Nástroje poháněné AI dokáží otestovat miliardy kombinací hesel za vteřinu a živí se ukradenými seznamy ze starých úniků dat. Skutečné nebezpečí je ale jednodušší: opakované použití stejného hesla na více stránkách znamená, že jedno prozrazené heslo může odemknout desítky účtů. Řešením je správce hesel, dvoufaktorové ověřování a bezplatná kontrola úniku — vše zvládnete nastavit za odpoledne bez jakýchkoli technických znalostí.
Průzkum AARP mezi dospělými Američany ve věku 50 a více let ukázal, že strach z použití AI k prolomení hesel byl na prvním místě s 87 % — před deepfakes (85 %) a klonováním hlasu (84 %). (Zdroj: AARP Public Policy Institute.) Tato obava je oprávněná. Nástroje AI nyní dokáží testovat obrovské seznamy odcizených hesel na stovkách webových stránek automaticky a rychleji, než by to zvládl jakýkoli člověk.
Dobrá zpráva: k ochraně se nepotřebujete vyznávat v technice. Čtyři kroky níže fungují, ať máte iPhone, telefon s Androidem, počítač s Windows nebo Mac — a nejdůležitější první krok zabere asi pět minut.
Co ve skutečnosti znamená „hádání hesel pomocí AI"
Když slyšíte, že AI dokáže „prolomit" hesla, tady je to, co se skutečně děje. Zločinci získávají seznamy uživatelských jmen a hesel ze starých úniků dat — z úniku dat na velkých webových stránkách, ke kterým došlo před lety. Tyto seznamy se prodávají online. Software poháněný AI pak zkouší tyto kombinace jmen a hesel automaticky na stovkách dalších webových stránek. Tomu se říká credential stuffing (nacpávání přihlašovacích údajů).
AI část to dělá rychlejší a chytřejší. Místo náhodných kombinací se software soustředí na kombinace, které mají statisticky větší šanci fungovat: běžná slova, jména, roky narození, jednoduché vzory. Učí se z toho, které pokusy jsou úspěšné.
Cílem bývá zřídka vaše nejsilnější heslo. Bývá to to nejslabší — na stránce, na kterou jste zapomněli — které jste zároveň použili někde, kde záleží.
Skutečné nebezpečí: opakovaně používaná hesla
Pokud používáte stejné heslo na více než jedné stránce, únik dat na kterékoli z nich může odemknout ostatní. To je jediná největší zranitelnost hesel, kterou má většina lidí. Heslo, které vypadá silně, ale je použito na pěti stránkách, je méně bezpečné než jednodušší heslo použité jen jednou.
Představte si to takto: každá stránka, která má vaši e-mailovou adresu a heslo, drží kopii vašeho klíče. Pokud jedna stránka klíč ztratí a zločinci ho najdou, vyzkouší ho na vaší bance, e-mailu, vládních účtech a zdravotních záznamech.
Řešením nejsou těžce zapamatovatelná hesla. Jde o to, aby žádné dvě stránky nesdílely heslo — a další krok vám ukáže nejjednodušší způsob, jak toho dosáhnout.
Krok 1: Použijte správce hesel
Správce hesel dělá jednu věc: ukládá jiné, náhodně generované heslo pro každou stránku, kterou používáte. Potřebujete si pamatovat jen jedno hlavní heslo k otevření správce. Každé další heslo je dlouhé, náhodné a jedinečné — takové, které žádný člověk ani žádná AI nedokáže uhodnout.
Váš telefon ho téměř jistě má vestavěný. Na iPhonu přejděte do Nastavení a poté do Hesla. Na telefonu s Androidem přejděte do Nastavení, poté na Google a Automatické vyplňování. Oba jsou zdarma a fungují automaticky, jakmile je zapnete. Když navštívíte stránku, správce hesel za vás přihlašovací údaje vyplní.
K tomu nepotřebujete placenou aplikaci. Vestavění správci hesel na iPhonech a telefonech s Androidem jsou pro většinu lidí vynikající. Začněte tam.
Jedno pravidlo: vaše hlavní heslo — to, které správce otevírá — by mělo být přístupová fráze. To znamená čtyři nebo pět běžných slov spojených dohromady, například „fialová kuchyně deka západ". Snadno zapamatovatelné a pro software velmi těžko uhodnutelné.
Krok 2: Zkuste přístupové klíče — přihlaste se otiskem prstu nebo obličejem
Přístupový klíč (passkey) je novější a jednodušší způsob přihlášení. Místo hesla použijete otisk prstu, obličej nebo PIN telefonu. Webová stránka heslo vůbec nedostane, takže při úniku dat nemají zločinci co ukrást.
Stále více hlavních služeb — Google, Apple, Microsoft, Amazon, PayPal — nyní přístupové klíče nabízí. Když se vás stránka zeptá, zda chcete „uložit přístupový klíč" nebo „přihlásit se přístupovým klíčem", řekněte ano. Je to bezpečnější než jakékoli heslo, které byste mohli napsat.
Pravděpodobně již používáte jistou verzi tohoto přístupu, když odemykáte telefon obličejem nebo otiskem prstu. Přístupové klíče přinášejí stejnou jednoduchost na webové stránky a aplikace.
Krok 3: Zapněte dvoufaktorové ověřování
Dvoufaktorové ověřování (zkráceně 2FA) znamená, že i když někdo získá vaše heslo, stále se nemůže přihlásit bez druhé kontroly — obvykle kódu zaslaného na váš telefon.
Existují dva typy 2FA a nejsou stejně bezpečné:
SMS kódy — stránka vám pošle šestimístný kód textovou zprávou. To je lepší než nic, ale telefonní čísla mohou být za určitých okolností převzata podvodníky, takže jde o slabší variantu.
Ověřovací aplikace — bezplatné aplikace jako Google Authenticator nebo Microsoft Authenticator generují čerstvý kód každých 30 sekund přímo v telefonu. I když podvodník má vaše heslo, nemůže tento kód získat bez toho, aby fyzicky držel váš telefon. Je to mnohem bezpečnější.
Začněte s SMS, pokud je to jediná nabízená možnost — stále je to smysluplné zlepšení oproti žádnému 2FA. U vašich nejdůležitějších účtů (e-mail, bankovnictví, sociální sítě) však přejděte na ověřovací aplikaci, jakmile to bude možné.
Krok 4: Zkontrolujte, jestli váš e-mail byl v úniku dat
Webová stránka Have I Been Pwned (haveibeenpwned.com) vám umožňuje zadat e-mailovou adresu a zjistit, které úniky dat ji odhalily. Vytvořil ji bezpečnostní výzkumník a je zdarma. Stránka nežádá vaše heslo — jen e-mailovou adresu.
Přejděte tam, zadejte svůj e-mail a stiskněte tlačítko kontroly. Stránka vám zobrazí seznam úniků dat, kde se vaše e-mailová adresa objevila. Pokud se váš e-mail v úniku nachází, vaše heslo pro tuto stránku znají zločinci. Okamžitě ho změňte — a změňte ho i na všech ostatních stránkách, kde jste použili stejné heslo.
Na co si dát pozor
Falešné e-maily „váš účet byl napaden". Zločinci posílají e-maily, které vypadají jako oficiální bezpečnostní upozornění: „Zaznamenali jsme neobvyklou aktivitu. Kliknutím zde zabezpečte svůj účet." Jde o phishingové pokusy. Neklikejte na odkaz. Místo toho přejděte přímo na stránku napsáním adresy do prohlížeče nebo zavolejte společnosti na telefonní číslo z jejích oficiálních stránek.
Phishing s resetem hesla. Podvodník vyvolá skutečný e-mail s resetem hesla ze služby, kterou používáte, a poté vám zavolá s tím, že je ze zákaznického oddělení společnosti. Požádá vás, abyste mu přečetli kód, který právě přišel na váš telefon. Nikdy nečtěte bezpečnostní kód někomu, kdo vám zavolal. Skuteční zaměstnanci společnosti o to nikdy nežádají.
Falešná vyskakovací okna napodobující správce hesel. Váš skutečný správce hesel vyplňuje přihlašovací údaje automaticky — nikdy vás nežádá, abyste přepsali hlavní heslo na webové stránce. Pokud vás stránka žádá o hlavní heslo, zavřete tuto záložku.
Co si vyzkoušet dál
Phishingové e-maily jsou často prvním krokem, který zločinci podnikají před pokusem o převzetí účtu. Jak rozpoznat phishingové e-maily generované AI vám dá šest rychlých kontrol, které odhalí falešné zprávy — i ty, které vypadají zcela legitimně. Pokud vás také zajímá, jaké osobní údaje byste nikdy neměli sdílet s chatbotem AI, Co neříkat chatbotu AI popisuje konkrétní informace, které by vás mohly ohrozit.
Zdroje
- Older Adults Express High Concern and Limited Knowledge About AI Scams and Fraud — AARP Public Policy Institute
- Have I Been Pwned — Troy Hunt
- FIDO Passkeys: Passwordless Authentication — FIDO Alliance
- Criminals Increasing SIM Swap Schemes to Steal Millions of Dollars from US Public — FBI Internet Crime Complaint Center (IC3)
