Zarządzanie hasłami: jak chronić konta w domu i w firmie

Dlaczego hasła wciąż są problemem

Przez ostatnie lata pojawiło się wiele nowych zabezpieczeń, a mimo to hasła pozostają głównym celem atakujących. Według raportu Verizon Data Breach Investigations Report 2025 22% analizowanych naruszeń zaczynało się od wykorzystania przejętych danych logowania. Microsoft w Digital Defense Report 2025 podaje, że ponad 97% ataków na tożsamość to ataki na hasła - przede wszystkim masowe próby ich odgadywania.

Przyczyna jest prosta: przeciętna osoba ma dziesiątki kont, a firma - setki. Nikt nie zapamięta setki unikalnych, losowych haseł. Dlatego większość z nas idzie na skróty: jedno hasło z wariantami, karteczka, arkusz, wiadomość do współpracownika. Każdy z tych skrótów jest dokładnie tym, na co liczą przestępcy.

Jak przestępcy zdobywają hasła

Zrozumienie metod ataku ułatwia wybór ochrony. Najczęstsze z nich:

• Wycieki i credential stuffing. Gdy wycieka baza jednego serwisu, adresy e-mail i hasła trafiają na listy, które automaty sprawdzają na setkach innych stron. Jeśli używasz tego samego hasła w sklepie i w poczcie, wyciek ze sklepu otwiera pocztę.
• Phishing. Fałszywa strona banku, kuriera albo „działu IT” prosi o zalogowanie. Wygląda przekonująco, ale adres różni się jedną literą.
• Zgadywanie i ataki siłowe. Programy próbują popularnych haseł, słów ze słownika i ich wariantów („Lato2025!”). Krótkie i przewidywalne hasła padają w minuty.
• Złośliwe oprogramowanie. Keyloggery zapisują naciśnięcia klawiszy, a programy typu infostealer kopiują hasła zapisane w przeglądarkach.
• Informacje o Tobie. Imię dziecka, nazwa psa czy ulubiona drużyna - wiele haseł da się odgadnąć z mediów społecznościowych.

Szerzej o atakach na firmy piszemy w darmowym e-booku „Przyczyny i skutki wycieku danych w Twojej firmie”.

Jak wygląda naprawdę silne hasło

Przez lata uczono nas, że silne hasło to krótki ciąg z wielką literą, cyfrą i wykrzyknikiem. Dziś wiadomo, że długość i losowość znaczą więcej niż „znaki specjalne”. Aktualne wytyczne amerykańskiego instytutu NIST (SP 800-63B) zalecają długie hasła, sprawdzanie ich z listami haseł z wycieków i odejście od wymuszania skomplikowanych reguł.

Hasło	Ocena	Dlaczego
Kasia1985!	Bardzo słabe	Imię i rok - typowy wzór, łatwy do odgadnięcia
P@ssw0rd2025	Słabe	Popularne słowo z „podmianami”, które zna każdy program
kolejka-pomidor-wieczorem-latarnia	Dobre	Długa fraza z przypadkowych słów, łatwa do zapamiętania
r7#Vq2!mLx9$Tz4@pW	Bardzo dobre	Długie i losowe - idealne, gdy pamięta je menedżer

W praktyce wystarczą dwie zasady:

1. Hasło główne (to jedno, które pamiętasz) - długa fraza z kilku przypadkowych słów.
2. Wszystkie pozostałe - losowe, długie i generowane przez narzędzie. Nie musisz ich znać.

Jedno konto, jedno hasło

Jeśli z tego poradnika zapamiętasz tylko jedną zasadę, niech to będzie ta: każde konto ma własne hasło. Unikalność chroni przed najczęstszym scenariuszem - wyciekiem z serwisu, na który nie masz żadnego wpływu. Gdy hasło ze sklepu internetowego nie otwiera niczego poza tym sklepem, wyciek jest kłopotem, a nie katastrofą.

Szczególnie pilnuj unikalności haseł do:

• poczty e-mail - przez nią resetujesz hasła do wszystkiego innego,
• bankowości i płatności,
• kont, którymi logujesz się gdzie indziej (Google, Apple, Microsoft, Facebook),
• kont służbowych i paneli administracyjnych.

Gdzie trzymać hasła - porównanie

Sposób	Wygoda	Bezpieczeństwo	Główne ryzyko
Pamięć	Niska przy wielu kontach	Zależy od haseł	Prowadzi do powtarzania haseł
Karteczka lub zeszyt	Średnia	Niskie	Zgubienie, zdjęcie biurka, brak kopii
Arkusz lub notatka w telefonie	Średnia	Bardzo niskie	Plik bez szyfrowania, kopiowany i udostępniany
Przeglądarka	Wysoka w jednej przeglądarce	Średnie	Jeden ekosystem, cel programów kradnących dane
Menedżer haseł	Wysoka wszędzie	Wysokie	Słabe hasło główne - dlatego ważne jest 2FA

Przeglądarki to rozsądny start, ale menedżer haseł działa w każdej przeglądarce i aplikacji, ma osobną blokadę skarbca, kody 2FA i bezpieczne udostępnianie. Porównanie szczegółowo omawiamy w artykule Hasła w przeglądarce czy menedżer haseł?

Jak działa menedżer haseł (i dlaczego mu ufać)

Dobry menedżer haseł działa w modelu zero-knowledge: szyfruje dane na Twoim urządzeniu, zanim cokolwiek trafi do chmury, a klucz powstaje z hasła głównego, którego dostawca nie zna. W Inlockly wygląda to tak:

• Argon2id wyprowadza klucz z Twojego hasła głównego - samo hasło nie opuszcza urządzenia,
• AES-256-GCM szyfruje każdy wpis losowym kluczem skarbca,
• RSA-OAEP chroni klucze wspólnych skarbców rodziny lub firmy przekazywane między osobami,
• serwer przechowuje tylko zaszyfrowaną treść i synchronizuje ją między Twoimi urządzeniami.

Efekt: nawet gdyby ktoś wykradł dane z serwera, dostałby zaszyfrowany szum. Szczegóły opisuje model bezpieczeństwa i Raport Bezpieczeństwa.

Na co dzień menedżer haseł to po prostu wygoda: zapisuje hasło przy rejestracji, podpowiada je przy logowaniu i nie wypełni go na fałszywej stronie, bo dopasowuje dane do adresu witryny.

Weryfikacja dwuetapowa: druga linia obrony

Nawet najlepsze hasło może wyciec. Weryfikacja dwuetapowa (2FA) sprawia, że samo hasło nie wystarczy do zalogowania. Najpopularniejsze metody, od najsłabszej:

• SMS - lepszy niż nic, ale podatny na przejęcie numeru (SIM swapping),
• kod e-mail - dobry, o ile skrzynka jest dobrze chroniona,
• aplikacja uwierzytelniająca (TOTP) - kod zmieniający się co 30 sekund, generowany lokalnie,
• klucz sprzętowy (np. YubiKey) - fizyczne urządzenie, bardzo odporne na phishing.

Włącz 2FA przynajmniej na poczcie, w bankowości, na kontach Google/Apple/Microsoft i w menedżerze haseł. Coraz więcej serwisów oferuje też klucze dostępu (passkeys) - logowanie bez hasła, oparte na kryptografii i biometrii urządzenia. Tam, gdzie to możliwe, warto je rozważyć.

W Inlockly możesz trzymać kody 2FA przy loginach (od planu Osobistego): kod wypełni się po haśle, a wspólne konto firmowe z 2FA nie będzie przypięte do telefonu jednej osoby. Więcej w artykule Kody 2FA: dlaczego warto i jak je przechowywać.

Co zrobić, gdy hasło wycieknie

Przyszło powiadomienie o wycieku albo widzisz logowanie, którego nie rozpoznajesz? Działaj w tej kolejności:

1. Zmień hasło do konta, którego dotyczy wyciek - na nowe, losowe i unikalne.
2. Zmień je wszędzie, gdzie było takie samo lub podobne. Tu menedżer haseł oszczędza godziny.
3. Wyloguj inne sesje w ustawieniach konta i sprawdź listę urządzeń.
4. Włącz 2FA, jeśli jeszcze go nie było.
5. Sprawdź pocztę: reguły przekazywania, filtry i adresy odzyskiwania - atakujący często je zmieniają.
6. Uważaj na phishing podszywający się pod serwis, z którego był wyciek.

SafetyMeter™ w Inlockly (od planu Osobistego) wskazuje hasła słabe, powtórzone i takie, które pojawiły się w znanych wyciekach - zanim ktoś je wykorzysta.

Hasła w rodzinie

Rodzina dzieli wiele kont: Wi-Fi, serwisy streamingowe, rachunki, konta dzieci w szkole. Kilka zasad, które działają w domu:

• Wspólne konta - we wspólnym skarbcu, nie na lodówce i nie w grupowym czacie.
• Każdy domownik ma własne konto i prywatne hasła. Wspólne nie znaczy jawne dla wszystkich.
• Dzieci uczą się na dobrym przykładzie. Zamiast „wymyśl hasło” - generator i menedżer.
• Starszym rodzicom ustaw 2FA i pomóż przy pierwszej konfiguracji - to grupa najczęściej atakowana phishingiem.

Plan Rodzinny w Inlockly to do 5 kont z pełnymi funkcjami, wspólny skarbiec z uprawnieniami (np. dzieci tylko do odczytu) i panel administratora, który przywróci domownikowi dostęp do danych rodziny, gdy zapomni hasła głównego. Zobacz Inlockly dla rodzin →

Hasła w firmie: zasady, które naprawdę działają

W firmie hasła przestają być prywatną sprawą - jedno przejęte konto może otworzyć dostęp do poczty, faktur, danych klientów i systemów. Dobra polityka haseł jest krótka i wykonalna:

1. Menedżer haseł zamiast arkusza

Firmowe dostępy trzymaj we wspólnych folderach z uprawnieniami, a nie w pliku na dysku czy w czacie. Każdy widzi tylko to, czego potrzebuje do pracy.

2. Długie, unikalne hasła i 2FA na kontach krytycznych

Zgodnie z NIST: zamiast wymyślnych reguł i comiesięcznej zmiany - długie hasła, sprawdzanie z listami wycieków i zmiana, gdy jest powód. Na poczcie, w bankowości, panelu domeny i kontach administracyjnych 2FA jest obowiązkowe.

3. Najmniejsze potrzebne uprawnienia

Stażysta nie potrzebuje hasła do bankowości. Dostęp nadawaj według roli lub działu, a tam, gdzie to możliwe, pozwól logować się bez podglądu hasła.

4. Wdrożenie i odejście pracownika jako proces

Nowa osoba dostaje dostępy działu pierwszego dnia, a odchodząca traci je w chwili odejścia. Po odejściu zmień hasła do kont, z których korzystała - dziennik aktywności pokaże, które to były.

5. Ślad zmian

Kto zmienił hasło do konta reklamowego? Kto udostępnił login podwykonawcy? Historia zmian i dziennik odpowiadają na te pytania w kilka sekund.

6. Współpraca z osobami spoza firmy

Hasła dla księgowej, serwisanta czy freelancera przekazuj linkiem, który wygasa, a nie e-mailem. Podwykonawca na dłużej - dostęp do jednego folderu, odebrany po projekcie.

Lista kontrolna: 10 kroków do porządku w hasłach

1. Wybierz menedżer haseł i ustaw długie hasło główne w formie frazy.
2. Zapisz klucz odzyskiwania w bezpiecznym miejscu poza skarbcem.
3. Zaimportuj hasła z przeglądarki i innych miejsc, a potem usuń stare kopie.
4. Włącz 2FA w menedżerze haseł i na poczcie.
5. Zmień hasło do poczty na losowe i unikalne.
6. Sprawdź słabe, powtórzone i wyciekłe hasła i zacznij od najważniejszych kont.
7. Przy każdym nowym koncie korzystaj z generatora.
8. Wspólne hasła rodziny lub zespołu przenieś do wspólnego skarbca.
9. Hasła dla osób z zewnątrz przekazuj linkiem z terminem ważności.
10. Raz na kwartał zajrzyj do raportu bezpieczeństwa haseł i popraw to, co wymaga uwagi.

Masz za sobą pierwsze kroki? W poradniku Pierwsze kroki z Inlockly przeprowadzimy Cię przez konfigurację w około kwadrans.