Myslíte, že máte bezpečné heslo? Pokud vypadá takhle, je na čase ho změnit, varují odborníci

Máte heslo dlouhé deset znaků, obsahuje velké písmeno, číslici i speciální znak a používáte ho už několik let. Pokud jste si právě řekli, že jste udělali všechno správně, bezpečnostní experti mají špatnou zprávu. Pravidla, která ještě před několika lety platila za zlatý standard, dnes už sama o sobě nestačí.

Neznamená to, že by se hackeři přes noc stali geniálnějšími. Změnil se především způsob, jakým útočí. Místo zdlouhavého hádání hesel stále častěji využívají obrovské databáze údajů z dřívějších úniků, automatizované nástroje a rostoucí výpočetní výkon. Výsledkem je, že hesla, která lidé považují za bezpečná, mohou být ve skutečnosti mnohem zranitelnější, než si uvědomují.

To potvrzuje i letošní analýza bezpečnostní společnosti Kaspersky. Její výzkumníci zkoumali 231 milionů uniklých hesel pocházejících z případů z let 2023 až 2026. Přibližně 48 procent z nich bylo podle analýzy možné prolomit za méně než jednu minutu, téměř dvě třetiny do jedné hodiny a více než 70 procent během jediného dne.

Samotná čísla ale potřebují důležitý kontext. Nejde o reprezentativní vzorek všech hesel, která lidé používají, ale o hesla, která už se někdy objevila v uniklých databázích. Právě proto mezi nimi bylo nadprůměrně mnoho slabých nebo opakovaně používaných kombinací. Přesto analýza dobře ukazuje, jaké chyby lidé při vytváření hesel dělají nejčastěji.

Nejslabším článkem není počítač, ale člověk

Představa hackera, který celé hodiny zkouší jednu kombinaci za druhou, patří spíše do filmů. Ve skutečnosti dnes velká část útoků využívá něco mnohem jednoduššího: lidskou pohodlnost.

Když některé internetové službě unikne databáze uživatelů, objeví se na internetu miliony e-mailových adres a hesel. Útočníci pak pomocí automatických programů zkoušejí stejné přihlašovací údaje u dalších služeb. Pokud někdo používá totožné heslo do e-mailu, internetového obchodu, streamovací platformy nebo sociálních sítí, může jediný únik ohrozit všechny tyto účty najednou. Tento typ útoku, označovaný jako credential stuffing, patří podle bezpečnostních expertů mezi nejčastější způsoby zneužití přihlašovacích údajů.

Právě proto dnes odborníci opakují jednoduché pravidlo: mnohem důležitější než často měnit jedno heslo je mít pro každou službu jiné.

Vykřičník na konci už nikoho nezachrání

Mnoho lidí si stále myslí, že bezpečné heslo musí obsahovat alespoň jedno velké písmeno, číslici a speciální znak. Jenže právě tato pravidla vedla k tomu, že vznikly miliony téměř stejných kombinací: například Heslo123!, Praha2026! nebo Leden25!.

Moderní nástroje určené k prolomení hesel s podobnými vzorci počítají jako s prvními. Nezkoušejí všechny možné kombinace znaků od začátku, ale vycházejí z toho, jak lidé skutečně přemýšlejí. Pracují se slovníky nejčastějších hesel, databázemi dřívějších úniků i běžnými úpravami, jako je nahrazení písmene „a“ symbolem @ nebo přidání čísla na konec.

Zmiňovaná analýzy ukázala, jak předvídatelné lidské návyky jsou. Více než polovina uniklých hesel končila číslicí a velká část obsahovala běžná jména, slovníková slova nebo odkazy na populární kulturu. To jsou přesně vzorce, které dnešní programy zkoušejí jako první.

Kvůli těmto zkušenostem změnil doporučení také americký Národní institut pro standardy a technologie (NIST), jehož metodiky patří mezi nejuznávanější v oblasti digitální bezpečnosti. Ten už několik let nedoporučuje vynucovat složitá pravidla typu „jedno velké písmeno, číslice a speciální znak“. Mnohem větší význam podle něj má délka hesla, jeho jedinečnost a ochrana proti používání známých nebo kompromitovaných hesel.

To ale neznamená, že na velkých písmenech nebo symbolech nezáleží vůbec. Pokud jsou součástí dlouhého a unikátního hesla, bezpečnost zvyšují. Samy o sobě však nestačí.

Silné heslo si nemusíte pamatovat

Doporučení bezpečnostních expertů se za poslední roky výrazně změnila. Zatímco dříve se kladl důraz na to, aby si lidé složitá hesla zapamatovali, dnes je běžnou součástí doporučení používání správce hesel. Ten dokáže pro každý účet vytvořit dlouhé náhodné heslo a bezpečně ho uložit. Uživatel si pak pamatuje pouze jediné hlavní heslo.

Stejně důležité je podle NIST zapnout vícefaktorové ověřování (MFA). Ani silné heslo totiž nemusí stačit, pokud unikne při úniku dat nebo ho uživatel zadá na podvržené stránce. Druhý ověřovací krok – například potvrzení v mobilní aplikaci nebo bezpečnostním klíčem – výrazně snižuje pravděpodobnost, že se útočník do účtu skutečně dostane.

Stále více technologických firem zároveň přechází na takzvané passkeys. Místo klasického hesla využívají kryptografické klíče uložené v zařízení uživatele a biometrické ověření, například otisk prstu nebo rozpoznání obličeje. Apple, Google i Microsoft je postupně zavádějí jako bezpečnější alternativu ke klasickým heslům.

Proč už odborníci nedoporučují měnit heslo každé tři měsíce

Řadu lidí možná překvapí ještě jedno doporučení NIST. Organizace už několik let nedoporučuje nutit uživatele k pravidelné změně hesel bez konkrétního důvodu. Praxe totiž ukázala, že lidé při takových změnách často pouze upraví číslo na konci nebo vytvoří snadno odhadnutelnou variantu původního hesla.

Heslo by se podle odborníků mělo změnit především tehdy, pokud existuje podezření, že uniklo, bylo zneužito nebo se objevilo v některé z databází kompromitovaných přihlašovacích údajů. Jinak je mnohem důležitější mít dlouhé, jedinečné heslo a chránit účet vícefaktorovým ověřováním.

Přesto zůstává nejslabším článkem člověk. Útočníci stále častěji spoléhají na phishing – podvodné e-maily, SMS zprávy nebo falešné webové stránky, které vypadají téměř totožně jako přihlašovací formuláře bank, e-mailových služeb nebo internetových obchodů. Jakmile uživatel své údaje zadá, žádné silné heslo ho už neochrání.

Pět pravidel, která doporučují odborníci

používejte pro každou službu jiné heslo,
dejte přednost dlouhé heslové frázi před krátkým složitým heslem,
využívejte správce hesel,
zapněte vícefaktorové ověřování,
nikdy nezadávejte přihlašovací údaje po kliknutí na odkaz z nevyžádaného e-mailu nebo SMS.

Kyberbezpečnost se mění rychleji než kdy dříve. Přesto základní rada zůstává překvapivě jednoduchá. Nejde o to vymyslet „neprolomitelné“ heslo. Mnohem důležitější je nepoužívat stejné heslo na více místech, svěřit jeho správu důvěryhodnému správci hesel a zapnout druhý způsob ověření. Právě tato kombinace dnes podle bezpečnostních expertů představuje nejúčinnější ochranu běžných uživatelů.