Jeszcze kilka lat temu wydawało się, że ataki polegające na zgadywaniu kolejnych haseł to relikt przeszłości – banki i portale wprowadziły blokady kont po kilku błędnych próbach, a uwierzytelnianie dwuskładnikowe miało definitywnie rozwiązać problem. Rzeczywistość jest jednak inna: raport firmy Passwork pokazuje, że cyberprzestępcy nie porzucili brute force – po prostu dostosowali go do współczesnych możliwości. Dziś zamiast pojedynczego komputera i losowych kombinacji działają w rozproszonych sieciach, a do łamania haseł wykorzystują sztuczną inteligencję i ogromne bazy wyciekłych danych.
Czym różni się nowy brute force od starego?
Klasyczny atak brute force polegał na próbowaniu wszystkich możliwych kombinacji znaków – od „a” po „zzzzzz”. Wymagało to ogromnej mocy obliczeniowej i czasu. Współczesne kampanie wyglądają zupełnie inaczej. Atakujący korzystają z baz wyciekłych haseł, analizują schematy stosowane przez użytkowników i na tej podstawie generują listy najbardziej prawdopodobnych wariantów. Zamiast miliardów przypadkowych prób wykonują stosunkowo niewielką liczbę bardzo dobrze dobranych kombinacji. Jak wynika z raportu Passwork, w przypadku słabych algorytmów haszowania lub krótkich haseł czas potrzebny na ich odtworzenie może wynosić zaledwie kilka minut – nowoczesne karty graficzne i narzędzia takie jak Hashcat czy John the Ripper potrafią sprawdzać miliony kombinacji na sekundę.
Jak hakerzy omijają blokady logowania?
Najpopularniejszym obecnie scenariuszem nie jest atak skierowany przeciwko jednemu użytkownikowi, ale tzw. password spraying. Atakujący wybiera kilka bardzo popularnych haseł (jak „123456”, „hasło” czy „qwerty”) i próbuje zalogować się nimi do setek lub tysięcy kont. Dzięki temu omija mechanizmy blokujące konto po kilku błędnych próbach – każde konto otrzymuje tylko jedną czy dwie próby. W dużych organizacjach nawet jedno konto z prostym hasłem może wystarczyć do rozpoczęcia całego łańcucha ataku.
Jeszcze skuteczniejszą metodą jest credential stuffing – wykorzystywanie danych logowania pochodzących z wcześniejszych wycieków. Miliony użytkowników nadal używają tych samych haseł w wielu serwisach. Jeśli więc dane wyciekną z jednego portalu, przestępcy automatycznie sprawdzają je w Microsoft 365, Google Workspace, portalach VPN czy bankowości elektronicznej. Z punktu widzenia systemów bezpieczeństwa takie logowanie wygląda całkowicie poprawnie – przestępca podaje prawidłowy login i prawidłowe hasło. Jedyną różnicą jest to, że robi to ktoś inny.
Sztuczna inteligencja na usługach przestępców
Coraz częściej do przygotowania ataków wykorzystywane są modele AI. Nie oznacza to, że sztuczna inteligencja łamie hasła w magiczny sposób – pomaga jednak przewidywać schematy stosowane przez użytkowników. Modele potrafią generować listy najbardziej prawdopodobnych wariantów na podstawie imion, nazw firm, lokalizacji, dat urodzenia czy popularnych wzorców. Jeżeli wcześniej doszło do wycieku części danych organizacji, AI może znacząco zwiększyć skuteczność ataków typu password spraying lub credential stuffing, ograniczając liczbę nieudanych prób i zmniejszając ryzyko wykrycia.
Jak się bronić przed nową falą ataków?
Najważniejsza zasada brzmi: nigdy nie używaj tego samego hasła w kilku serwisach. Nawet jeśli jedno konto zostanie przejęte, pozostałe pozostaną bezpieczne. Hasła powinny mieć co najmniej 12-14 znaków i zawierać małe i wielkie litery, cyfry oraz znaki specjalne. Unikaj słów słownikowych, dat urodzenia, imion członków rodziny – to pierwsze warianty, które sprawdzi AI. Kluczowe jest włączenie uwierzytelniania dwuskładnikowego (MFA) wszędzie tam, gdzie to możliwe. Samo silne hasło to za mało, gdy przestępcy mogą je przechwycić w wyniku wycieku lub phishingu. W przypadku firm i organizacji niezbędne są narzędzia monitorujące nietypowe próby logowania, zwłaszcza gdy pochodzą z nietypowych lokalizacji lub urządzeń. Warto też korzystać z menedżerów haseł – generują one i przechowują silne, unikalne hasła, których nie musisz pamiętać. W 2026 roku hasło „qwerty123” to nie tylko ryzyko, ale wręcz zaproszenie dla hakerów.
