шлюза при его наличии ☐
12 VPS: контролируемые и ограниченные секреты Хранение данных терминала лишь по нуждам автоматизации; проверен вход после перезапуска, менеджер паролей, защищены хост и доступ ☐
13 EA: серверный SL на случай сбоя VPS Принятый сервером брокера SL, а не лишь виртуальный стоп EA ☐
14 Проверка активных сеансов Проверены устройства брокера и почты; незнакомые сеансы завершены ☐
15 Неиспользуемые API-ключи отозваны Лишние ключи отозваны; права остальных сужены, IP-ограничения при поддержке ☐
16 Проверенные контакты брокера сохранены Официальные телефон, портал и комплаенс записаны вне почты ☐
17 Нет удалённого доступа для непроверенных людей Нет AnyDesk, TeamViewer или демонстрации экрана по просьбе незваного «советника», «безопасности» или «возвратной фирмы» ☐

Я перешёл по ссылке, ввёл пароль и подтвердил MFA — что теперь?

Это сложный сценарий: второй фактор технически не отказал — вы его подтвердили. У атакующего могут быть действительный сеанс и право менять данные. Важен порядок действий, а не только скорость отдельного шага. Используйте другое доверенное устройство и прекратите взаимодействовать с подозрительным письмом.

Подозрение на взлом: план реагированияПриоритеты — сроки плановые, а не гарантииПодозрение на взлом: план реагированияПриоритеты — сроки плановые, а не гарантии1. Ограничить доступДоверенное устройствоОтозвать сеансыЗапросить заморозкувыводаЗащитить почтуT+0–5 мин2. Вернуть контрольУникальный парольСбросить MFA / кодыОтозвать API-ключиПроверить получателейT+5–15 мин3. СохранитьдоказательстваБаланс ипозицииИстория входовСнимки с отметками времениНомераобращенийT+15–60 мин4. Сообщить об инцидентеБрокер и банкСоответствующий CERT /полицияПроверка устройстваБезопасное восстановлениеЦель: в течение 24 чСмена пароля может не отозвать API-доступ. Используйте официальный канал брокера с доверенного устройства.
Открыть схему в полном размере
Реагирование трейдера: четыре этапа первых 24 часов после компрометации данных — от немедленного запроса блокировки вывода до официальных сообщений.
  1. Наряду со сменой пароля отзовите сеансы. Завершите сеансы всех устройств на портале, затем смените пароль. Смена пароля не всегда завершает сеансы. Если такой функции нет, прямо сообщите об этом горячей линии брокера.
  2. Защитите почту. Смените пароль, завершите сеансы и проверьте пересылки и фильтры. Правило, отправляющее письма брокера в корзину, может скрывать взлом.
  3. Позвоните брокеру по заранее сохранённому номеру, а не указанному в письме. Попросите приостановить вывод и отметить подозрение на взлом. Узнайте, менялись ли за последние часы контакты или получатели.
  4. Сбросьте второй фактор. Отзовите затронутые данные и настройте MFA заново. Создайте новые коды восстановления и аннулируйте старые.
  5. Отозвать API-ключи и проверьте, не появились ли новые. Ключ с правом торговли может остаться действительным после смены пароля.
  6. Проверьте реквизиты вывода и белый список. Сообщите о незнакомом счёте как о части того же инцидента, а не отдельном административном вопросе.
  7. Документируйте всё. Сохраните датированные снимки, письмо с полными заголовками, историю входов и номер обращения на горячую линию. Это поддержит жалобу или последующий спор с брокером.
  8. Проверьте устройство. При подозрении на вредоносное ПО — незнакомые окна, расширения или необъяснимое замедление — используйте чистое устройство до выяснения, как указано в части 5.
  9. Сообщите о случившемся. Сообщите о несанкционированном выводе полиции и надзорному органу брокера. В польском примере технический инцидент — фишинг, взлом почты или устройства — отдельно направляется CERT Polska через incydent.cert.pl[14]. Этот технический канал не заменяет заявления о преступлении или жалобы брокеру и не решает вопрос возврата. Вне Польши используйте соответствующий национальный канал. статья 13.7 объясняет отличие жалобы от надзорных действий и соответствующие процедуры.

Чего не делать: не устанавливайте присланную незваным звонящим программу «проверки компьютера», не давайте удалённый доступ и не вносите ещё денег для «разблокировки вывода». Каждая просьба может быть вторым этапом той же атаки.

Список не защищает от рыночных убытков. Его цель — снизить риск потери контроля по нерыночным причинам, многие из которых устраняются внимательной настройкой.

Ежеквартальная проверка. Пересматривайте пункты каждые три месяца. Права доступа и VPS меняются, исправления надо устанавливать. Не меняйте сильные уникальные пароли лишь из-за времени; меняйте после взлома или обоснованного подозрения. Внесите регулярную проверку безопасности торговли в календарь как обязательное обслуживание.

FAQ — кибербезопасность трейдера форекс

Достаточно ли SMS 2FA для защиты брокерского счёта?
SMS 2FA лучше отсутствия 2FA, но слабее TOTP или аппаратного ключа. Подмена SIM переносит номер через оператора; время и стоимость зависят от страны и имеющихся данных о жертве. После захвата номера атакующий получает SMS-коды. Рекомендуемый минимум — офлайн-TOTP, например Google Authenticator без облачной синхронизации, или аппаратный ключ YubiKey. Облачный резерв секретов добавляет точку отказа в обмен на удобство. Для торгового счёта предпочтительны офлайн-схема и физически хранимые коды восстановления. Только SMS без TOTP у брокера — существенное ограничение его защиты.
Что делать, если я потерял телефон с приложением 2FA?
Если брокер их выдал, используйте сохранённые при настройке коды восстановления. Храните их распечатанными и физически защищёнными, а не в телефоне. Без кодов обратитесь к брокеру для проверки личности и сброса 2FA: возможны документ, видео и другие проверки. Потеря доступа при волатильности — финансовый риск. Практический вариант — коды в сейфе и старый смартфон с секретами TOTP, надёжно хранимый с отключённым Wi-Fi и без SIM. Это резерв для активного трейдера, который не может допустить потери доступа в волатильность.
Стоит ли использовать VPN для торговли?
VPN — дополнительный уровень, в том числе на публичном Wi-Fi, а не обязательное условие. Основа — действительный HTTPS без предупреждений сертификата, вручную введённый правильный домен, обновлённые устройства и устойчивая к фишингу MFA. FTC отмечает, что широкое шифрование обычно делает публичный Wi-Fi безопасным[13]. При недоверии к сети или желании сократить раскрытие сопутствующего трафика рассмотрите VPN или раздачу телефона. Дома оцените модель угроз и роутер: устаревшая прошивка или небезопасные стандартные данные создают риск. Для регулярного VPN рассмотрите стабильную точку выхода: смена IP и необычные страны могут вызывать проверки брокера в зависимости от контроля лица. Оценивайте финансирование, политику логов и аудиты бесплатного VPN, а не лишь цену: одни тарифы финансируются платными подписками, другие — монетизацией трафика.
Как защитить MT4/MT5 на телефоне?
Включите блокировку PIN, отпечатком или Face ID. Избегайте ненужного сохранения данных в MT4/MT5; вводите пароль вручную или автозаполнением менеджера. Обновляйте приложение. Не входите на чужих телефонах. Отключите предпросмотр уведомлений на заблокированном экране, скрыв коды 2FA и предупреждения от посторонних. Потеряв телефон, быстро смените пароль брокера с другого доверенного устройства.
Что делать при подозрении на несанкционированный доступ к счёту?
Немедленно: (1) с доверенного устройства отзовите сеансы брокера, затем смените пароль; (2) так же защитите связанную почту — вышестоящий уровень; (3) позвоните на официальный номер, не доверяя потенциально взломанной почте, и запросите временную блокировку; (4) проверьте историю на незнакомые IP, устройства и места; (5) проверьте выводы и попросите отменить чужие; (6) включите или сбросьте 2FA. Сохраняйте снимки, даты и время. Сообщите о незаконном выводе полиции и регулятору; в Польше отдельно направьте технический инцидент CERT Polska через incydent.cert.pl, вне её — в соответствующий национальный канал. часть 7 подробнее объясняет действия после фишинговой страницы, где вы сами подтвердили MFA.
Может ли EA украсть мои учётные данные?
Вредоносный EA может торговать на счёте: вы можете установить его после обещания Telegram «300 пипсов в неделю». Различайте два уровня разрешений. Обычный MQL не имеет неограниченного доступа: MetaQuotes описывает файловую песочницу, а WebRequest требует добавления сервера в разрешённые URL терминала[12]. Разрешение DLL даёт отдельное право, выводящее внешний код за эти ограничения, как описано в части 6. Не включайте DLL для неизвестного EA. Просьба выключить антивирус «чтобы заработало» — серьёзный сигнал зловреда. Используйте MQL5 Market или разработчиков с проверенной репутацией, понимая, что канал не гарантирует прибыльности или полной безопасности.
Статья 13.8 · Регулирование и безопасность · апрель 2026

Источники

  1. OWASP Foundation, “Credential Stuffing Prevention Cheat Sheet”, cheatsheetseries.owasp.org/cheatsheets/Credential_Stuffing_Prevention_Cheat_Sheet.html — определяет проверку пар логин/пароль из утечки другого сервиса и описывает меры на стороне сервиса: MFA, ограничения IP и обнаружение незнакомых устройств и адресов. Не измеряет долю захватов брокерских счетов через этот вектор; здесь такая статистика ему не приписывается. Доступ: 31 августа 2026 года.
  2. National Institute of Standards and Technology (NIST), “Digital Identity Guidelines — SP 800-63B-4”, pages.nist.gov/800-63-4/sp800-63b/authenticators/ — раздел 3.1.1.2: минимум 15 символов, если пароль — единственный фактор, или 8 в составе MFA; раздел 3.1.3.3: аутентификация через публичную телефонную сеть, включая SMS, ограничена, требуется альтернатива; раздел 3.1.7 охватывает многофакторные криптографические аутентификаторы. Ранее цитировавшаяся редакция SP 800-63B от 2 марта 2020 года заменена SP 800-63B-4, окончательно выпущенной 31 июля 2025 года; выше применяется её нумерация. Не сокращайте обозначение до «SP 800-63-4»: этот отдельный рамочный документ заменил SP 800-63-3, а не SP 800-63B. Статус проверен на csrc.nist.gov/pubs/sp/800/63/b/4/final. Доступ: 1 сентября 2026 года.
  3. Financial Conduct Authority, “PS26/2: Operational incident and third party reporting”, fca.org.uk/publications/policy-statements/ps26-2-operational-incident-third-party-reporting — заявление политики от 18 марта 2026 года: определение операционного инцидента, пороги и стандартный процесс уведомления; отдельно — сообщение о существенных сторонних соглашениях и ежегодный реестр. Применение правил запланировано с 18 марта 2027 года. Заменяет устаревшую ссылку прежней статьи лишь на «объявленные требования уведомления об инцидентах». Доступ: 31 августа 2026 года.
  4. Federal Communications Commission, “Protecting Consumers from SIM Swap and Port-Out Fraud”, Report and Order and Further Notice of Proposed Rulemaking, FCC 23-95, WC Docket No. 21-341, docs.fcc.gov/public/attachments/FCC-23-95A1.pdf — принят 15 ноября 2023 года, опубликован 16 ноября 2023 года. Примерно 300 жалоб в 2020 году, 400 в 2021 и 500 в 2022 о подмене SIM и переносах номера — из сноски 13 и записей Consumer Complaint Center Комиссии. Доступ: 31 августа 2026 года (98 страниц; текст локально извлечён в исходном польском аудите).
  5. Vilius Petkauskas, Cybernews, “Mother of all breaches reveals 26 billion records: what we know so far”, cybernews.com/security/billions-passwords-credentials-leaked-mother-of-all-breaches/ — опубликовано 22 января 2024 года; польский аудит источника зафиксировал последнюю дату обновления 15 июня 2026 года. Коллекция 12 TB содержала более 26 миллиардов записей примерно в 3 800 каталогах и описана как, вероятно, крупнейшая компиляция множества утечек (COMB), с высокой вероятностью дубликатов. Это вторичное сообщение об исходных утечках и так трактуется: поддерживает описание компиляции, а не выводы о каждой утечке. Доступ: 31 августа 2026 года.
  6. National Cyber Security Centre (NCSC UK), “Phishing attacks: defending your organisation”, ncsc.gov.uk/guidance/phishing — меры DMARC, SPF и DKIM против подмены отправителя, политика quarantine или reject и простой быстрый канал сообщений о подозрительных письмах. Исходный аудит отдельно проверил охват: она не рассматривает похожие домены, поэтому эта тема ей не приписывается. Доступ: 31 августа 2026 года.
  7. National Cyber Security Centre (NCSC UK), “Recommended types of MFA”, in “Multi-factor authentication for your corporate online services”, ncsc.gov.uk/collection/mfa-for-your-corporate-online-services/recommended-types-of-mfa — предпочтения: 1) данные FIDO2, 2) приложения запрос-ответ, 3) генераторы кодов приложений (TOTP), 4) аппаратные генераторы, 5) коды в сообщениях. Доступ: 31 августа 2026 года.
  8. MetaQuotes, “The checks a trading robot must pass before publication in the Market”, mql5.com/en/articles/2555, 1 August 2016 — обязательные проверки перед публикацией в MQL5 Market и запрет импорта DLL и скомпилированных EX4/EX5 в продуктах Market. Доступ: 31 августа 2026 года.
  9. LastPass, “Notice of Security Incident”, blog.lastpass.com/posts/notice-of-recent-security-incident — уведомление 22 декабря 2022 года с подтверждением копирования клиентских резервных данных, включая хранилища паролей. Чувствительные поля — логины, пароли, заметки — были зашифрованы; некоторые метаданные, включая URL сайтов, — нет. Доступ: 31 августа 2026 года; исходное историческое уведомление повторно проверено 9 октября 2026 года.
  10. Swiss National Bank, “Swiss National Bank discontinues minimum exchange rate and lowers interest rate to -0.75%”, snb.ch/en/publications/communication/press-releases/2015/pre_20150115, 15 January 2015 — источник решения и даты. Страница не указывает время публикации; полный релиз доступен в загружаемом PDF. Доступ: 31 августа 2026 года.
  11. Regulation (EU) 2022/2554 of the European Parliament and Council of 14 December 2022 on digital operational resilience for the financial sector (DORA), CELEX 32022R2554, OJ EU L 333, 27.12.2022 — управление ИКТ-рисками и сообщение о значительных ИКТ-инцидентах охватываемыми финансовыми лицами. Статья 2(1) действует с учётом пунктов 3 и 4 и включает «инвестиционные фирмы» в (e); статья 2(3)(d) исключает лиц с освобождениями по статьям 2 и 3 Директивы 2014/65/EU. Польский текст исходного аудита получен через publications.europa.eu/resource/celex/32022R2554; заголовок — «27.12.2022 PL Official Journal of the European Union L 333/1». Заключительные положения прямо устанавливают применение с 17 января 2025 года и вступление в силу на двадцатый день после публикации. Публикация 27 декабря 2022 года даёт 16 января 2023 года; акт не указывает последнюю дату цифрами. Доступ: 1 сентября 2026 года.
  12. MetaQuotes, MQL5 Reference documentation, “FileOpen” (mql5.com/en/docs/files/fileopen) and “WebRequest” (mql5.com/en/docs/network/webrequest) — файловые операции ограничены песочницей, а WebRequest требует внесения URL сервера в список разрешённых в «Советниках» раздела «Настройки». Документация указывает: «Файлы, с которыми проводятся файловые операции средствами MQL5, не могут находиться вне файловой песочницы». Доступ: 31 августа 2026 года. Контекст DLL дополнительно проверен в Microsoft «About Dynamic-Link Libraries», learn.microsoft.com/en-us/windows/win32/dlls/about-dynamic-link-libraries, 9 октября 2026 года.
  13. Federal Trade Commission, “Are Public Wi-Fi Networks Safe? What You Need To Know”, consumer.ftc.gov/articles/are-public-wi-fi-networks-safe-what-you-need-know, February 2023 — широкое шифрование обычно делает публичный Wi-Fi безопасным, но мошенники тоже шифруют поддельные сайты. Одно шифрование не определяет получателя данных. Доступ: 31 августа 2026 года.
  14. Польский практический пример: CERT Polska действует в NASK, национальном исследовательском институте, и выполняет обязанности CSIRT NASK как одна из трёх национальных команд реагирования (cert.pl/o-nas). Форма — incydent.cert.pl, «Zgłoś incydent | CERT.PL». Здесь она указана исключительно как канал сообщения о технических инцидентах: источник не устанавливает ни порядок финансовой жалобы, ни решение о возврате. Вне Польши используйте соответствующий национальный канал. Доступ: 1 сентября 2026 года.

Ваш прогресс обучения

Закончили урок? Отметьте это самостоятельно. Открытие или прокрутка страницы не засчитывают прохождение.

Для сохранения прогресса нужны JavaScript и хранилище браузера.

Сохраняется только в этом браузере. Без аккаунта и синхронизации устройств. Очистка данных сайта может удалить прогресс.

Jarosław Wasiński

Главный редактор, ForexMechanics.com • Макро- и валютный аналитик

Независимый аналитик и профессионал с более чем 20-летним опытом работы на финансовых рынках. Активно работает на Форексе с 2004 года, специализируется на фундаментальном анализе, структуре внебиржевого (OTC) рынка и дисциплинированном управлении риском капитала.

  • Основатель и главный редактор MyBank.pl, который с 2004 года предоставляет надёжное финансовое образование.
  • Автор сотен глубоких рыночных комментариев, структурных аналитических материалов и обучающих пособий для трейдеров и инвесторов.
  • Сторонник прозрачности рынка, продвигает обучение, основанное на конкретных данных и институциональных отчётах (BIS, ESMA, CFTC).

Все материалы носят исключительно образовательный и информационный характер – они не являются инвестиционной рекомендацией или каким-либо советом. Помните: торговля с кредитным плечом (Форекс/CFD) сопряжена с высоким риском быстрой потери капитала.