Narzędzia oparte na AI mogą testować miliardy kombinacji haseł na sekundę, korzystając z ukradzionych list z dawnych wycieków danych. Ale prawdziwe niebezpieczeństwo jest prostsze: używanie tego samego hasła na wielu stronach oznacza, że jedno ujawnione hasło może otworzyć dziesiątki kont. Rozwiązaniem jest menedżer haseł, uwierzytelnianie dwuskładnikowe i bezpłatna kontrola wycieków — wszystko to można skonfigurować w ciągu popołudnia bez żadnej wiedzy technicznej.
W badaniu AARP przeprowadzonym wśród dorosłych Amerykanów w wieku 50 lat i starszych, obawa przed wykorzystaniem AI do łamania haseł zajęła pierwsze miejsce z wynikiem 87% — wyprzedzając deepfake'i (85%) i klonowanie głosu (84%). (Źródło: AARP Public Policy Institute.) Ta obawa jest uzasadniona. Narzędzia AI mogą teraz automatycznie testować ogromne listy skradzionych haseł na setkach stron internetowych, szybciej niż jakikolwiek człowiek.
Dobra wiadomość jest taka, że nie potrzebujesz wiedzy technicznej, aby się chronić. Cztery kroki poniżej działają niezależnie od tego, czy masz iPhone'a, telefon z Androidem, komputer z Windows czy Mac — a najważniejszy pierwszy krok zajmuje około pięciu minut.
Co naprawdę oznacza „zgadywanie haseł przez AI"
Kiedy słyszysz, że AI może „złamać" hasła, oto co naprawdę się dzieje. Przestępcy zdobywają listy nazw użytkowników i haseł z dawnych wycieków danych — wycieki z dużych stron internetowych, do których doszło lata temu. Te listy są sprzedawane online. Oprogramowanie, coraz częściej zasilane przez AI, próbuje następnie tych kombinacji automatycznie na setkach innych stron. Nazywa się to credential stuffing.
Część AI sprawia, że jest to szybsze i inteligentniejsze. Zamiast losowych kombinacji, oprogramowanie koncentruje się na statystycznie bardziej prawdopodobnych: popularne słowa, imiona, lata urodzenia, proste wzorce. Uczy się, które próby kończą się sukcesem.
Celem rzadko jest Twoje najsilniejsze hasło. To jest Twoje najsłabsze — na stronie, o której zapomniałeś — którego użyłeś też gdzieś, gdzie to ważne.
Prawdziwe niebezpieczeństwo: ponownie używane hasła
Jeśli używasz tego samego hasła na więcej niż jednej stronie, wyciek danych na którejkolwiek z nich może otworzyć pozostałe. To największa luka bezpieczeństwa haseł, jaką ma większość ludzi. Hasło, które wygląda na mocne, ale używane jest na pięciu stronach, jest mniej bezpieczne niż prostsze hasło użyte tylko raz.
Pomyśl o tym tak: każda strona, która ma Twój adres e-mail i hasło, trzyma kopię Twojego klucza. Jeśli jedna strona zgubi swój klucz, a przestępcy go podniosą, wypróbują go w Twoim banku, e-mailu, kontach rządowych i dokumentacji medycznej.
Rozwiązaniem nie są trudniejsze do zapamiętania hasła. Chodzi o to, żeby żadne dwie strony nie miały wspólnego hasła — a następny krok pokazuje Ci najprostszy sposób na osiągnięcie tego.
Warto tu obalić starszy mit: wymuszanie znaków specjalnych, cyfr w konkretnych miejscach czy regularna, „profilaktyczna" zmiana hasła co jakiś czas nie są dziś zalecane przez aktualne wytyczne NIST (amerykański instytut standardów, SP 800-63B) — a CERT Polska w swoich rekomendacjach, opartych właśnie na wytycznych NIST, mówi to samo: hasło warto zmieniać tylko wtedy, gdy podejrzewasz, że zostało ujawnione, nie z automatu co określony czas. Jeśli więc jakiś serwis każe Ci wymyślać hasło pełne symboli i zmieniać je co 90 dni, to nie jest dziś uznawane za dobrą praktykę bezpieczeństwa — to tylko utrudnia zapamiętanie hasła bez realnej poprawy ochrony.
Krok 1: Użyj menedżera haseł
Menedżer haseł robi jedną rzecz: przechowuje inne, losowo wygenerowane hasło dla każdej strony, z której korzystasz. Musisz zapamiętać tylko jedno główne hasło, żeby otworzyć menedżera. Każde inne hasło jest długie, losowe i unikalne — takie, którego żaden człowiek ani żadne AI nie może odgadnąć.
Twój telefon prawie na pewno ma już taki wbudowany. Na iPhonie przejdź do Ustawień, a następnie do Haseł. Na telefonie z Androidem przejdź do Ustawień, a następnie do Google, a następnie do Autouzupełniania. Oba są bezpłatne i działają automatycznie po ich włączeniu. Kiedy odwiedzasz stronę, menedżer haseł wypełnia za Ciebie dane logowania.
Nie potrzebujesz płatnej aplikacji, żeby zacząć. Wbudowane menedżery w iPhone'ach i telefonach z Androidem są doskonałe dla większości ludzi. Zacznij tam.
Jedna zasada: Twoje główne hasło — to, które otwiera menedżera — powinno być frazą hasłową. Oznacza to cztery lub pięć zwykłych słów połączonych razem, na przykład „fioletowa kuchnia koc zachód". Łatwe do zapamiętania, bardzo trudne do odgadnięcia dla oprogramowania.
Krok 2: Wypróbuj klucze dostępu — loguj się twarzą lub odciskiem palca
Klucz dostępu (passkey) to nowszy, prostszy sposób logowania. Zamiast hasła używasz odcisku palca, twarzy lub kodu PIN telefonu. Strona internetowa nie otrzymuje żadnego hasła, więc przestępcy nie mają czego kraść przy wycieku danych.
Coraz więcej dużych serwisów — Google, Apple, Microsoft, Amazon, PayPal — oferuje teraz klucze dostępu. Kiedy strona pyta, czy chcesz „zapisać klucz dostępu" lub „zalogować się kluczem dostępu", powiedz tak. Jest to bezpieczniejsze niż jakiekolwiek hasło, które możesz wpisać.
Prawdopodobnie już używasz wersji tego na swoim telefonie, gdy odblokowujesz go twarzą lub odciskiem palca. Klucze dostępu przenoszą tę samą prostotę na strony internetowe i aplikacje.
Krok 3: Włącz uwierzytelnianie dwuskładnikowe
Uwierzytelnianie dwuskładnikowe (często nazywane 2FA) oznacza, że nawet jeśli ktoś zdobędzie Twoje hasło, nadal nie może zalogować się bez drugiej weryfikacji — zazwyczaj kodu wysłanego na Twój telefon.
Istnieją dwa rodzaje 2FA i nie są one jednakowo bezpieczne:
Kody SMS — strona wysyła sześciocyfrowy kod wiadomością tekstową. To lepsze niż nic, ale numery telefonów mogą być w pewnych okolicznościach przejęte przez oszustów, co czyni to słabszą opcją.
Aplikacja uwierzytelniająca — bezpłatne aplikacje takie jak Google Authenticator lub Microsoft Authenticator generują nowy kod co 30 sekund na Twoim telefonie. Nawet jeśli oszust ma Twoje hasło, nie może zdobyć tego kodu bez fizycznego posiadania Twojego telefonu. To o wiele bezpieczniejsze.
Zacznij od SMS, jeśli to jedyna oferowana opcja — to nadal znacząca poprawa w stosunku do braku 2FA. Ale dla Twoich najważniejszych kont (e-mail, bankowość, media społecznościowe) przejdź na aplikację uwierzytelniającą, kiedy tylko możesz.
Krok 4: Sprawdź, czy Twój e-mail był w wycieku danych
Strona internetowa Have I Been Pwned (haveibeenpwned.com) pozwala wpisać adres e-mail i zobaczyć, w jakich wyciekach danych był on ujawniony. Została stworzona przez badacza bezpieczeństwa i jest bezpłatna. Strona nie prosi o Twoje hasło — tylko o adres e-mail.
Przejdź tam, wpisz swój e-mail i naciśnij przycisk weryfikacji. Strona wyświetli Ci listę wycieków, w których pojawił się Twój adres e-mail. Jeśli Twój e-mail pojawia się w wycieku, przestępcy znają Twoje hasło do tej strony. Zmień je natychmiast — i zmień je na każdej innej stronie, gdzie używałeś tego samego hasła.
Na co uważać
Fałszywe e-maile „Twoje konto zostało zhakowane". Przestępcy wysyłają e-maile wyglądające jak oficjalne alerty bezpieczeństwa: „Wykryliśmy nieznane aktywności. Kliknij tutaj, aby zabezpieczyć swoje konto." To próby phishingu. Nie klikaj w link. Zamiast tego przejdź bezpośrednio na stronę, wpisując adres w przeglądarce, lub zadzwoń do firmy używając numeru z jej oficjalnej strony.
Phishing resetowania hasła. Oszust wywołuje prawdziwy e-mail resetowania hasła z serwisu, z którego korzystasz, a następnie dzwoni do Ciebie, udając pracownika zespołu bezpieczeństwa firmy. Prosi Cię, żebyś przeczytał mu kod, który właśnie dotarł na Twój telefon. Nigdy nie czytaj kodu bezpieczeństwa komuś, kto do Ciebie zadzwonił. Prawdziwi pracownicy firmy nigdy o to nie proszą.
Fałszywe wyskakujące okna imitujące Twój menedżer haseł. Twój prawdziwy menedżer haseł wypełnia dane logowania automatycznie — nigdy nie prosi Cię o ponowne wpisanie głównego hasła na stronie internetowej. Jeśli jakaś strona prosi o główne hasło, zamknij tę kartę.
Co spróbować dalej
E-maile phishingowe są często pierwszym ruchem przestępców przed próbą przejęcia konta. Jak rozpoznać e-maile phishingowe wygenerowane przez AI daje Ci sześć szybkich sprawdzeń, które ujawniają fałszywe wiadomości — nawet te, które wyglądają na całkowicie legalne. Jeśli zastanawiasz się też, jakich danych osobowych nigdy nie powinieneś udostępniać chatbotowi AI, Czego nie mówić chatbotowi AI omawia konkretne informacje, które mogłyby narazić Cię na ryzyko.
Źródła
- Digital Identity Guidelines: Authentication and Authenticator Management (SP 800-63B) — NIST
- Kompleksowo o hasłach — CERT Polska
- Have I Been Pwned — Troy Hunt
- Older Adults Express High Concern and Limited Knowledge About AI Scams and Fraud — AARP Public Policy Institute
