Najsłabszym ogniwem w twoim cyfrowym życiu rzadko jest komputer. Zwykle jest nim jedno hasło — krótkie, łatwe do zapamiętania i używane w pięciu różnych miejscach naraz. Wystarczy, że wycieknie z jednego sklepu internetowego, a osoba po drugiej stronie próbuje tego samego loginu i hasła w banku, w skrzynce mailowej, w mediach społecznościowych. Ten mechanizm nazywa się credential stuffing i działa, bo ludzie powtarzają hasła. Dobra wiadomość jest taka, że kilka nawyków realnie podnosi poprzeczkę i większość przestępców po prostu odpuszcza, szukając łatwiejszego celu.
Hasła, które faktycznie chronią
Zapomnij o zamianie litery „o” na zero i doklejaniu wykrzyknika na końcu. Algorytmy łamiące hasła znają te sztuczki lepiej niż my. Liczy się co innego: długość i unikalność. Hasło ośmioznakowe, nawet z cyframi i znakami specjalnymi, potrafi paść w kilka godzin. Fraza złożona z kilkunastu znaków wydłuża ten czas o rzędy wielkości.
Dlatego zamiast pojedynczego słowa lepiej użyć passphrase — kilku niepowiązanych ze sobą wyrazów, na przykład „rower-cytryna-lampa-beton”. Łatwo to zapamiętać, trudno złamać. Problem w tym, że unikalne hasło do każdego z kilkudziesięciu kont jest nie do ogarnięcia głową. I tu wchodzi menedżer haseł.
Menedżer to program, który generuje długie, losowe hasła i przechowuje je w zaszyfrowanym sejfie. Ty pamiętasz jedno hasło główne, on pamięta resztę. Bitwarden, KeePass, 1Password czy menedżery wbudowane w przeglądarki i systemy — wszystkie realizują ten sam pomysł. Sejf jest szyfrowany po twojej stronie, więc nawet dostawca usługi nie widzi twoich haseł w formie jawnej. To jedna z niewielu zmian, która jednocześnie poprawia bezpieczeństwo i wygodę.
Uwierzytelnianie dwuskładnikowe, czyli druga kłódka
Załóżmy najgorsze: ktoś jednak zdobył twoje hasło. Jeśli masz włączone uwierzytelnianie dwuskładnikowe (2FA), samo hasło mu nie wystarczy. Do zalogowania potrzebny jest drugi element — kod z aplikacji, powiadomienie na telefonie albo fizyczny klucz. To dlatego 2FA zmienia reguły gry: przecina najczęstszą drogę ataku, w której wyciek hasła oznacza natychmiastowe przejęcie konta.
Nie wszystkie metody są równie mocne. Kod SMS jest lepszy niż nic, ale bywa przechwytywany, choćby przez tak zwany SIM swapping, gdy przestępca przenosi twój numer na swoją kartę. Bezpieczniejsza jest aplikacja generująca kody, jak Google Authenticator, Aegis czy Authy. Najmocniejsze są klucze sprzętowe w standardzie FIDO2, które chronią nawet przed phishingiem, bo są powiązane z konkretnym adresem strony i nie dadzą się oszukać podrobioną witryną. Jeśli masz włączyć 2FA tylko w jednym miejscu, zacznij od skrzynki e-mail — to ona zwykle służy do resetowania haseł do wszystkich innych kont.
Jak rozpoznać phishing, zanim klikniesz
Phishing to podszywanie się pod zaufaną instytucję, żeby wyłudzić dane albo skłonić do kliknięcia. Wiadomość wygląda jak z banku, od kuriera, z portalu aukcyjnego. Skuteczność tej metody nie bierze się z technologii, tylko z emocji — pośpiechu, strachu, ciekawości. Dlatego warto znać sygnały, które powinny zapalić czerwoną lampkę.
Kilka z nich powtarza się w niemal każdej takiej wiadomości:
- Presja czasu i groźba. „Twoje konto zostanie zablokowane w ciągu 24 godzin”, „dopłać 1,50 zł, bo przesyłka wróci do nadawcy”. Chodzi o to, żebyś działał, zanim pomyślisz.
- Adres nadawcy i linku, który tylko udaje prawdziwy. Domena bywa lekko przekręcona — dodatkowa litera, myślnik, inna końcówka. Najedź kursorem na link i sprawdź, dokąd naprawdę prowadzi, zanim klikniesz.
- Prośba o dane, o które nikt poważny nie pyta mailem. Pełny numer karty, kod PIN, hasło, kod BLIK. Bank ani żadna instytucja nigdy nie poprosi o to w wiadomości.
- Ogólny zwrot zamiast imienia i drobne błędy językowe. „Drogi Kliencie”, dziwna składnia, literówki w oficjalnym piśmie.
- Załącznik, którego się nie spodziewasz. Faktura, „potwierdzenie” czy plik z rozszerzeniem, którego nie rozpoznajesz, potrafi uruchomić złośliwe oprogramowanie.
Zasada praktyczna jest prosta. Nie wchodź w link z wiadomości, tylko wejdź na stronę banku czy sklepu samodzielnie, wpisując adres ręcznie albo z zakładek. Jeśli coś rzeczywiście wymaga twojej uwagi, zobaczysz to po zalogowaniu.
Aktualizacje, których nie warto odkładać
To najmniej ekscytująca część, a jedna z najważniejszych. Aktualizacje oprogramowania łatają luki, przez które atakujący dostają się do urządzenia. Producent publikuje poprawkę, treść luki staje się publiczna i wtedy zaczyna się wyścig — kto pierwszy, ten lepszy. Odkładając aktualizację o tygodnie, zostawiasz otwarte drzwi, o których wie już cały internet.
Dotyczy to systemu, przeglądarki, aplikacji na telefonie i routera, o którym większość ludzi zapomina zupełnie. Najprościej włączyć aktualizacje automatyczne i pozwolić im działać w tle. Sprzęt, który nie dostaje już poprawek od producenta, po jakimś czasie staje się realnym ryzykiem, nawet jeśli nadal działa. Długość wsparcia warto wziąć pod uwagę już na etapie zakupu — dlatego wybierając bezpieczny smartfon, sprawdź, jak długo producent obiecuje łatki bezpieczeństwa.
Publiczne Wi-Fi i prywatność danych
Otwarta sieć w kawiarni czy na lotnisku jest wygodna i z zasady mniej godna zaufania niż twoja domowa. W sieci bez hasła trudniej mieć pewność, kto jeszcze na niej jest. Współczesne strony korzystają z szyfrowania HTTPS, co znacząco ogranicza podglądanie ruchu, ale i tak warto zachować ostrożność. Logowanie do banku czy przelewy odłóż na sieć, której ufasz, albo skorzystaj z transmisji danych w telefonie.
Jeśli często pracujesz z takich miejsc, rozważ VPN. Tuneluje on twój ruch przez zaszyfrowane połączenie, więc lokalna sieć widzi tylko szyfrogram. Warto też wyłączyć automatyczne łączenie z otwartymi sieciami, bo telefon potrafi sam podpiąć się do pierwszej lepszej „darmowej” sieci o znajomej nazwie. Te same zasady ostrożności obowiązują w domu — jeśli budujesz inteligentny dom, każde urządzenie z dostępem do sieci wymaga równie starannego zabezpieczenia.
Prywatność to osobny wątek, ale spleciony z bezpieczeństwem. Im mniej danych o sobie zostawiasz, tym mniej można ich wykorzystać przeciwko tobie. Przejrzyj co jakiś czas uprawnienia aplikacji — po co latarce dostęp do kontaktów i lokalizacji. Ogranicz to, co publikujesz publicznie, bo data urodzenia, imię zwierzaka czy nazwa szkoły to częste odpowiedzi na pytania pomocnicze. A jeśli chcesz sprawdzić, czy twój adres e-mail pojawił się w znanym wycieku, służą do tego serwisy monitorujące bazy skradzionych danych, na przykład Have I Been Pwned. Na wypadek, gdyby złośliwe oprogramowanie zaszyfrowało twoje pliki, ratunkiem bywa aktualna kopia zapasowa danych.
Najczęstsze pytania
Czy menedżer haseł jest bezpieczny, skoro trzyma wszystko w jednym miejscu?
To uzasadniona obawa, ale bilans wychodzi zdecydowanie na korzyść menedżera. Sejf jest silnie zaszyfrowany i chroniony hasłem głównym, którego dostawca nie zna. Alternatywa — te same proste hasła w kółko albo karteczki pod klawiaturą — jest wyraźnie gorsza. Zadbaj tylko o mocne, unikalne hasło główne i włącz do menedżera 2FA.
Co zrobić, gdy podejrzewam, że kliknąłem w link phishingowy?
Działaj szybko, ale bez paniki. Zmień hasło do konta, którego mogła dotyczyć sytuacja, a jeśli używałeś go gdzie indziej, tam również. Włącz 2FA, jeśli jeszcze go nie było. Sprawdź logowania i ustawienia konta pod kątem zmian. Gdy w grę wchodzą pieniądze albo dane karty, skontaktuj się z bankiem i rozważ zastrzeżenie karty.
Jak często trzeba zmieniać hasła?
Wymuszanie zmiany co miesiąc odchodzi do lamusa, bo prowadzi do słabszych, przewidywalnych haseł. Obecne zalecenia, między innymi NIST, mówią jasno: hasło zmieniaj wtedy, gdy masz powód — po wycieku, po podejrzeniu włamania, gdy dzieliłeś się nim z kimś. Ważniejsze od częstej zmiany jest to, żeby hasło było długie, unikalne i wsparte drugim składnikiem.
