Słabe hasła wciąż legalne. Czy polskie firmy muszą czekać na ustawę?
Najpopularniejsze hasło na świecie to wciąż '123456′. Mimo lat edukacji, duże serwisy wciąż pozwalają na jego użycie. Eksperci wskazują, że skutecznym rozwiązaniem mogłyby być przepisy nakazujące silne uwierzytelnianie – wzorem regulacji bankowych.
„123456” – wciąż aktualny problem
Najczęściej używanym hasłem na świecie pozostaje ciąg cyfr „123456”. Tak wynika z najnowszego raportu NordPass, który co roku analizuje hasła ujawnione w wyciekach danych. Na liście znajdują się również „123456789”, „12345678”, „12345” i „admin”. To zestawienie z roku na rok zmienia się zaskakująco mało.
Jak sprawdził dziennikarz ESET w artykule na WeLiveSecurity, nawet w 2026 roku można założyć konto w popularnych serwisach, używając trywialnych haseł. Przykładem jest serwis Evite – platforma do wysyłania zaproszeń, która w 2019 roku doświadczyła wycieku danych dotykającego ponad 100 milionów osób. Mimo to nadal pozwala na rejestrację z hasłem „123456”.
To pokazuje, że problem leży nie tylko po stronie użytkowników, ale i samych firm, które nie egzekwują minimalnych standardów bezpieczeństwa.
Platformy społecznościowe też mają luki
Test przeprowadzony przez autora artykułu wykazał, że nawet duże platformy, takie jak Facebook i X (dawniej Twitter), mają zbyt liberalne polityki haseł. Na Facebooku udało się założyć konto z hasłem „1234567!” – ciągiem cyfr z wykrzyknikiem na końcu, bez żadnej litery. Platforma oferuje ogólne porady, jak unikać prostych haseł, ale nie blokuje oczywistych wzorców.
Tymczasem amerykański słownik Collins Dictionary wymusza hasło ośmioznakowe z trzema z czterech kategorii znaków (małe litery, duże litery, cyfry, znaki specjalne). To dowód, że restrykcyjne polityki są technicznie możliwe – brakuje jednak woli ich wdrożenia w serwisach, które gromadzą i przetwarzają dane wrażliwe.
Czy przepisy zmuszą firmy do zmiany?
Dotychczasowa edukacja i kampanie społeczne nie przynoszą oczekiwanych rezultatów. Jak zauważa autor artykułu, skutecznym rozwiązaniem mogłoby być wprowadzenie przepisów nakazujących firmom stosowanie silnych haseł i wieloskładnikowego uwierzytelniania (MFA). Wzorem może być sektor finansowy: w Unii Europejskiej dyrektywa PSD2 wymusza MFA przy płatnościach elektronicznych i dostępie do rachunków online.
„Istnieje powszechne prawodawstwo dotyczące prywatności, które mówi, że firmy muszą zabezpieczać nasze dane osobowe, stosując odpowiednie środki cyberbezpieczeństwa. Kluczowym elementem tych środków jest stosowanie silnych, złożonych haseł i uwierzytelniania wieloskładnikowego” – czytamy w analizie. Problem w tym, że przepisy te rzadko precyzują wymagania co do uwierzytelniania w serwisach dla klientów.
Autorzy raportu sugerują, że ustawodawca powinien rozszerzyć obowiązek MFA na wszystkie usługi online. Przeszkodą są jednak interesy firm: te, których model biznesowy opiera się na zbieraniu danych i reklamach, będą lobbować przeciwko takim regulacjom.
Co mogą zrobić użytkownicy i firmy w Polsce?
Choć na ustawy trzeba poczekać, zarówno administratorzy, jak i zwykli użytkownicy mogą działać już teraz. Dla firm kluczowe jest wdrożenie i egzekwowanie wewnętrznych polityk haseł oraz MFA – nie tylko dla pracowników, ale też w systemach dla klientów, jeśli to możliwe. Narzędzia do zarządzania dostępem i monitorowania (takie jak menedżery haseł z politykami siły) są dostępne i sprawdzone.
Przedsiębiorcy muszą też pamiętać o rosnących wymaganiach regulacyjnych, takich jak dyrektywa NIS2 i rozporządzenie DORA. Choć nie określają one dokładnie siły haseł dla klientów, nakładają na firmy obowiązek stosowania „odpowiednich środków technicznych i organizacyjnych” w celu zapewnienia bezpieczeństwa sieci i systemów informatycznych. Silne uwierzytelnianie jest oczywistym elementem tych środków.
Dla zwykłych użytkowników najważniejsza jest zmiana nawyków: korzystanie z menedżera haseł, włączanie MFA wszędzie, gdzie to możliwe, oraz unikanie tych samych haseł w różnych serwisach. Wiele ataków nie wymaga zaawansowanych technik – wystarczy odgadnięcie prostego hasła.
Obecny stan, w którym „123456” pozostaje akceptowalnym hasłem na poważnych platformach, to nie tylko kwestia lenistwa użytkowników, ale przede wszystkim zaniedbania ze strony firm. Zmiana może przyjść z dwóch stron: z edukacji i presji rynku oraz z konkretnych regulacji. Póki co, każdy z nas może zabezpieczyć swoje konta lepiej, niż wymagają tego serwisy.
