Silne hasła - przykłady złych i dobrych haseł do strony i poczty firmowej

Strona firmy prosi o hasło „z wielką literą, cyfrą i znakiem specjalnym”, więc wpisujesz coś w stylu „Firma2026!” i system mówi, że jest silne. Czy na pewno? Urząd Ochrony Danych Osobowych (UODO) porównał dwa hasła, które spełniają te same reguły, i pokazał, że trudne do złamania jest tylko jedno z nich.

Pokazuję przykłady złych i dobrych haseł, skąd brać mocne hasła do strony i poczty firmowej i co zrobić, żeby do konta nie wystarczyło samo hasło. Zaczynam od kary, w której zabrakło właśnie drugiego składnika logowania.

Konta lekarzy spoza szpitala bez drugiego składnika - 500 tys. euro kary

Prywatny szpital we Francji zapłaci 500 tys. euro - tak zdecydował tamtejszy urząd ochrony danych CNIL (komunikat CNIL). Z dokumentacji pacjentów korzystali także lekarze spoza szpitala. Łączyli się z nią bez VPN, czyli zabezpieczonego połączenia z siecią szpitala, i bez drugiego składnika logowania, np. kodu z telefonu. Według CNIL oba te podstawowe zabezpieczenia mogły utrudnić atak, a atakujący wykorzystał właśnie ich brak. Jedno konto otwierało dokumentację każdego pacjenta szpitala, bo dostępu nie zawężono do lekarzy, którzy danego chorego leczą.

CNIL nie podaje, skąd atakujący miał dane logowania do tego konta, i nie ocenia samego hasła. W zabezpieczeniach CNIL wytknął trzy rzeczy: logowanie z zewnątrz nie wymagało VPN ani drugiego składnika, jedno konto widziało wszystkich pacjentów i nikt nie zauważył, że ktoś przez kilka dni pobiera dane. Osobno zarzucił szpitalowi, że nie zawiadomił bezpośrednio o wycieku ponad 200 tys. osób wskazanych przez pacjentów jako „osoby zaufane” (opis w Biuletynie UODO). Górna granica kary za takie uchybienia w Polsce to 10 mln euro albo 2% światowego obrotu firmy z poprzedniego roku, a liczy się wyższa z tych kwot (art. 32 i art. 83 ust. 4 RODO, czyli unijnych przepisów o ochronie danych).

Przykłady złych i dobrych haseł

W artykule „Prezes UODO promuje testowanie haseł” urząd podaje dwa hasła o tej samej długości: „TwojeHasło123!” i „xB#3Tt!bYak$c2”. Oba mają wielkie i małe litery, cyfry i znaki specjalne, więc kalkulator, który liczy tylko długość i rodzaje znaków, oceni je tak samo. Różnica: „TwojeHasło123!” to zwykłe słowo z dopiskiem, który przestępca sprawdzi w pierwszej kolejności, a drugiego nie da się z niczego wywnioskować. Jeśli konto chroni tylko hasło, ustaw generator na co najmniej 15 znaków: przykład z biuletynu ma 14, a o normie piszę niżej.

Dlaczego „Firma2026!” to słabe hasło

Przestępcy nie zgadują haseł po jednym znaku. Sprawdzają gotowe listy, a na nich są już zwykłe słowa z dopisanymi cyframi i warianty z „@” w miejscu „a”. Nazwa firmy z rokiem i wykrzyknikiem to dokładnie taki wzorzec.

Tak samo słabe są hasła z imieniem dziecka czy psa: biuletyn wprost radzi ich unikać. Nie używaj też żadnego przykładowego hasła z internetu, także tych z tego wpisu, bo są publiczne i każdy, także przestępca, może je dopisać do swojej listy.

Dlaczego to samo hasło do poczty i strony to ryzyko

Przestępcy wykorzystują hasła z wycieków danych i sprawdzają je w innych serwisach. Jeśli hasło do panelu strony jest takie samo jak do poczty, jeden wyciek otwiera oba konta. Dlatego jedno konto = jedno hasło - tak radzi też UODO.

Jak wygląda dobre hasło, które musisz zapamiętać

Większości haseł nie musisz pamiętać, bo zrobi to menedżer haseł (o nim niżej). Jedno hasło musisz jednak wymyślić sam: to do menedżera. Niech ma co najmniej 15 znaków, np. kilka przypadkowo wylosowanych słów (nie cytat ani tytuł), niech nie powtarza się nigdzie indziej, a sam menedżer zabezpiecz drugim składnikiem. Przykład takiego układu: „latarnia pieprz kalosz wydma ogon”. Nie używaj go, bo już jest publiczny. Listy przestępców zawierają też połączenia słów, dlatego słowa ma wylosować generator, a nie Ty: liczy się przypadkowość i liczba słów, nie pomysłowość.

Mocne hasła z generatora i menedżer haseł

Najprościej mieć silne hasła, gdy nie wymyślasz ich sam. Menedżer haseł to program, który trzyma wszystkie hasła w zaszyfrowanym sejfie i sam je wpisuje przy logowaniu. Ma wbudowany generator, który tworzy przypadkowy ciąg i od razu go zapisuje. Biuletyn nazywa menedżery haseł niezbędnymi dla dobrej higieny cyfrowej. Hasła służbowe trzymaj w menedżerze wskazanym przez firmę, nie w przeglądarce zsynchronizowanej z Twoim prywatnym kontem: według biuletynu UODO z kwietnia 2026 r. włamanie na konto prywatne daje wtedy przestępcy wszystkie zapamiętane hasła służbowe.

A długość? UODO konkretnej liczby znaków nie wskazuje. Konkret daje standard NIST SP 800-63B (wytyczne amerykańskiego instytutu normalizacyjnego NIST): 15 znaków, jeśli do konta wystarcza samo hasło, i minimum 8, jeśli jest drugi składnik.

Drugi składnik na poczcie i w panelu strony

Nawet silne hasło może wyciec. Dlatego biuletyn zaleca rozważyć uwierzytelnianie dwuskładnikowe: przy logowaniu oprócz hasła podajesz np. kod z aplikacji w telefonie. Zacznij od poczty firmowej: kto ją przejmie, ten kliknięciem „nie pamiętam hasła” przejmie też panel strony i hosting. Potem włącz drugi składnik właśnie tam.

Przejęta skrzynka bywa też używana do wysyłania spamu, i to z tego samego serwera, z którego idą Twoje oferty i faktury. Co zrobić, gdy maile do klientów zaczynają wracać z dopiskiem „permanent error”, piszemy we wpisie Nie dochodzą maile na Onet: zwrot „permanent error” i plan awaryjny.

Najczęstsze pytania o silne hasła

Trzy zmiany na dziś: drugi składnik, osobne hasła i menedżer zamiast przeglądarki

Włącz drugi składnik na poczcie, zmień hasła, które powtarzają się w kilku miejscach, i przenieś hasła służbowe z przeglądarki do menedżera. O tym, jak dodatkowo chronić firmową pocztę przed podszywaniem się, piszemy we wpisie Jak działają SPF, DKIM i DMARC i dlaczego warto je ustawić.

Jeśli Twoja strona albo poczta działa na naszym hostingu, napisz do nas, a pomożemy przejrzeć konta i dostępy.