Кибербезопасность для подростков: этичный хакинг, защита аккаунтов и выбор курса

Частое заблуждение: этичный хакер — тот, кто взламывает с добрыми намерениями. Восьмиклассник замечает, что в школьном электронном журнале можно подставить в адрес страницы чужой номер ученика, проверяет догадку на трёх одноклассниках и гордо рассказывает учителю. Намерение хорошее, но чужие оценки он открыл без разрешения владельца системы. Этичным хакинг делает не цель, а разрешение: правильно было остановиться после первого подозрения и описать уязвимость администратору журнала.

Что входит в навык и чем он отличается от соседних тем

Защитная часть — гигиена собственной цифровой жизни. Подросток составляет список своих аккаунтов, выясняет, к какой почте и какому телефону привязан каждый, включает вход по коду из приложения и раз в месяц смотрит активные сеансы. Здесь появляется главное умение специалиста: видеть систему целиком и находить слабое звено. Обычно это почта, через которую восстанавливается всё остальное.

Исследовательская часть — задачи, в которых атаковать разрешено. На CTF (capture the flag, «захват флага») участник ищет спрятанную строку-флаг: расшифровывает сообщение, находит ошибку в учебном сайте, восстанавливает файл, разбирает сетевой трафик. Цель каждой задачи создана организаторами специально для взлома.

Для детей 6–14 лет у нас есть статья о компьютерной грамотности, где безопасность сведена к правилам поведения и детским аккаунтам. Статья о кибербезопасности адресована сотруднику и владельцу бизнеса, а пентест и профессия пентестера описаны для взрослых, которые проверяют системы по договору. Здесь речь об увлечении и профориентации.

Учебный пример: угнанный игровой аккаунт

Ситуация условная. Девятикласснику пишет «друг» и просит проголосовать за его команду по ссылке. Страница похожа на вход в игровую платформу, школьник вводит логин и пароль и через час теряет аккаунт с купленными предметами. Пароль от почты был таким же.

Разбор начинается с вопроса «что ещё откроется этим ключом». Сначала нужно вернуть почту, сменить пароль и завершить чужие сеансы, затем восстановить игровой аккаунт через поддержку, поменять повторявшиеся пароли и включить вход по коду из приложения. Вывод для будущего специалиста: атака не требовала никакой техники, сработали доверие к знакомому имени и повторный пароль. Это первый урок социальной инженерии.

Где проходит граница закона

Статьи 272–274.1 Уголовного кодекса наказывают за неправомерный доступ к компьютерной информации, создание и распространение вредоносных программ, нарушение правил эксплуатации и воздействие на критическую инфраструктуру. Правомерным доступ делает только согласие владельца системы, поэтому «я просто проверял» оправданием не служит.

Родителям полезно понимать, как здесь устроен возраст. По ч. 1 ст. 20 УК уголовная ответственность наступает с 16 лет, а ч. 2 перечисляет преступления, за которые отвечают с 14 (ст. 20 УК РФ на КонсультантПлюс, редакция от 04.08.2026). Статей 272–274.1 в перечне нет, поэтому за сам взлом отвечают с 16 — ученики 10–11 классов уже наравне со взрослыми. Но в перечне есть кража (ст. 158) и заведомо ложное сообщение об акте терроризма (ст. 207). Пункт «г» ч. 3 ст. 158 — кража «с банковского счета, а равно в отношении электронных денежных средств» — предусматривает до шести лет лишения свободы (ст. 158 УК РФ). Четырнадцатилетний, который зашёл в чужой аккаунт и перевёл деньги с привязанной карты, отвечает не как «юный хакер», а как вор. Письмо в школу о «минировании» ради шутки — тоже ответственность с 14 лет.

Есть и деньги. По ст. 1074 Гражданского кодекса подросток 14–18 лет сам отвечает за причинённый вред, а если у него нет доходов или имущества, ущерб возмещают родители, если не докажут, что не виноваты (ст. 1074 ГК РФ). Отсутствие уголовного дела до 16 лет не означает отсутствия последствий: остаются иск и комиссия по делам несовершеннолетних.

Тренироваться можно на своём компьютере, на собственных виртуальных машинах и на площадках, где атаковать прямо разрешено. Даже там рамки прописаны в правилах. Школьный CTF picoCTF Университета Карнеги — Меллона допускает участников с 13 лет, младше 18 — с согласия родителя, а атаку на сервер подсчёта очков, другие команды или машины, не названные целями, считает нарушением (правила picoCTF 2025).

С чего начать: порядок освоения

Каждый шаг объясняет следующий. Без понимания того, как браузер разговаривает с сервером, уязвимость сайта выглядит фокусом, а без командной строки большая часть задач CTF просто не запустится. Поэтому сначала основы, потом инструменты и только затем соревнования.

1. Привести в порядок свои аккаунты: менеджер паролей, второй фактор, резервные коды.
2. Поставить виртуальную машину с Linux и освоить командную строку: папки, поиск файлов, права доступа.
3. Разобраться в сети и вебе: IP-адрес, DNS, запросы HTTP, cookie и сессии; посмотреть в инструментах разработчика браузера, какие запросы отправляет знакомый сайт.
4. Написать на Python маленькие программы: шифр Цезаря, перебор ключа к нему, подсчёт хеша файла.
5. Перейти к задачам начального уровня: криптография, работа с файлами, простые веб-задания.
6. После каждой решённой задачи писать разбор (write-up): условие, ход решения, что не сработало.

Разборы часто пропускают, хотя именно они показывают, что подросток понимает происходящее, а не повторяет чужие команды. Они же становятся первым портфолио.

Типичные ошибки и как проверить себя

Самая опасная ошибка — скачать «программу для взлома ВК» из Telegram-канала. Чаще всего это вредонос, который крадёт пароли самого скачавшего, а распространение таких программ подпадает под ст. 273 УК. Вторая ошибка — пробовать технику с CTF на школьном сайте «просто посмотреть». Третья — запускать сканеры, не понимая, какие запросы они отправляют.

Проверить уровень можно без экзаменов. Сможете ли вы объяснить младшему брату, чем опасен одинаковый пароль на двух сайтах? Опишете ли по шагам, что происходит после ввода адреса в браузере? Решаете ли задачи начального уровня без чужого разбора? Если да, пора к командным соревнованиям.

Когда нужен онлайн-курс

Первые три шага можно пройти самостоятельно, но дальше подросток часто упирается в одиночество: задача не решается неделю, спросить некого. Курс полезен, когда нужны регулярный темп, преподаватель, который объяснит ошибку, и ровесники для командных задач. Важно, чтобы практика шла на учебных стендах, а правовая часть была отдельной темой.

Для старшеклассников 14–18 лет подходит онлайн-курс Академии ТОП «Кибербезопасность и этичный хакинг для подростков»: шесть месяцев, 192 академических часа, восемь модулей — от устройства интернета через SQL-инъекции, межсайтовый скриптинг, защиту личных данных и криптографию к модулю о правилах этичного специалиста и финальному мини-CTF. Практика идёт на симуляторах и учебных задачах.

Подростку помладше или тому, кто ещё не программирует, тяжело даются задачи, где нужно одновременно разбираться в сети, вебе и коде. Ему лучше подойдёт программа с плавным входом и маленькой группой.

Для 12–16 лет такой вариант — онлайн-курс CODDY «Этичный хакер»: учебный год из девяти модулей по 8 астрономических часов, занятия индивидуально или в группе до восьми человек. В программе — социальная инженерия, шифрование на Python, сетевые атаки, фишинг, межсайтовый скриптинг, MySQL, модели OSI и TCP/IP, командная строка Windows и Linux. Итоговый проект в описании не упомянут, формат проверки знаний уточните у школы.

Если ребёнку 10–13 лет и программировать хочется больше, чем взламывать, разумно начать с кода, в который безопасность встроена с первых задач, а к стендам перейти позже.

Под этот сценарий подходит онлайн-курс Skillbox «Кибербезопасность и приложения на Python» для 10–15 лет: восемь месяцев, в первом модуле — функции, циклы, объектно-ориентированное программирование, цифровой след и приложение для хранения паролей в зашифрованном виде; дальше — хеширование и шифрование, анализ данных и работа с API. Какой документ выдают по итогам, на странице не указано.

Сколько стоит и что даёт

По данным страниц курсов в каталоге, у Академии ТОП онлайн-формат стоит 5 270 ₽ в месяц, весь курс — от 31 620 ₽ (данные на 14.10.2026); у CODDY — 8 080 ₽ за модуль, около 72 720 ₽ за год (на 04.09.2026); у Skillbox — 74 400 ₽ (данные на 29.09.2026).

Документ по итогам — сертификат или справка школы. Он подтверждает подготовку, но не даёт квалификации и права оказывать услуги по защите информации. Подростку курс даёт другое: понимание, нравится ли ему эта работа, портфолио разборов и подготовку к поступлению на направления группы «Информационная безопасность». Есть ли по профилю олимпиады с льготами при поступлении, проверяйте в актуальном перечне Российского совета олимпиад школьников.

Заработок на этом этапе не цель: программы bug bounty ограничивают возраст участников, а зарплаты взрослых специалистов школьнику мало что скажут. Чтобы понять перспективу, откройте раздел зарплат «Хабр Карьеры», выберите специализацию «Информационная безопасность», уровень «Младший» и посмотрите медиану по своему региону.

Как выбрать обучение

Перед оплатой задайте школе несколько вопросов. Порядок неслучаен: сначала законность практики, затем содержание, затем формат. Если на первые вопросы нет внятного ответа, остальные уже неважны.

• Где выполняются практические задания: на стендах школы, на виртуальных машинах ученика или «на реальных сайтах»? Последний ответ — повод отказаться.
• Есть ли отдельное занятие о законе и этике?
• Сколько часов приходится на живые занятия, сколько учеников в группе, проверяет ли преподаватель решения?
• Нужно ли уметь программировать до старта?
• Будут ли соревнования и разборы решений?

Сравнить школы поможет рейтинг онлайн-школ по информационной безопасности — он широкий и составлен в основном по программам для взрослых, поэтому смотрите в нём на репутацию школы и методику, а детский курс выбирайте по ответам на вопросы выше.

Готовность легко проверить за месяц. Если подросток сам навёл порядок в аккаунтах, поставил Linux на виртуальную машину и с интересом решил первые задачи по криптографии, курс поможет двигаться быстрее. Если интерес держится только на фильмах о хакерах, начните с бесплатных задач и посмотрите, что останется через несколько недель.