Máte heslo dlouhé deset znaků, obsahuje velké písmeno, číslici i speciální znak a používáte ho už několik let. Pokud jste si právě řekli, že jste udělali všechno správně, bezpečnostní experti mají špatnou zprávu. Pravidla, která ještě před několika lety platila za zlatý standard, dnes už sama o sobě nestačí.
Neznamená to, že by se hackeři přes noc stali geniálnějšími. Změnil se především způsob, jakým útočí. Místo zdlouhavého hádání hesel stále častěji využívají obrovské databáze údajů z dřívějších úniků, automatizované nástroje a rostoucí výpočetní výkon. Výsledkem je, že hesla, která lidé považují za bezpečná, mohou být ve skutečnosti mnohem zranitelnější, než si uvědomují.
To potvrzuje i letošní analýza bezpečnostní společnosti Kaspersky. Její výzkumníci zkoumali 231 milionů uniklých hesel pocházejících z případů z let 2023 až 2026. Přibližně 48 procent z nich bylo podle analýzy možné prolomit za méně než jednu minutu, téměř dvě třetiny do jedné hodiny a více než 70 procent během jediného dne.
Samotná čísla ale potřebují důležitý kontext. Nejde o reprezentativní vzorek všech hesel, která lidé používají, ale o hesla, která už se někdy objevila v uniklých databázích. Právě proto mezi nimi bylo nadprůměrně mnoho slabých nebo opakovaně používaných kombinací. Přesto analýza dobře ukazuje, jaké chyby lidé při vytváření hesel dělají nejčastěji.
Nejslabším článkem není počítač, ale člověk
Představa hackera, který celé hodiny zkouší jednu kombinaci za druhou, patří spíše do filmů. Ve skutečnosti dnes velká část útoků využívá něco mnohem jednoduššího: lidskou pohodlnost.
Když některé internetové službě unikne databáze uživatelů, objeví se na internetu miliony e-mailových adres a hesel. Útočníci pak pomocí automatických programů zkoušejí stejné přihlašovací údaje u dalších služeb. Pokud někdo používá totožné heslo do e-mailu, internetového obchodu, streamovací platformy nebo sociálních sítí, může jediný únik ohrozit všechny tyto účty najednou. Tento typ útoku, označovaný jako credential stuffing, patří podle bezpečnostních expertů mezi nejčastější způsoby zneužití přihlašovacích údajů.
Právě proto dnes odborníci opakují jednoduché pravidlo: mnohem důležitější než často měnit jedno heslo je mít pro každou službu jiné.
Vykřičník na konci už nikoho nezachrání
Mnoho lidí si stále myslí, že bezpečné heslo musí obsahovat alespoň jedno velké písmeno, číslici a speciální znak. Jenže právě tato pravidla vedla k tomu, že vznikly miliony téměř stejných kombinací: například Heslo123!, Praha2026! nebo Leden25!.
Moderní nástroje určené k prolomení hesel s podobnými vzorci počítají jako s prvními. Nezkoušejí všechny možné kombinace znaků od začátku, ale vycházejí z toho, jak lidé skutečně přemýšlejí. Pracují se slovníky nejčastějších hesel, databázemi dřívějších úniků i běžnými úpravami, jako je nahrazení písmene „a“ symbolem @ nebo přidání čísla na konec.
Zmiňovaná analýzy ukázala, jak předvídatelné lidské návyky jsou. Více než polovina uniklých hesel končila číslicí a velká část obsahovala běžná jména, slovníková slova nebo odkazy na populární kulturu. To jsou přesně vzorce, které dnešní programy zkoušejí jako první.
Kvůli těmto zkušenostem změnil doporučení také americký Národní institut pro standardy a technologie (NIST), jehož metodiky patří mezi nejuznávanější v oblasti digitální bezpečnosti. Ten už několik let nedoporučuje vynucovat složitá pravidla typu „jedno velké písmeno, číslice a speciální znak“. Mnohem větší význam podle něj má délka hesla, jeho jedinečnost a ochrana proti používání známých nebo kompromitovaných hesel.
To ale neznamená, že na velkých písmenech nebo symbolech nezáleží vůbec. Pokud jsou součástí dlouhého a unikátního hesla, bezpečnost zvyšují. Samy o sobě však nestačí.
Silné heslo si nemusíte pamatovat
Doporučení bezpečnostních expertů se za poslední roky výrazně změnila. Zatímco dříve se kladl důraz na to, aby si lidé složitá hesla zapamatovali, dnes je běžnou součástí doporučení používání správce hesel. Ten dokáže pro každý účet vytvořit dlouhé náhodné heslo a bezpečně ho uložit. Uživatel si pak pamatuje pouze jediné hlavní heslo.
Stejně důležité je podle NIST zapnout vícefaktorové ověřování (MFA). Ani silné heslo totiž nemusí stačit, pokud unikne při úniku dat nebo ho uživatel zadá na podvržené stránce. Druhý ověřovací krok – například potvrzení v mobilní aplikaci nebo bezpečnostním klíčem – výrazně snižuje pravděpodobnost, že se útočník do účtu skutečně dostane.
Stále více technologických firem zároveň přechází na takzvané passkeys. Místo klasického hesla využívají kryptografické klíče uložené v zařízení uživatele a biometrické ověření, například otisk prstu nebo rozpoznání obličeje. Apple, Google i Microsoft je postupně zavádějí jako bezpečnější alternativu ke klasickým heslům.
Proč už odborníci nedoporučují měnit heslo každé tři měsíce
Řadu lidí možná překvapí ještě jedno doporučení NIST. Organizace už několik let nedoporučuje nutit uživatele k pravidelné změně hesel bez konkrétního důvodu. Praxe totiž ukázala, že lidé při takových změnách často pouze upraví číslo na konci nebo vytvoří snadno odhadnutelnou variantu původního hesla.
Heslo by se podle odborníků mělo změnit především tehdy, pokud existuje podezření, že uniklo, bylo zneužito nebo se objevilo v některé z databází kompromitovaných přihlašovacích údajů. Jinak je mnohem důležitější mít dlouhé, jedinečné heslo a chránit účet vícefaktorovým ověřováním.
Přesto zůstává nejslabším článkem člověk. Útočníci stále častěji spoléhají na phishing – podvodné e-maily, SMS zprávy nebo falešné webové stránky, které vypadají téměř totožně jako přihlašovací formuláře bank, e-mailových služeb nebo internetových obchodů. Jakmile uživatel své údaje zadá, žádné silné heslo ho už neochrání.
Pět pravidel, která doporučují odborníci
používejte pro každou službu jiné heslo,
dejte přednost dlouhé heslové frázi před krátkým složitým heslem,
využívejte správce hesel,
zapněte vícefaktorové ověřování,
nikdy nezadávejte přihlašovací údaje po kliknutí na odkaz z nevyžádaného e-mailu nebo SMS.
Kyberbezpečnost se mění rychleji než kdy dříve. Přesto základní rada zůstává překvapivě jednoduchá. Nejde o to vymyslet „neprolomitelné“ heslo. Mnohem důležitější je nepoužívat stejné heslo na více místech, svěřit jeho správu důvěryhodnému správci hesel a zapnout druhý způsob ověření. Právě tato kombinace dnes podle bezpečnostních expertů představuje nejúčinnější ochranu běžných uživatelů.
VIDEO: Debata HN: Nová pravidla kyberbezpečnosti
Zdroje: Analýza Kaspersky, Hive Systems. Password Table 2026, NIST, FIDO Alliance
Sdílet
Mohlo by vás zajímat
Nejnovější
Místo dalšího trapasu zvolili jinou cestu. Jak dnes Češi hledají lásku bez aplikací
Hledání partnera přes displej telefonu začíná připomínat nekonečnou hru bez vítěze. Po plytkých konverzacích na randíčkách přes apku už víte, že skutečná chemie se z filtrovaných fotek vycítit nedá? Pokud se vám ani přesto nechce nad seznamováním zlomit hůl, možnosti máte stále. Stačí si vybrat podle toho, co vás baví, a vyrazit na jednu ze seznamovacích akcí s lidmi s podobnými zájmy!
Rodičovská bude vyšší o 50 tisíc. Pavel podepsal její zvýšení na 400 tisíc korun
Rodičovský příspěvek vzroste od příštího roku o 50 tisíc korun na 400 tisíc korun. V případě narození dvojčat a vícerčat jde o dvojnásobek částky. Rodičovskou zvýší vládní novela o státní sociální podpoře, kterou v pondělí podepsal prezident Petr Pavel. O jeho podpisu informoval Hrad. Část opozice neúspěšně prosazovala doplnění předlohy o zavedení automatické valorizace příspěvku.
ŽIVĚ Ukrajinský útok na Belgorodskou oblast si vyžádal životy šesti lidí
Šest lidí v noci na pondělí zahynulo při ukrajinském raketovém útoku v Belgorodské oblasti, oznámily úřady ruského regionu u hranic s Ukrajinou podle ruskojazyčné služby BBC. Další čtyři lidé utrpěli zranění. Ruské ministerstvo obrany v pondělí ráno oznámilo, že jeho protivzdušná obrana za noc zneškodnila 205 ukrajinských dronů.
Varšava na dostřel. Rusko buduje tajné základny, může z nich udeřit nebezpečně daleko
Rusové budují síť nových základen, z nichž mohou nejmodernějšími útočnými drony zasáhnout cíle hluboko na území NATO. Investigace britského deníku The Telegraph odhalila nejméně deset takových míst podél ruských hranic s Ukrajinou a Běloruskem. Některá z nich už nyní Moskva využívá k úderům proti Ukrajině.
Boeing už byl za ranvejí. Mnichov unikl katastrofě se stovkami obětí jen o vlásek
Německé úřady vyšetřují sobotní incident na mnichovském letišti, který mohl podle experta skončit nehodou s velkým počtem obětí. Letadlo společnosti Vietnam Airlines nejprve neobvykle pozdě vzlétlo z ranveje, zřejmě dokonce vjelo až za její konec. Později kroužilo nad Bavorskem a vypouštělo palivo. Po nouzovém přistání z podvozku letadla stoupal kouř. Zranění ale nikdo neutrpěl.