Skryté riziko hesel: Proč „skoro stejná“ hesla ohrožují bezpečnost
Když se mluví o rizicích spojených s přihlašovacími údaji, pozornost se obvykle soustředí na hrozby jako phishing, malware nebo ransomware. Tyto hrozby jsou reálné a důležité. Přesto ale v mnoha organizacích dlouhodobě přetrvává jiný, často přehlížený problém – používání téměř stejných hesel. Tento typ chování často projde bezpečnostními kontrolami a to i tam, kde existují jasně daná pravidla.
Proč se to děje, i když mají firmy přísná pravidla
Většina lidí ví, že používat stejné heslo na více místech je nebezpečné. Firmy na rizika opakovaně upozorňují v interních předpisech i při školeních, a zaměstnanci se proto většinou snaží stanovená pravidla dodržovat. Přesto však často volí jen zdánlivě bezpečnější řešení – místo používání zcela odlišných hesel je pouze mírně obměňují. Formálně jsou v souladu s pravidly, ale z pohledu bezpečnosti se toho moc nemění.
Co znamená „téměř stejné“ heslo
Jde o situaci, kdy uživatel heslo jen lehce upraví místo toho, aby si vytvořil nové. Mezi typické příklady patří:
- Změna čísla na konci: Heslo!2025 → Heslo!2026
- Přidání jednoho znaku: Heslo2026 → Heslo2026*
- Změna symbolu nebo velikosti písmene: Heslo2026? → heslo2026!
Podobně to často vypadá i u výchozích hesel, která firma přidělí novým zaměstnancům. Místo úplné změny se heslo jen postupně „upravuje“, aby splnilo aktuální požadavky.
Proč si lidé pomáhají takovými zkratkami
Důvod je jednoduchý – pohodlí a ulehčení. Zaměstnanci dnes spravují desítky hesel k pracovním či osobním účtům a každý má jiná pravidla. S rostoucím počtem aplikací je toho stále více. Například firma se 250 zaměstnanci může dohromady spravovat téměř 48 tisíc hesel. V takovém prostředí se používání téměř totožných hesel stává spíše praktickým řešením než projevem nezodpovědnosti.
Proč běžná pravidla nestačí
Pravidla typu „musí obsahovat číslo, velké písmeno a symbol“ sice zabrání úplně slabým heslům, ale neřeší jejich podobnost.
Hesla jako TotoNeniHeslo2025? a TotoNeniHeslo2026! jsou formálně v pořádku, ale jakmile unikne jedno, druhé je snadno odhadnutelné. Uživatel tak splní požadavky, aniž by se skutečně zvýšila bezpečnost.
Co s tím mohou organizace dělat
Snížit toto riziko nejde jen zpřísněním pravidel. Důležité je:
- Vědět, zda se firemní hesla objevila v dřívějších únicích dat.
- Rozpoznat hesla, která jsou si navzájem podobná.
- Zabránit používání „upravených“ hesel už při jejich nastavování.
