Jak si vytvořit správné heslo?

Část obyvatel zbytečně riskuje útok na citlivá data, ukázal průzkum

Stěžejní bezpečnostní pojistka i kód, který si je mnohdy nutné poznamenat, aby ho majitel nepopletl. Hesla na internetu otevírají přístup do světa her, soukromé korespondence nebo třeba bankovnictví. Ne každý jim ale přikládá patřičnou důležitost. V Česku není výjimečné například používání jediného hesla. Experti před tím varují. Pro uživatele to může znamenat nepříjemné překvapení v podobě krádeže jeho osobních údajů.

Obsah:

Že někteří Češi berou hesla na lehkou váhu, dokládá průzkum realizovaný od 4. do 16. května specializovanou společností ESET a portálem Seznam.cz. Vyplývá z něj, že necelá desetina uživatelů sází pouze na jedno heslo.

Více než polovina z 918 respondentů (šedesát sedm procent) si pak myslí, že bezpečné heslo má být složité. Čtyřicet procent dotazovaných zase zastává názor, že by bezpečné heslo mělo být unikátní. Oproti loňskému roku se zmenšila skupina účastníků výzkumu, která jako bezpečný klíčový údaj preferuje dlouhou formulku. Méně je rovněž lidí s kladným postojem k zapamatovatelným a logicky odvoditelným heslům.

Heslové fráze zabírají, sekvence písmen či čísel ne

Podle expertů se vyplatí vymyslet si unikátní heslo. „Vždy je bezpečnější,“ ujišťuje v tiskové zprávě technický ředitel pobočky ESET v České republice Miroslav Dvořák. U složitých a dlouhých hesel naopak vyjádřil pochybnosti. „Samozřejmě, že velmi komplexní dlouhá hesla jsou bezpečná, na druhou stranu, ale s nimi musíte také správně nakládat. Složité heslo napsané na papírku má k doporučenému postupu daleko. Silná hesla si prostě z hlavy zapamatujete jen těžko,“ argumentuje a doporučuje opatřit si přístupové údaje jednoduchými větami, takzvanými heslovými frázemi.

Jako opačný příklad nakládání s hesly se jeví jednoslovné výrazy, případně za sebou jdoucí řady znaků (písmen nebo čísel). V tomto případě představuje hrozbu riziko slovníkového útoku. „S tímto typem útoku jsme se setkávali ve zvýšené míře loni na podzim, kdy takto útočníci prolamovali vzdálené přístupy lidí, kteří pracovali z domova, a infikovali tak celé firemní sítě. Během slovníkového útoku hacker využívá typicky slovník připravený z nejčastěji používaných hesel. Slovníky hesel navíc reflektují i regionální podmínky, takže klidně mohou obsahovat i slova s českou diakritikou,“ upozorňuje Dvořák a apeluje na unikátní hesla i důslednou bezpečnostní politiku. Ta dokáže zabránit opakovanému zkoušení hesel, jež internetoví útočníci pro získání citlivých informací používají.

Jedno heslo = velký hazard

Skutečně unikátní hesla si volí necelá třetina (třicet dva procent) Čechů, slabá čtvrtina má pak různé typy hesel na různé druhy služeb. Jiné pro e-shopy, jiné pro sociální sítě. Počet těch, kteří si vystačí s jediným heslem, sice ve srovnání s rokem 2020 klesl. Stále se však jedná o sedm procent obyvatel. Do této skupiny se řadí hlavně lidé starší pětačtyřiceti let. „Točit několik málo hesel bych nedoporučil. Z praxe vidíme, jak neblahé důsledky tento postup má. Stačí únik přihlašovacích údajů z jedné služby a kyberzločincům okamžitě otevíráte dveře k dalším. Za ještě větší hazard pak považuji využívání jediného hesla pro všechny služby,“ konstatoval Dvořák.

Hesla jsou v České republice častým terčem kybernetických útoků. Podle údajů společnosti ESET na ně směřuje až polovina škodlivých akcí. Útočníci se hesla pokoušejí zjišťovat prostřednictvím na první pohled nenápadných, ovšem nebezpečných kódů. Nazývají se password stealers, neboli zloději hesel. Patří mezi spywares – špehovací škodlivé programy (malwares), jež byly vytvořeny pro odesílání dat z počítačů, aniž by o tom jejich uživatelé měli tušení. Šíří se e-maily posílanými za různými smyšlenými účely. V největším množství případů se tváří jako faktury. Místo vyúčtování za výrobek či službu ale mohou zúčtovat s vaší online identitou. V krajním případě totiž hrozí, že vám ji ukradnou.

„Praktiky útočníků se vyvíjejí, postupně testují nové škodlivé kódy a styly kampaně a vyhodnocují si rentabilitu. V minulém roce se staly standardem i spamy v češtině. Od dubna sledujeme nástup dvou cílených kampaní měsíčně, které šířily různé typy malware. Je zřejmé, že Česko je pro útočníky lukrativní zemí, nějaký výrazný pokles jejich aktivit proto nemůžeme očekávat,“ říká v tiskové zprávě vedoucí analytického týmu z české podočky ESET Martin Jirkal.

Spamy s falešnými přílohami

Společnost uvádí, že během května se jako hrozba pro české počítače nejčastěji objevoval škodlivý program s názvem Spy.Agent.AES. Na svědomí měl dvaadvacet procent útoků. Do počítačů pronikal spamy, maskoval se zejména jako příloha e-mailů nesoucí název „FAKTURA.exe“. Útoky ve druhé polovině května (mezi 18. a 31. květnem) vměstnal do dvojice rozsáhlejších kampaní. „Jakmile je Spy.Agent.AES aktivní, zjistí na zařízení instalované prohlížeče a hledá uložené přihlašovací údaje. Ty následně odesílá na vzdálený server útočníkům,“ stojí na webu eset.com.

Za minimálně desetinou všech útoků stál malware Formbook. Chová se podobně jako Spy.Agent.AES a jeho dvě kampaně s nejsilnějšími útoky se uskutečnily v rozmezí 3. a 18. května.

„Vidíme podobný typ infikované přílohy i načasování jako v minulém měsíci. Je možné, že existuje skupina, která v Česku útočí prostřednictvím Spy.Agent.AES i Fombooku. Takto diverzifikují své útoky a je pravděpodobnější, že uživatele oklamou,“ objasňuje ve zprávě z první poloviny června Jirkal. „Spyware se navíc zcela běžně nabízí na fórech na darknetu k pronájmu. Méně zkušený útočník si tak snadno pronajme škodlivý kód, jeho distribuci i úložiště a pak jen vydělává na odcizených datech,“ doplňuje.

Důslednost je na místě

Jako prevenci proti kódům s povahou zlodějů doporučují odborníci dodržovat pravidla kybernetické bezpečnosti. Jedním z nich je využívání takzvaných správců hesel. Programů, které slouží k ukládání hesel. Jedná se o mnohem bezpečnější alternativu k ukládání údajů do prohlížeče. Právě ty totiž password stealers vyskytující se na českém území umí díky svému naprogramování odcizit. Hesla, která najdou uložená v prohlížečích, jsou pro ně jednoduchým soustem.

„Útočníci rovněž často používají programy pro hádání hesel. Dobrým preventivním krokem proti tomuto útoku je vytvoření silného hesla. To v praxi znamená buď hesla složeného z mixu běžných znaků, speciálních znaků a číslic nebo takzvané heslové fráze. Výhodu fráze je, že si ji uživatel je schopen zapamatovat i bez speciálního software na ukládání hesel,“ přidává radu Jirkal.

Proti internetovým útokům zaměřeným na hesla se lze chránit i dalším ověřením identity uživatele. Přístup tak můžete potvrdit přes speciální aplikaci, nebo se můžete prokázat kódem, který vám přišel v SMS zprávě. Že nejste osoba s nekalými úmysly, můžete dokázat také pomocí biometrických prvků, jako je například otisk prstu. K tomu se hodí neopomenout ochranu antivirového programu, stejně jako v počítači pravidelně provádět aktualizace.