Większość porad o hasłach, które krążą po internecie, jest już nieaktualna. „Duże i małe litery, cyfra, znak specjalny, zmieniaj co 30 dni” to zalecenia sprzed lat, które w praktyce prowadzą do haseł typu Haslo1! i karteczki przyklejonej do monitora. Poniżej znajdziesz podejście, które faktycznie działa i którego trzymają się dziś specjaliści od bezpieczeństwa.
Sprawdź, jak silne jest Twoje hasło
Wpisz hasło albo kliknij przykład. Zobaczysz, ile czasu zajęłoby jego złamanie i co poprawić.
Twoje hasło nie opuszcza tej strony. Siłę hasła liczymy wyłącznie w Twojej przeglądarce i niczego nie zapisujemy. Przy sprawdzaniu wycieku do bazy Have I Been Pwned trafia tylko 5 pierwszych znaków skrótu hasła (tzw. skrótu SHA-1), z których nie da się go odtworzyć. Mimo to dla spokoju sprawdzaj hasło podobne do prawdziwego, a nie hasło do banku. Wyniki są szacunkowe: narzędzie zna najpopularniejsze hasła i słowa angielskie oraz najczęstsze polskie, ale nie cały słownik polski.
01 Skala problemu: dlaczego to w ogóle ma znaczenie
Firmy i serwisy, z których korzystasz, regularnie padają ofiarą włamań. Bazy danych z adresami e-mail i hasłami wyciekają i trafiają do internetu, czasem lata po samym incydencie. Jeśli używasz jednego hasła w kilku miejscach, wystarczy że wycieknie ono z jednego, mało istotnego dla Ciebie serwisu (np. forum, sklepu internetowego), a ktoś obcy zaloguje się nim także na Twoją pocztę czy bankowość.
To nie jest scenariusz teoretyczny. To najczęstszy sposób, w jaki przejmowane są konta prywatne. Nie potrzeba do tego zaawansowanego hakerstwa, wystarczy automatyczne sprawdzenie wyciekniętej pary e-mail plus hasło na liście popularnych serwisów. Ta metoda ma nawet swoją nazwę: credential stuffing, czyli „upychanie danych logowania”.
02 Jak hasła są łamane w praktyce
Żeby wybrać dobre hasło, warto wiedzieć, z czym się mierzy. Atakujący najczęściej korzystają z czterech sposobów:
Hasło z innego wycieku
Program bierze e-maile i hasła z dawnych wycieków i próbuje nimi logować się do poczty, banków i sklepów. Chroni przed tym tylko osobne hasło do każdego serwisu.
Zgadywanie przez stronę logowania
Ktoś próbuje popularnych haseł na Twoim koncie. Serwisy zwykle blokują to po kilku próbach, więc działa to tylko na hasła z listy najczęstszych, takie jak 123456 czy qwerty.
Łamanie wykradzionej bazy
Gdy baza haseł wycieknie, atakujący sprawdza miliardy kombinacji na sekundę na własnym komputerze, bez żadnych blokad. Tu wygrywa tylko długie, nieprzewidywalne hasło.
Wyłudzenie, czyli phishing
Fałszywa strona banku albo kuriera prosi o zalogowanie. Tu nie pomoże żadne hasło, pomagają weryfikacja dwuskładnikowa i klucze dostępu (punkty 06 i 07).
Programy do łamania haseł nie zgadują na ślepo. Najpierw sprawdzają listy wycieków i słowniki, potem imiona, daty, popularne zamiany (@ zamiast a, 0 zamiast o) i dopiski typu 1! na końcu. Dlatego P@ssw0rd! wygląda na skomplikowane, a pada w ułamku sekundy.
03 Jak wygląda słabe, a jak silne hasło
Długość ma większe znaczenie niż kombinacja znaków. Hasło złożone z ośmiu znaków komputer łamie dziś w ciągu minut lub godzin. Hasło złożone z kilku przypadkowych słów może wymagać setek lat.
Kasia1990
qwerty123
Haslo1!
Imię, data urodzenia, popularne słowo z jedną cyfrą na końcu. Łamane automatycznie w kilka sekund.
fioletowy-kubek-metro-92
7mostów!zaJeziorem
Kilka niepowiązanych słów albo cała fraza. Długie, łatwe do zapamiętania, praktycznie niemożliwe do odgadnięcia.
Haslo1!
Łamane w ok. 1 sekundę
Haslo2026!
Łamane w ok. 17 minut
fioletowy-kubek-metro-92
Łamane ponad 100 lat
Szacunek dla wykradzionej, dobrze zabezpieczonej bazy haseł (10 tysięcy prób na sekundę), wyliczony tym samym narzędziem, które znajdziesz na górze artykułu.
04 Metoda hasła-frazy: najlepszy kompromis
Weź cztery, pięć przypadkowych, niepowiązanych ze sobą słów i połącz je myślnikiem lub inną prostą regułą. Najlepiej takie, które nic o Tobie nie mówią, czyli nie imiona bliskich, nie ulubiony zespół muzyczny.
Przykład: rower-cytryna-poniedziałek-lampa. To ponad 30 znaków, więc praktycznie nie do złamania siłową metodą, a jednocześnie łatwe do zapamiętania, bo to po prostu cztery zwykłe słowa w kolejności, którą sam wymyśliłeś. Nowsze wytyczne dotyczące bezpieczeństwa haseł (m.in. amerykańskiego instytutu standaryzacji NIST) od kilku lat rekomendują właśnie długość i unikalność zamiast wymuszania cyfr, znaków specjalnych i częstej zmiany hasła, bo te ostatnie realnie nie poprawiają bezpieczeństwa, a psują pamięć.
Tej metody warto używać przynajmniej do jednego, najważniejszego hasła, tego do menedżera haseł opisanego niżej, oraz do poczty głównej, bo przez nią można zresetować dostęp do większości innych kont.
Słowa muszą być naprawdę losowe
Siła hasła-frazy bierze się z tego, że słowa są przypadkowe. Ludzie wymyślający „losowe” słowa wybierają podobnie: kot, słońce, kawa. Lepiej użyć generatora haseł w menedżerze (ma tryb „fraza” albo „słowa”), rzucić kostką według listy słów albo otworzyć książkę na przypadkowej stronie i wziąć pierwsze rzeczownik z każdej z kilku stron.
| Liczba słów | Baza dobrze zabezpieczona 10 tys. prób/s | Baza słabo zabezpieczona 10 mld prób/s |
|---|---|---|
| 3 słowa | ok. 1,5 roku | poniżej minuty |
| 4 słowa | ok. 11 600 lat | ok. 4 dni |
| 5 słów | miliony lat | ok. 90 lat |
| 6 słów | miliardy lat | ok. 700 tysięcy lat |
Wniosek: do zwykłych kont wystarczą 4 słowa, ale hasło główne do menedżera haseł i do poczty niech ma 5–6 słów. Każde dodatkowe słowo mnoży czas łamania ponad siedem tysięcy razy, a przecinek czy cyfra na końcu dodają bardzo niewiele.
Jak to zapamiętać
- Ułóż ze słów obrazek albo krótką, absurdalną scenkę: rower wiezie cytrynę w poniedziałek pod lampą. Mózg dużo łatwiej pamięta obrazy niż ciągi znaków.
- Przez pierwszy tydzień wpisuj hasło ręcznie, zamiast je wklejać. Po kilku dniach będziesz je pisać z pamięci.
- Polskie znaki (ą, ę, ł) są w porządku, ale bywają kłopotliwe na obcej klawiaturze albo w starszych systemach. Jeśli często logujesz się z różnych urządzeń, pisz bez nich:
poniedzialek. - Hasło główne możesz zapisać na kartce i schować w domu, np. razem z ważnymi dokumentami. Kartka w szufladzie jest bezpieczniejsza niż krótkie hasło w głowie. Nie noś jej w portfelu i nie przyklejaj do monitora.
05 Menedżer haseł: dlaczego warto go mieć
Nikt nie jest w stanie zapamiętać kilkudziesięciu różnych, silnych haseł do wszystkich serwisów, z których korzysta. I nie musi. Menedżer haseł to aplikacja, która generuje losowe, unikalne hasło dla każdej strony i pamięta je za Ciebie. Ty pamiętasz jedno hasło główne, tzw. hasło-frazę z poprzedniego punktu, które odblokowuje resztę.
Bitwarden
Bezpłatny, otwartoźródłowy, działa w przeglądarce, na telefonie i komputerze. Dobry pierwszy wybór dla każdego.
Menedżer haseł Google
Wbudowany w przeglądarkę Chrome i telefony z Androidem. Prosty start, jeśli już używasz konta Google.
Hasła (Apple)
Osobna aplikacja na iPhone, iPadzie i Macu, oparta o iCloud Keychain. Ostrzega też o hasłach, które wyciekły.
1Password
Płatny, ale bardzo dopracowany. Dobry wybór dla rodzin i małych organizacji, które chcą bezpiecznie dzielić się dostępami.
Jak zacząć w 15 minut
- Wybierz menedżer i załóż w nim konto. Ustaw hasło główne z 5–6 losowych słów.
- Zainstaluj go na telefonie i jako rozszerzenie w przeglądarce na komputerze.
- Zapisz kod odzyskiwania (jeśli menedżer go podaje) na kartce i schowaj w bezpiecznym miejscu w domu.
- Zmień hasło do poczty na nowe, wygenerowane przez menedżer. To najważniejsze konto.
- Resztę kont zmieniaj przy okazji: przy każdym logowaniu menedżer zaproponuje silne hasło i zapamięta je. Po kilku tygodniach większość kont będzie już bezpieczna.
Czy przechowywanie wszystkich haseł w jednym miejscu jest bezpieczne? Dobre menedżery szyfrują dane na Twoim urządzeniu, zanim cokolwiek trafi do chmury, a firma nie zna Twojego hasła głównego. To dużo bezpieczniejsze niż to samo hasło używane w wielu miejscach albo zeszyt z hasłami.
06 Weryfikacja dwuskładnikowa (2FA)
Silne hasło to podstawa, ale warto dołożyć drugą warstwę zabezpieczeń tam, gdzie to możliwe, czyli weryfikację dwuskładnikową. Po wpisaniu hasła serwis prosi o dodatkowy, jednorazowy kod. Nawet jeśli ktoś pozna Twoje hasło, bez tego kodu się nie zaloguje.
Najlepiej sprawdzają się aplikacje authenticator, np. Google Authenticator, Microsoft Authenticator albo Authy. Kody SMS też są lepsze niż nic, ale są mniej bezpieczne, bo numer telefonu można przejąć innymi metodami. Włącz 2FA przynajmniej na poczcie, w bankowości i w mediach społecznościowych.
Przy włączaniu 2FA serwis zwykle pokazuje kody zapasowe. Wydrukuj je albo zapisz w menedżerze haseł. Przydadzą się, gdy zgubisz albo zmienisz telefon. Pamiętaj też: żaden bank ani serwis nie dzwoni z prośbą o podanie kodu. Jeśli ktoś o niego prosi, to oszust.
07 Klucze dostępu: logowanie bez hasła
Coraz więcej serwisów, m.in. Google, Apple i Microsoft, pozwala logować się kluczem dostępu (ang. passkey). Zamiast wpisywać hasło, potwierdzasz logowanie tak, jak odblokowujesz telefon: odciskiem palca, twarzą albo kodem PIN. Klucz jest zapisany na Twoim urządzeniu albo w menedżerze haseł i nigdy nie jest nikomu przekazywany.
Największa zaleta: kluczy dostępu nie da się wyłudzić. Działają tylko na prawdziwej stronie serwisu, więc fałszywa strona „banku” niczego z nich nie wyciągnie. Jeśli serwis proponuje utworzenie klucza dostępu, warto się zgodzić.
08 Jak sprawdzić, czy Twoje dane już wyciekły
Samo hasło sprawdzisz narzędziem na górze tego artykułu. Żeby zobaczyć, czy Twój adres e-mail pojawił się w którymś ze znanych wycieków danych, skorzystaj z darmowego, powszechnie uznanego narzędzia Have I Been Pwned, prowadzonego przez niezależnego badacza bezpieczeństwa i wykorzystywanego m.in. przez przeglądarki i menedżery haseł do ostrzegania użytkowników.
Jeśli Twój adres pojawi się na liście, nie panikuj. Zmień hasło do wskazanego serwisu (i do każdego innego miejsca, gdzie używałeś tego samego hasła), a tam, gdzie to możliwe, włącz 2FA.
09 Co zrobić, gdy ktoś przejął Twoje konto
Jeśli nie możesz się zalogować, znajomi dostają od Ciebie dziwne wiadomości albo widzisz logowania, których nie robiłeś, działaj od razu, w tej kolejności:
- Zmień hasło do tego konta, a jeśli nie możesz się zalogować, użyj opcji „Nie pamiętam hasła” albo formularza odzyskiwania konta.
- Zmień hasło do poczty, jeśli to nie ona była przejęta. Przez pocztę resetuje się hasła do innych kont.
- Wyloguj wszystkie urządzenia w ustawieniach bezpieczeństwa konta i włącz 2FA.
- Sprawdź ustawienia poczty: przekierowania i filtry. Włamywacze często ustawiają automatyczne przekazywanie Twoich wiadomości na swój adres.
- Zmień to samo hasło wszędzie, gdzie go używałeś.
- Jeśli chodzi o bank, zadzwoń od razu na infolinię banku z numeru podanego na karcie albo na stronie banku.
- Zgłoś incydent zespołowi CERT Polska na stronie incydent.cert.pl. Podejrzane SMS-y możesz bezpłatnie przekazać na numer 8080.
10 Mity o hasłach
„Hasło trzeba zmieniać co miesiąc”
Nie trzeba. Wymuszana zmiana kończy się hasłami Haslo1, Haslo2, Haslo3. Zmieniaj hasło wtedy, gdy wyciekło albo masz podejrzenie, że ktoś je zna.
„Znaki specjalne robią silne hasło”
Robią to głównie w krótkim haśle. P@ssw0rd! pada natychmiast, bo atakujący znają te zamiany. Długość i losowość dają dużo więcej.
„Nie mam nic cennego, nikt mnie nie zaatakuje”
Ataki są automatyczne i nikt nie wybiera ofiar. Przejęta poczta albo konto w mediach społecznościowych służą do wyłudzeń od Twoich znajomych i rodziny.
„Zapisywanie haseł w przeglądarce jest niebezpieczne”
Wbudowane menedżery haseł w Chrome, Safari czy Firefoksie są szyfrowane i dużo lepsze niż jedno hasło do wszystkiego. Zadbaj tylko o silne hasło do konta Google lub Apple i o 2FA.
11 Czego lepiej unikać
Kilka nawyków, które warto porzucić już dziś:
- Używania tego samego hasła w więcej niż jednym serwisie.
- Haseł zbudowanych z imion, dat urodzenia czy nazw ulubionych drużyn, łatwo to znaleźć np. w mediach społecznościowych.
- Zapisywania haseł w notatniku na telefonie albo w niezaszyfrowanym pliku na pulpicie.
- Przesyłania haseł przez e-mail lub komunikator, nawet znajomym czy rodzinie.
- Klikania w linki z prośbą o „potwierdzenie hasła” w niespodziewanych wiadomościach, to najczęstsza forma phishingu.
- Podawania hasła albo kodu z SMS-a przez telefon, nawet jeśli dzwoniący przedstawia się jako bank, policja albo „dział bezpieczeństwa”.
12 Podsumowanie: 6 kroków na dziś
Sprawdź swój e-mail na haveibeenpwned.com.
Zainstaluj menedżer haseł (np. Bitwarden) i ustaw jedno silne hasło-frazę z 5–6 losowych słów jako główne.
Zacznij od zmiany hasła do poczty i bankowości, potem stopniowo do reszty kont.
Włącz weryfikację dwuskładnikową wszędzie, gdzie to możliwe, i zapisz kody zapasowe.
Gdy serwis proponuje klucz dostępu, utwórz go.
Nigdy nie używaj ponownie hasła, które choć raz wyciekło.
13 Sprawdź się: quiz
Dziesięć pytań, od najprostszych do trudniejszych. Po każdej odpowiedzi od razu zobaczysz wyjaśnienie, a na końcu swój wynik. Quiz jest anonimowy: odpowiedzi zostają w Twojej przeglądarce.
14 Twoja opinia
Poradnik w PDF do wydruku
12 stron: metoda hasła-frazy, menedżery haseł, 2FA, klucze dostępu, co zrobić po wycieku i lista kontrolna do odhaczenia. Do wydruku albo wysłania dalej, np. rodzicom czy babci.
Pobierz PDFMasz temat, o którym powinniśmy napisać? Napisz do nas na kontakt@cyberbaza.pl, chętnie go rozważymy.