Брутфорс, взлом
и пентест

Подбор паролей перебором — брутфорс — простая атака и частая причина утечек в небольших сервисах. У неё две правовые стороны. Тот, кто перебирает пароли к чужому сервису, рискует уголовным делом. Тот, чей сервис не ограничивает попытки входа, отвечает за утечку как оператор. В главе разобраны обе стороны и граница между взломом и законным тестированием на проникновение.

Законы: УК РФ ст. 30, 159.6, 272, 273 · 152-ФЗ ст. 19 · КоАП РФ ст. 13.11
Уровень: Средний
Связанные главы: 3.5 Утечка · 7.4 Парсинг · 9.2 КИИ
Зачем это знать: Чтобы «проверить чужой сайт на прочность» не стало эпизодом уголовного дела, а свой сервис не стал источником утечки

§1Что такое брутфорс

Брутфорс — перебор паролей, кодов или ключей до подбора верного. Разновидности: перебор паролей к одному аккаунту, перебор одного популярного пароля по многим аккаунтам (password spraying), подстановка пар логин-пароль из утёкших баз (credential stuffing), перебор кодов из SMS. Все они работают, если сервис не ограничивает число попыток.

§2Сторона атакующего

УК РФст. 272, ч. 1–2ред. от 04.08.2026
1. Неправомерный доступ к охраняемой законом компьютерной информации, если это деяние повлекло уничтожение, блокирование, модификацию либо копирование компьютерной информации, за исключением случаев, предусмотренных статьей 272.1 настоящего Кодекса, -
наказывается штрафом в размере до двухсот тысяч рублей […], либо принудительными работами на срок до двух лет, либо лишением свободы на тот же срок.
2. То же деяние, причинившее крупный ущерб или совершенное из корыстной заинтересованности, -
наказывается […] лишением свободы на срок до четырех лет.

Что сделал	Квалификация	Максимум
Подобрал пароль к чужому аккаунту и просмотрел или скачал данные	ст. 272 ч. 1 — доступ повлёк копирование	2 года
То же ради продажи доступа или данных	ст. 272 ч. 2 — корыстная заинтересованность	4 года
Скачал базу с персональными данными	ст. 272.1 — незаконные сбор и хранение ПДн (глава 3.5)	4–10 лет в зависимости от части
Перебирал, но не подобрал	покушение (ст. 30 УК) — наказание не более 3/4 максимума	—
Написал и распространяет программу для перебора, заведомо предназначенную для нейтрализации защиты	ст. 273 — вредоносные программы	4 года, при корысти — 5 лет
Через взломанный аккаунт вывел деньги или бонусы	ст. 159.6 — мошенничество в сфере компьютерной информации	до 10 лет в особо крупном размере

Обязательный признак ст. 272 — последствие: информация скопирована, изменена, заблокирована или уничтожена. Просмотр чужих данных в браузере, как правило, сопровождается их копированием на устройство. Отсутствие злого умысла («хотел проверить защиту») от ответственности не освобождает: доступ без разрешения владельца неправомерен.

Инструменты для тестирования

Утилиты для перебора паролей и сканеры уязвимостей распространены открыто и используются в легальных проверках. Статья 273 требует, чтобы программа была заведомо предназначена для несанкционированного воздействия. Суды оценивают это по обстоятельствам: где и как программа используется. Инструмент, запущенный против чужой системы без разрешения, становится орудием преступления.

§3Законный пентест и bug bounty

Тестирование на проникновение законно, когда владелец системы дал письменное разрешение. Разрешение оформляется договором, в котором указаны:

ОбъектыДомены, IP-адреса, приложения, которые можно проверять. Всё остальное — вне разрешения.
МетодыЧто разрешено: перебор паролей на тестовых аккаунтах, сканирование, социальная инженерия — или запрещено.
ВремяПериод работ, окна, когда нагрузка допустима.
ДанныеЧто делать с найденными персональными данными: не копировать, не выгружать, сразу сообщить.
Отчёт и конфиденциальностьКому передаются результаты и как долго хранятся.

Программы bug bounty — публичные приглашения искать уязвимости за вознаграждение на российских платформах. Их правила — та же оферта с перечнем объектов и методов. Выход за рамки правил, например выгрузка базы для доказательства, превращает исследование в неправомерный доступ.

Случай из роликаЧто будет, если «проверить» брутфорсом вход на сайт конкурента

Разрешение

Нет договора и нет программы bug bounty у конкурента — доступ неправомерен.

Пароль не подобран

Покушение на неправомерный доступ; конкурент вправе обратиться в полицию, журналы запросов с IP-адресами — доказательства.

Пароль подобран, данные просмотрены

Оконченное преступление по ст. 272; если среди данных персональные — ст. 272.1.

Нагрузка уронила сайт

Убытки конкурента (упущенная выгода за время простоя) взыскиваются в гражданском порядке отдельно.

§4Сторона владельца сервиса

Если в сервисе подобрали пароли пользователей и выгрузили их данные, оператор отвечает за то, что не обеспечил защиту (ст. 19 закона 152-ФЗ): штрафы ч. 12–15 ст. 13.11 КоАП и уведомление за 24 часа (глава 3.5). Ограничение попыток входа — минимальная мера из п. 6 и 8 ч. 2 ст. 19: обнаружение несанкционированного доступа и правила доступа.

login_guard.py · ограничение попыток входа

MAX_PER_ACCOUNT = 5        # попыток за 15 минут на один логин
MAX_PER_IP      = 30       # попыток за 15 минут с одного адреса

def check_login_allowed(login: str, ip: str) -> None:
    if redis.incr_ttl(f"fail:acc:{login}", 900) > MAX_PER_ACCOUNT \
       or redis.incr_ttl(f"fail:ip:{ip}", 900) > MAX_PER_IP:
        audit.log("login_throttled", login=login, ip=ip)   # журнал — для расследования
        raise TooManyRequests(retry_after=900)          # ответ 429 с Retry-After

Лимиты попытокПо аккаунту и по IP; ответ 429 с Retry-After. Разбор кода 429 — в справочнике по HTTP API, глава 4.3.перебор

Второй факторКод по SMS или из приложения для входа с нового устройства.подбор бесполезен

Проверка утёкших паролейПри регистрации и смене пароля сверять его хеш с базами известных утечек.credential stuffing

Журнал и оповещенияМассовые неудачные входы — сигнал инцидента; журнал хранится отдельно от базы.обнаружение

Справочник «Стандартизация HTTP API», глава 4.3 — заголовки лимитов и Retry-After

§5Частые ошибки

«Я только проверял защиту»Без письменного разрешения владельца доступ неправомерен.

Выгрузить данные «для доказательства»Копирование — признак оконченного преступления по ст. 272 и 272.1.

Нет лимита попыток входаУтечка через перебор — нарушение обязанности оператора по защите.

Пентест без описания объектовПроверка «соседнего» домена, не указанного в договоре, — вне разрешения.

§6Проверьте себя

Какое последствие должно наступить, чтобы доступ был преступлением по ст. 272 УК?
Как квалифицируется перебор паролей без успеха?
Когда программа для перебора паролей становится вредоносной по ст. 273?
Что указывают в договоре на тестирование на проникновение?
Какие меры против брутфорса следуют из ст. 19 закона 152-ФЗ и как их реализовать в коде?

Атакующий272 — доступ + копированиекорысть — до 4 летПДн — 272.1попытка — покушение

Инструменты273 — заведомо вредоносные159.6 — хищение через систему

Законнописьменный договоробъекты, методы, времяbug bounty по правилам

Защиталимиты + 429второй факторжурнал и оповещения

Справочник «Вайбкодинг в России» · модуль 9 · глава 9.1Макаров Максим Николаевич