A leggyengébb láncszem: 123456

Még a nem szakemberek is egyre több hírt kapnak feltört rendszerekről, kiszivárgott adatokról, tetemes károkról, amelyet a hackerek okoztak. De hogyan lehetséges ez? Üdvözlünk mindenkit a gyenge jelszavak világában, ahol a felhasználók tojáshéjon lépkednek, már ami a biztonsági kérdéseket illeti.

7-ből 6

A NordPass és a NordStellar 2025 novemberében megjelent, 44 országra kiterjedő felmérése szerint a világ legnépszerűbb jelszava tavaly is a 123456 volt. Az elmúlt hét évből hatban ez a számsor állt a lista élén. Egyetlen évben csak a „password" szó előzte meg. A többi élmezőnyben szereplő jelszó sem sokkal bonyolultabb: 12345678, admin, admin123, és néhány, komplexitást imitáló minta, mint a Pass@123.

A legmeglepőbb talán az, hogy az életkor szinte semmit nem számít. A 123456 és a 12345 a Z generációtól a boomerekig mindenhol az első két helyen áll. A generációk között csak a mintázatban van különbség: az idősebbek keresztneveket és családi adatokat írnak be, a fiatalabbak pedig internetes szlenget csempésznek a jelszavukba.

A robbanás mérete

2019-ben a Collection #1 nevű szivárgás 773 millió e-mail címet tartalmazott, és akkor ez mérföldkőnek számított. 2024 júliusában a RockYou2024 adatcsomag már 9,9 milliárd egyedi, nyílt szöveges jelszót gyűjtött egyetlen fájlba. A növekedés mögött egy szerkezeti váltás áll. Régen a vállalati szerverek feltörése adta a jelszavak zömét, ma már a felhasználói gépeket megfertőző kártevők, az úgynevezett infostealerek szolgáltatják őket. Ezek böngészőkből lopják ki a mentett jelszavakat és a bejelentkezési sütiket is, ez utóbbival pedig a kétfaktoros hitelesítés is megkerülhető.

Miért csináljuk mégis?

A jelszó-újrahasznosítás mögött az emberi agy korlátai állnak. Egy átlagos felhasználónak ma több mint száz fiókja van, a munkamemória azonban néhány tucat elemnél többet nem képes megjegyezni. A NIST kutatói ezt security fatigue-nek, biztonsági kimerültségnek nevezik. A folyamatos figyelmeztetések és kényszerű jelszócserék hatására a felhasználó egyszerűen feladja a küzdelmet, és a kényelmet választja. A Bitwarden 2025-ös felmérése szerint a megkérdezettek jelentős része, elsősorban a Z generáció tagjai, ugyanazt a jelszót használja több fiókban is. Ugyanennek a nemzedéknek a 59 százaléka egy adatszivárgásról szóló értesítés után is egy már meglévő jelszavát adja meg újként, mintha semmit sem tanulnak korábbi ballépéséből.

A dominóhatás

Ez a mintázat teszi lehetővé a kiberbiztonságban dominóhatásnak nevezett jelenséget. Egyetlen jelentéktelen, kevésbé védett oldal kiszivárgása után a támadók ugyanazokat a hitelesítő adatokat próbálgatják végig a felhasználó értékesebb fiókjain. A Verizon idén májusban megjelent 2026-os adatszivárgási jelentése szerint a kép árnyaltabb lett, mint korábban: a puszta belépési pontok versenyében a szoftveres sérülékenységek kihasználása vette át a vezetést, a kompromittált jelszavak aránya erre a szűk tartományra, 13 százalékra esett. Ha viszont a teljes támadási láncot és nem csak az első lépést nézzük, akkor a hitelesítő adatokkal való visszaélés a jelentés szerint továbbra is ott van a betörések 39 százalékában. A webalkalmazások elleni támadásoknál pedig máig az ellopott jelszó a leggyakoribb eszköz.

Ahol ez már törvény

Magyarországon 2025 januárja óta a NIS2-irányelvet átültető kiberbiztonsági törvény írja elő a kritikus és fontos szervezeteknek a többfaktoros hitelesítést és a jelszavak rendszeres ellenőrzését. A GDPR 32. cikke szerint egy elmaradt jelszóvédelmi intézkedés miatt bekövetkező szivárgás önmagában is adatbiztonsági kötelezettségszegésnek minősülhet, komoly bírsággal a háttérben. A hazai vállalatoknak mindössze 13,75 százaléka rendelkezik írásos kiberbiztonsági szabályzattal, szemben az átlagban 35,5 százalékos uniós átlaggal. Ez a szám önmagában megmutatja, mekkora a lemaradásunk.

A kiút

A NIST már nem javasolja a kényszerű, időszakos jelszócserét és a bonyolult karakterszabályokat, mert ezek kiszámítható mintákhoz vezetnek. Helyette a hosszabb jelmondatok használata, a vállalati jelszókezelők és a kiszivárgott adatbázisok elleni folyamatos szűrés jelenti a hatékony megoldást. A jelszó nélküli, a felhasználó már meglévő készülékeire épülő hitelesítés, a passkey pedig már elérhető: a FIDO Alliance idén májusi jelentése szerint világszerte 5 milliárd passkey van használatban, a felhasználók háromnegyede aktivált már legalább egyet, és a világ száz legnagyobb weboldalának közel fele támogatja a technológiát.

A jelszó azért maradt a digitális védelem leggyengébb láncszeme, mert egy évtizedekkel korábban kitalált rendszer utolsó, még élő eleme. Amíg egy szervezet a jelszócserét tekinti megoldásnak a hozzáférés-kontroll helyett, a következő szivárgás csak idő kérdése.

A cikk elolvasása után érdemes átvizsgálni mindenkinek a saját gyakorlatát! Hátha akad a repertoárban az 123456-nál erősebb jelszó is.

A cikk megjelenését a SERCO Informatika Zrt. AI és Innovációs üzletága támogatta.

Fotó: Envato