Zavádějící představy o heslech stále přetrvávají

Také přidání další vrstvy zabezpečení k on-line účtům je nyní mnohem snazší, uživatelé ale stále upřednostňují pohodlí před bezpečností – často bez pochopení důsledků slabých hesel.

Jak ukazují opakované průzkumy z posledních let, mezi nejčastější hesla nadále patří „123456“ či „12345678“ – takto předvídatelné řetězce lze v podstatě okamžitě prolomit.

Opakované používání stejného hesla a vynechání dvoufaktorové autentizace sice může ušetřit čas, ale významně to ohrožuje citlivé údaje uživatelů.

Mýtus č. 1: Čím delší je heslo, tím je i bezpečnější

Fakt: Ačkoli délka je při vytváření hesel důležitým faktorem, dlouhá hesla bez velkých a malých písmen, čísel a speciálních znaků se snáze prolomí. 

Podle výzkumu společnosti Hive Systems dvanáctimístné heslo, což je minimální délka pro silnou variantu, které je složené pouze z čísel, lze prolomit za pouhé čtyři dny. Pokud se ale vezme stejně silné heslo, kde se smíchají čísla s malými písmeny, pak by jeho prolomení metodou hrubé síly trvalo téměř tisíc let.

Je důležité si uvědomit, že pokud vaše heslo obsahuje slova ze slovníku, lze jej prolomit poměrně snadno. Navíc metoda hrubá síla patří mezi nejpomalejší způsoby, které lze k prolamování hesla použít. Hrubá síla je samozřejmě jen jednou ze stovek technik, které používají zlovolní hackeři. Jiné, sofistikovanější metody mohou být rychlejší a účinnější.

Výše zmíněné však platí pro krátká hesla s velkými a malými písmeny, číslicemi a speciálními znaky. Abyste vytvořili silné heslo, musíte dodržovat všechna pravidla.

Každé heslo by mělo být jedinečné. Opakované používání hesel představuje značné bezpečnostní riziko a v případě jeho prolomení může ohrozit všechny on-line účty, kde se používá.

Mýtus č. 2: Hesla by se měla pravidelně měnit

Fakt: Pokud máte silné heslo a nedošlo k žádnému úniku dat (o kterém víte), není důvod heslo měnit – nepřinese to žádnou přidanou hodnotu ani větší bezpečnost. 

Pravidelné měnění hesel bylo kdysi standardní praxí v oblasti kybernetické bezpečnosti. Renomovaný institut NIST (National Institute of Standards and Technology) však už nějakou dobu nedoporučuje bezpečnostním manažerům vynucovat pravidelné změny hesel uživatelů, pokud nedošlo k ohrožení účtu.

Ve skutečnosti naopak to, že se požaduje měnit hesla každých několik měsíců, může paradoxně vést k tomu, že budou vznikat slabší verze. Podle organizace National Cyber Security Center se uživatelé často rozhodnou pro snadno zapamatovatelná hesla, která však lze pomocí moderních technik prolomení hesel jednoduše prolomit, anebo prostě změní pouze jeden znak ve svém starém hesle, což ale vede k předvídatelnému chování.

Doporučuje se samozřejmě měnit hesla po úniku dat. To, zda k takové kompromitaci přihlašovacích údajů došlo, si lze ověřit na stránkách Have I Been Pwned nebo se můžete zaregistrovat do správce hesel s nástrojem pro skenování úniků dat.

Mýtus č. 3: Pokud máte silné heslo, nepotřebujete dvoufaktorovou autentizaci (2FA)

Fakt: Řešení s 2FA přidávají do autentizace druhou vrstvu zabezpečení pro případ, že by došlo k narušení vašeho hesla. 

Ani složitá hesla neochrání uživatelské účty před útoky sociálního inženýrství, jako je phishing, které uživatele ukolébají tak, že sami odhalí citlivé informace. S tím, jak se sociální inženýrství i díky stále častějšímu využívání nástrojů umělé inteligence stává sofistikovanějším, je snazší než kdy jindy mu podlehnout.

Je potřeba pamatovat na to, že nikdo není tak chytrý na to, aby se nestal obětí podvodu. I když jsou třeba starší lidé náchylnější k tomu, aby naletěli on-line podvodům, ani ti mladší nejsou nezranitelní.

Podle společnosti Deloitte je generace Z (tedy narození zhruba v letech 1995 až 2012) třikrát náchylnější k on-line podvodům a následné ztrátě přístupu ke svým účtům na sociálních médiích a krádeži identity než generace baby boomers (tedy ti narození v letech 1945–1965).

Pusťte si jeden z našich úspěšných podcastů

Kyberbezpečnost a zákony bez obalu

0:00/

Pokud se 2FA správně nastaví, potřebují hackeři k přístupu více než jen vaše heslo, takže i když dojde k jeho prozrazení, kyberzločinci se bez druhého ověřovacího faktoru (kterými jsou třeba SMS, mobilní aplikace, kód z hardwarového tokenu apod.) nebudou moci dostat k vašemu účtu.

Je důležité si ale uvědomit, že ani 2FA není stoprocentně spolehlivá. Tzv. push útoky jsou na vzestupu a kódy zasílané SMS mohou zachytit nekalé živly.

Mýtus č. 4: Je nutné vytvářet hesla, která si lze snadno zapamatovat

Fakt: Vytváření hesel, která si lidé dokážou zapamatovat, obvykle znamená, že zároveň slevují z bezpečnosti. Opravdu silná hesla si nelze zapamatovat, protože jsou na to příliš dlouhá a složitá.

Pokud si však uživatelé opravdu chtějí hesla zapamatovat, doporučuje se používat tzv. heslové fráze (passphrases). Ty mohou být stejně bezpečné jako složité heslo, ale ve skutečnosti se snadno zapamatuje.

Ve své podstatě jde o řetězce náhodných slov oddělených speciálními znaky. Měla by se ale u nich dodržovat stejná pravidla jako při vytváření velmi silného hesla – tedy délka minimálně šestnáct znaků, velká a malá písmena, speciální znaky a náhodná posloupnost slov. Používat by se neměly běžné fráze, citáty nebo věty, které dávají smysl.

Zde je několik příkladů silných hesel:

• Pick-We-Needs6-Lamp

• Shake.Team.Driving1.Essential.Planning

• Swam?Whale?Arrow?Includin­g?Free?Ability7

Mýtus č. 5: Nikdy si nikam nepište hesla

Fakt: Psaní hesel na kus papíru představuje riziko pouze v případě, že je snadno přístupný pro jiné osoby. 

Samozřejmě lidé by neměli s sebou nosit zápisník se všemi svými hesly. V ideálním případě budou napsaná hesla uložená někde v bezpečí, mimo dosah počítačů, a budou sloužit pouze jako záloha pro případ, že člověk heslo zapomene nebo ztratí přístup ke správci hesel.

Mějte ale na paměti, že to neplatí pro zapisování hesel do aplikací typu Poznámky nebo do tabulky Excelu. V případě, že by došlo k narušení bezpečnosti zařízení, kde jsou tyto soubory umístěné (což je mnohem pravděpodobnější než krádež papírového zápisníku uloženého někde v trezoru), ohrozí to všechny tam uvedené přihlašovací údaje.

Pro každodenní použití se doporučuje používat správce hesel, který hesla ukládá do virtuálního šifrovaného trezoru.

Pište pro Computertrends

Máte dobré nápady, máte co říct? Chcete se podělit o své znalosti se čtenáři Computertrends?

Je tu ideální příležitost. V redakci neustále hledáme externí autory, kteří rozšíří náš záběr. Nabízíme možnost publikací zajímavých článků nejen na webu, ale také v našem tištěném magazínu.

Pokud máte zájem, ozvěte se šéfredaktorovi na e-mail: radan.dolejs@iinfo.cz

Jak se prolamují hesla?

Kyberzločinci nesedí a ručně nehádají hesla, jak si mnozí představují. Naopak používají velmi pokročilé techniky pro jejich prolomení. Mezi příklady patří hrubá síla, která dokáže za sekundy projít miliardy kombinací.

Další široce užívanou metodou je tzv. credential stuffing, kdy hackeři využívají automatizované skripty k pokusům o přihlášení do velkého počtu on-line účtů pomocí kombinací uživatelských jmen a hesel, které získali z dříve uniklých hesel, třeba kompromitací webu či narušením infrastruktury firmy. To je obzvláště nebezpečné pro ty, kteří opakovaně používají stejná hesla na více místech.

V poslední době získávají popularitu i útoky sociálního inženýrství, jako je phishing, zejména s rozvojem umělé inteligence, jak je uvedené už výše. V únicích dat se výrazně častěji objevují slabá hesla, pokud však došlo k narušení služby, která hesla spravuje, mohou se k hackerům dostat i silná hesla.

I když nemůžete ovlivnit prostředí, můžete podniknout nezbytné kroky k ochraně svých on-line účtů. Používání silných hesel je pouze prvním krokem. Samozřejmostí je povolit 2FA, kde to jde, a dodržování zásad kybernetické hygieny. Vhodné je i sledovat nejnovější informace o on-line podvodech či o nedávných únicích dat.

Získejte pro svůj produkt či službu ocenění IT produkt roku! Soutěž „IT produkt roku“ vyhlašuje redakce Computertrends s cílem vyzdvihnout výrobky disponující vlastnostmi, které je významně odlišují od konkurenčních produktů stejné kategorie. Může přitom jít jak o celkově inovativní pojetí produktu, tak o jednotlivé funkční zdokonalení, výrazně zjednodušené ovládání nebo třeba o výjimečně příznivou cenu.

Soutěž probíhá ve třech samostatných kolech v kalendářním roce a každý postupující produkt či služba do jednoho ze tří finálových kol získává právo na titul IT produkt roku.

Máte-li zájem účastnit se soutěže IT produkt roku, neváhejte. Kontaktujte nás prosím na itprodukt@iinfo.cz.

O přihlášku a více informací si můžete napsat nebo zavolat na telefonech 776 204 420 nebo 604 266 707 či 725 326 893, případně na také na adrese itprodukt@iinfo.cz.

• FAQ - IT produkt roku
• Vzor přihlášky ITP_1
• Vzor přihlášky ITP_2
• Pravidla soutěže

Hesla v éře umělé inteligence

Umělá inteligence se v plné šíři rozvinula v roce 2022, kdy byly veřejnosti zpřístupněné nástroje jako ChatGPT. O rok později vědci zjistili, že umělá inteligence dokáže uhodnout hesla pouze podle zvuku stisků kláves.

K využití umělé inteligence však není potřeba mít vysokoškolský titul – stačí otevřít webová rozhraní příslušných nástrojů.

Kyberzločinci používají techniku jailbroken LLM, kdy se jim podaří překonat vestavěná bezpečnostní pravidla, k tomu, aby hledali zranitelná místa, generovali malware či vytvářeli phishingové e-maily. Anebo už dokonce existují speciální LLM určené právě pro potřeby hackerů.

Už v roce 2024 FBI varovala uživatele, aby byli ostražití, protože kyberzločinci využívali AI k sofistikovaným útokům sociálního inženýrství, a dokonce i k podvodů s klonováním hlasu. Od té doby se tyto nekalé techniky ještě výrazně vylepšily a technologie jako deepfake už dokážou dělat podvodné aktivity, které jsou v podstatě nerozeznatelné od reality.

Mnoho kyberkriminality související s umělou inteligencí se v současnosti zaměřuje na sociální inženýrství spíše než na prolomení nějakých databází, protože to pro ně představuje jednodušší cestu.

Stanou se hesla zastaralými?

Díky vzestupu biometrického ověřování a systémů pracujících s přístupovými klíči se může zdát, že se blíží budoucnost, kde už hesla nebudou potřeba.

Ačkoli je používání otisků prstů a rozpoznávání obličeje široce rozšířené, zejména u smartphonů, v současné době hesla nenahrazují a slouží zejména pro větší pohodlí uživatelů.

Přístupové klíče naopak představují slibnou možnou náhradu hesel. Jsou bezpečnější a odolnější vůči phishingovým útokům, které tvoří většinu současných kybernetických útoků.

Někteří uživatelé se však obávají, jak obnovit účet v případě ztráty zařízení, se kterým jsou přístupové klíče svázané, stejně jako dostatečné podpory a kompatibility. Přístupové klíče jsou stále ještě spíše v rané fázi zavádění, a tím, jak se budou postupně zavádět do stále většího počtu služeb, lze očekávat i jejich větší univerzálnost.

Ať se to bezpečnostním správcům líbí nebo ne, hesla tu v dohledné budoucnosti i nadále zůstanou. Do doby, než jejich vláda skončí, je nutné používat jejich silnou a jedinečnou podobu, doplněnou o 2FA, a dodržovat základní pravidla kybernetické bezpečnosti.

Autorka je členkou týmu Cybernews.com.

Tento příspěvek vyšel v Securitytrends 1/2026. 

Computertrends si můžete objednat i jako klasický časopis. Je jediným odborným magazínem na českém a slovenském trhu zaměreným na profesionály v oblasti informačních a komunikačních technologií (ICT). Díky silnému zázemí přináší aktuální zpravodajství, analýzy, komentáře a přehledy nejnovejších technologií dříve a na vyšší odborné úrovni, než ostatní periodika na tuzemském trhu.

Obsah Computertrends je určen odborníkům a manažerům z firem a institucí, kteří se podílejí na rozhodovacím procesu při nákupu ICT technologií. Jednotlivá čísla si můžete objednat i v digitální podobě.