Hasła, menedżer haseł i passkeys: jak zabezpieczyć konta bez zapamiętywania wszystkiego

Większość ludzi ma dziś kilkadziesiąt kont w internecie i kilka haseł, które krążą między nimi w kółko. To wystarcza do codziennego życia i wystarcza też przestępcy, żeby z jednego wycieku zrobić kaskadę.

Dobra wiadomość jest taka, że przez ostatnie lata zalecenia bardzo się uprościły. Nie trzeba już zmieniać hasła co miesiąc. Nie trzeba wciskać wykrzykników i cyfr. Nie trzeba niczego pamiętać poza jednym hasłem.

Ten tekst pokazuje, co robić po kolei: jak wygląda dobre hasło według amerykańskiego NIST i polskiego CERT Polska, po co menedżer haseł i czym ryzykujesz, gdy go zgubisz, który drugi składnik logowania faktycznie zatrzymuje oszusta, a który tylko wygląda poważnie, oraz co to są passkeys i czy warto już na nie przechodzić.

Jest tu też część dla osób, które to wszystko ustawiają rodzicom albo dziadkom – łącznie z tym, jak zapisać dostęp awaryjny na wypadek choroby lub śmierci.

Dlaczego hasła przeciekają

Hasło rzadko „ktoś zgaduje". Znacznie częściej po prostu gdzieś już leży.

Wycieki z serwisów, w których masz konto

Firma, u której założyłeś konto dziesięć lat temu, została zaatakowana i baza użytkowników trafiła do sieci. Hasła są tam zwykle zaszyfrowane jednokierunkowo (hashowanie – z hasła wylicza się nieodwracalny skrót), ale słabe hasła daje się z tych skrótów odtworzyć.

CERT Polska przeanalizował takie wycieki, w tym z polskich serwisów: „ponad połowa haseł w analizowanych zbiorach była nie dłuższa niż 8 znaków". Na liście pięćdziesięciu najpopularniejszych polskich haseł są między innymi 123456, qwerty, zaq12wsx, polska, misiek i marcin.

Ten sam zespół sprawdził, ile to kosztuje napastnika. Pracownicy CERT Polska wymyślili hasła, które uznaliby za mocne – Galwaniczny123$, zaq1@WSXcde3$RFV, admin.1admin.1admin.1admin.1 – i zabezpieczyli je przestarzałym algorytmem SHA1. „Złamanie powyższych haseł zajęło poniżej 5 minut".

Podstawianie tego samego hasła w wielu serwisach

To najważniejszy mechanizm i ma swoją nazwę: credential stuffing, czyli automatyczne podstawianie wykradzionych par „e-mail plus hasło" do setek innych serwisów. Program próbuje Twoich danych z wycieku ze sklepu z 2016 roku w banku, w poczcie i na Facebooku. Jeśli hasło się powtarza, wchodzi.

Dlatego unikalność hasła jest ważniejsza niż jego wymyślność. Mocne hasło użyte w dziesięciu miejscach jest w praktyce tak słabe jak najsłabszy z tych dziesięciu serwisów.

Złodzieje haseł w plikach do pobrania

Infostealer to rodzaj złośliwego programu, którego jedynym zadaniem jest zebrać z komputera wszystkie zapisane hasła, ciasteczka i dane kart, a potem wysłać je dalej. Trafia na komputer razem z „darmową wersją" płatnego programu, generatorem kluczy, modem do gry albo załącznikiem z faktury.

Ten kanał jest groźny, bo omija całą dyskusję o długości hasła. Hasło nie jest zgadywane, tylko odczytywane z pamięci przeglądarki.

Phishing

Fałszywa strona logowania, łudząco podobna do prawdziwej. Wpisujesz login i hasło, a często również kod z SMS-a albo z aplikacji – i przekazujesz je w czasie rzeczywistym oszustowi, który loguje się w tym samym momencie na prawdziwej stronie.

NIST stwierdza to wprost w wytycznych SP 800-63B-4, sekcja 3.1.1: „Passwords are not phishing-resistant" – hasła nie są odporne na phishing. To samo dotyczy kodów z SMS-a i kodów z aplikacji, o czym za chwilę.

Wykradzione ciasteczka sesji

Ciasteczko sesji to mały plik, który przeglądarka przechowuje po zalogowaniu, żeby nie pytać Cię o hasło przy każdym kliknięciu. Kto ukradnie takie ciasteczko, wchodzi na konto bez hasła i bez drugiego składnika, bo system uznaje, że jest to już zalogowana sesja.

Stąd bierze się rada, która wraca w tym tekście kilka razy: po każdym incydencie trzeba wylogować wszystkie urządzenia, a nie tylko zmienić hasło.

Hasło zapisane w przeglądarce na cudzym komputerze

Komputer w hotelu, u rodziny, w bibliotece, w pracy. Przeglądarka pyta „zapisać hasło?", ktoś klika „tak" w pośpiechu i hasło zostaje.

Hasło podane przez telefon

Klasyczny scenariusz: dzwoni „pracownik banku" albo „konsultant Microsoftu" i prosi o hasło lub o kod, który właśnie przyszedł SMS-em. Żadna prawdziwa instytucja nigdy nie prosi o hasło ani o kod jednorazowy. Nigdy, bez wyjątków.

Jak z Twoich publicznych postów i zdjęć buduje się taki atak, opisujemy w osobnym poradniku: Zdjęcia z wakacji w rękach oszusta.

Co naprawdę robi hasło mocnym

Przez dwadzieścia lat uczono nas, że mocne hasło to takie z dużą literą, cyfrą i znakiem specjalnym. To zalecenie zostało oficjalnie wycofane – i to nie przez blogerów, tylko przez instytucje, które je kiedyś wprowadziły.

Długość jest najważniejsza

NIST SP 800-63B-4, sekcja 3.1.1.2, wymaga: „Verifiers and CSPs SHALL require passwords that are used as a single-factor authentication mechanism to be a minimum of 15 characters in length" – hasło używane jako jedyny składnik logowania musi mieć co najmniej 15 znaków. Jeśli działa razem z drugim składnikiem, minimum spada do ośmiu.

CERT Polska zaleca użytkownikom w Polsce co najmniej 14 znaków i zaznacza, że w czerwcu 2025 roku podniósł ten próg z 12 znaków.

CISA, amerykańska agencja cyberbezpieczeństwa, idzie dalej i w materiale „Use Strong Passwords" pisze: „At least 16 characters – longer is stronger!".

Amerykański Federalny Urząd Handlu (FTC) w poradniku dla konsumentów podaje próg niższy: „aim for at least 12 characters".

Różnice biorą się z tego, do kogo materiał jest kierowany. Praktyczny wniosek jest jeden: 14–16 znaków to sensowne minimum, a dłużej jest lepiej.

Unikalność dla każdego serwisu

Każde konto ma własne hasło. Bez wyjątków dla „mało ważnych" serwisów, bo to właśnie mało ważne serwisy najczęściej przeciekają.

Brak związku z danymi osobowymi

Imię dziecka, rok urodzenia, nazwa ulicy, imię psa, nazwa klubu. Wszystko to znajduje się w publicznych profilach. CERT Polska dodaje jeszcze jedną kategorię: przewidywalne człony w rodzaju nazwy firmy albo usługi. Jak to ujmuje, „hasło zaq1@wsxCERT można uznać za równie słabe jak zaq1@wsx, w przypadku użycia przez pracownika CERT Polska".

Dlaczego „P@ssw0rd!" jest słabe mimo znaków specjalnych

Bo nie jest wymyślne, tylko przewidywalne. NIST tłumaczy to w Załączniku A: „a user who might have chosen »password« as their password would be relatively likely to choose »Password1« if required to include an uppercase letter and a number or »Password1!« if a symbol is also required".

Programy do łamania haseł biorą słownik i doklejają do każdego słowa gotowe reguły: pierwsza litera duża, a na @, o na zero, wykrzyknik na końcu, rok na końcu. Takie zestawy reguł są publicznie dostępne. Zamiana liter nie dodaje siły, bo napastnik zna te same sztuczki co Ty.

Dlaczego metoda „trzy losowe słowa" działa

Bo długość rośnie szybciej niż trudność zapamiętania. CISA proponuje „a memorable phrase of 4 – 7 unrelated words" i podaje przykłady: HorsePurpleHatRun, Horse Purple Hat Run Bay Lifting.

CERT Polska zaleca budowanie hasła z całego zdania, z co najmniej pięciu słów, i podaje przykłady: Wlazl Kostek Na Mostek I Stuka, zielony ParkingDla 3malych Samolotow, DwaBialeLatajace Sophisticated Kroliki. Zwraca przy tym uwagę, że opisana scena powinna zawierać element nierealistyczny, bo ludzie podświadomie wybierają przedmioty, które akurat mają przed oczami. Trzeci przykład pokazuje jeszcze jedną sztuczkę: wtrącenie słowa z innego języka, bo słowniki do łamania haseł są zwykle jednojęzyczne.

Uwaga: przykłady opublikowane w internecie przestają być tajne w chwili publikacji. Wymyśl własne.

Dlaczego wymuszona zmiana co 30 dni pogarsza bezpieczeństwo

NIST SP 800-63B-4, sekcja 3.1.1.2: „Verifiers and CSPs SHALL NOT require subscribers to change passwords periodically. However, verifiers SHALL force a change if there is evidence that the authenticator has been compromised" – nie wolno wymuszać okresowej zmiany haseł, ale trzeba wymusić zmianę, gdy są dowody kompromitacji.

CERT Polska podaje uzasadnienie po polsku: „Zrezygnowano również z wymuszania okresowej zmiany haseł, ponieważ powstające w jej wyniku nowe hasła są najczęściej wariacją poprzednich, zazwyczaj skonstruowane w łatwy do przewidzenia sposób. Badania pokazują, że użytkownicy nie są w stanie zapamiętać całkiem nowego silnego hasła np. co miesiąc".

Innymi słowy: Lato2026! zmienia się w Jesien2026!, a to nie jest nowe hasło, tylko następny wyraz ciągu.

Tylko Polska: obowiązek okresowej zmiany haseł w systemach przetwarzających dane osobowe wynikał z rozporządzenia MSWiA z 2004 roku. CERT Polska przypomina, że przepis ten uchylono 6 lutego 2019 roku. Jeżeli Twój pracodawca albo urząd nadal wymusza zmianę co 30 dni, robi to z przyzwyczajenia, nie z obowiązku prawnego.

Znaki dozwolone i wklejanie

NIST wymaga, żeby serwisy przyjmowały wszystkie drukowalne znaki ASCII wraz ze spacją, a także znaki Unicode, i żeby maksymalna długość wynosiła co najmniej 64 znaki. Zakazuje narzucania reguł złożoności: „Verifiers and CSPs SHALL NOT impose other composition rules (e.g., requiring mixtures of different character types) for passwords".

Osobno – i to jest istotne dla użytkowników menedżerów haseł – NIST nakazuje: „Verifiers SHALL allow the use of password managers and autofill functionality" oraz zaleca dopuszczenie wklejania: „Verifiers SHOULD permit claimants to use the »paste« function when entering a password".

Serwis, który blokuje wklejanie hasła albo ucina je do dwunastu znaków, łamie aktualne wytyczne. To sygnał ostrzegawczy o jakości jego zabezpieczeń.

Menedżer haseł od podstaw

Co to jest

Menedżer haseł to program, który przechowuje wszystkie Twoje hasła w zaszyfrowanym zbiorze, generuje nowe i wpisuje je za Ciebie na stronach. Ty pamiętasz jedno hasło – to do samego menedżera. CERT Polska: „Zadaniem tych programów jest umożliwienie bezpiecznego przechowywania haseł, dzięki czemu nie trzeba ich zapamiętywać". NIST dodaje w sekcji 3.1.1.2: „Password managers have been shown to increase the likelihood that subscribers will choose stronger passwords, particularly if the password managers include password generators".

Jak działa hasło główne

Hasło główne (master password) odszyfrowuje cały zbiór. Musi być długie i niepowtarzalne, bo jest jedynym kluczem. To dokładnie ten przypadek, dla którego CERT Polska poleca metodę pełnego zdania – potrzebujesz hasła bardzo mocnego i jednocześnie pamiętanego z głowy, bo w chwili jego wpisywania nie masz jeszcze dostępu do menedżera.

Hasła głównego nie zapiszesz w tym samym menedżerze. Nie zapisuj go też w notatkach w telefonie – zapisz na kartce i schowaj tam, gdzie trzymasz dokumenty.

Co się dzieje przy utracie hasła głównego

To najważniejsze pytanie przed wyborem menedżera. Część rozwiązań jest zaprojektowana tak, że dostawca nie zna Twojego hasła głównego i nie potrafi go zresetować – utrata hasła oznacza wtedy utratę całego zbioru. Część oferuje mechanizmy awaryjne: klucz odzyskiwania do wydrukowania, kontakt zaufany, odzyskiwanie przez konto systemowe.

Zanim wpiszesz pierwsze hasło, sprawdź w dokumentacji procedurę odzyskiwania i wykonaj ją do końca – wygeneruj klucz, wydrukuj, schowaj. CERT Polska ostrzega o tym samym: „Istnieje jednak pewne ryzyko utraty dostępu do danych przechowywanych w menedżerze haseł… Jeżeli nie zadbaliśmy o przygotowanie kopii zapasowej, odzyskanie dostępu do wielu kont może wymagać przejścia procedur odzyskiwania konta u dostawców usług".

Wbudowany w przeglądarkę i system czy osobna aplikacja

Nie ma jednej dobrej odpowiedzi i nie polecamy tu konkretnego produktu. Są dwa typy rozwiązań i różnią się głównie zasięgiem.

Wbudowany w przeglądarkę lub system – menedżer haseł Google w Chrome i na Androidzie, pęk kluczy iCloud i aplikacja Hasła u Apple, menedżery w Firefoksie czy Edge. Już zainstalowany, darmowy, działa bez konfiguracji, synchronizuje się razem z kontem. CERT Polska ocenia je pozytywnie: „Te w przeglądarkach albo telefonach dobrze spełniają swoją funkcję". Ograniczenie: najlepiej działają wewnątrz jednego ekosystemu. Przy iPhonie i komputerze z Windowsem robi się niewygodnie.

Osobna aplikacja – działa niezależnie od przeglądarki i systemu, zwykle na wszystkich platformach naraz, z rozbudowanymi funkcjami: bezpieczne notatki, udostępnianie wpisów rodzinie, dostęp awaryjny, audyt powtórzonych haseł. Kosztuje pracę wdrożenia i często pieniądze.

Kryteria wyboru, na które warto patrzeć zamiast rankingów:

• Czy działa na wszystkich urządzeniach, których naprawdę używasz, łącznie z tymi, których używa Twoja rodzina.
• Jaka jest procedura odzyskiwania po utracie hasła głównego i czy potrafisz ją wykonać samodzielnie.
• Czy pozwala włączyć drugi składnik na sam menedżer.
• Czy pozwala wyeksportować całą bazę do pliku, żeby móc się przenieść gdzie indziej.
• Czy ma dostęp awaryjny dla osoby bliskiej.
• Czy producent publicznie opisuje, jak szyfruje dane, i czy zamawia niezależne audyty.
• Czy interfejs jest zrozumiały dla osoby, która ma go używać – to kryterium jest ważniejsze, niż się wydaje, bo menedżer, z którego ktoś nie korzysta, nie chroni niczego.

Synchronizacja i dostęp na telefonie

Praktycznie wszystkie rozwiązania synchronizują zbiór między urządzeniami przez chmurę, szyfrując go przed wysłaniem – dostawca chmury widzi tylko nieczytelne dane. Dzięki temu utrata jednego urządzenia nie oznacza utraty haseł. CERT Polska: „To ryzyko jest mniejsze w przypadku rozwiązań chmurowych, gdyż dane nie są bezpośrednio przechowywane na naszym urządzeniu".

Na telefonie menedżer wpina się w systemowe autouzupełnianie i podpowiada hasło również w aplikacjach. Trzeba go raz wskazać w ustawieniach systemu jako domyślną usługę haseł.

Eksport i przenoszenie

Sprawdź to, zanim będzie potrzebne: wyeksportuj bazę do pliku i zobacz, czy plik faktycznie powstaje. Ostrzeżenie – eksport to zwykle zwykły plik tekstowy z hasłami czytelnymi gołym okiem. Nie zostawiaj go na pulpicie, nie wysyłaj mailem, nie wrzucaj do chmury. Po przenosinach skasuj plik i opróżnij kosz.

Ryzyka i jak je ograniczyć

Menedżer haseł jest pojedynczym punktem, w którym skupia się wszystko. To realne ryzyko.

• Włam na komputer. Infostealer potrafi wykraść dane odblokowanego menedżera. Ograniczenie: aktualny system, aktualna przeglądarka, żadnych „cracków", krótki czas automatycznego blokowania menedżera.
• Utrata hasła głównego. Ograniczenie: klucz odzyskiwania na papierze, przygotowany od razu.
• Włam na konto dostawcy. Ograniczenie: drugi składnik na koncie menedżera, najlepiej klucz sprzętowy albo passkey.
• Wyciek u dostawcy. Nawet gdy zbiór jest zaszyfrowany, mocne hasło główne decyduje o tym, czy da się go rozpakować. To kolejny powód, żeby miało 20 znaków, a nie 10.

Dlaczego kartka w szufladzie w domu jest lepsza niż to samo hasło wszędzie

To nie jest żart. NIST w Załączniku A zauważa, że bardzo złożone hasła „are less likely to be memorable and more likely to be written down or stored electronically in an unsafe manner" – i traktuje to jako argument przeciwko wymuszaniu złożoności, a nie przeciwko zapisywaniu.

Przeciętną osobę atakuje automat z drugiego kontynentu, a nie sąsiad przeszukujący szufladę. Zeszyt z hasłami trzymany w domu razem z dokumentami jest znacznie bezpieczniejszy niż jedno hasło Kasia1980 w banku, na poczcie i na Facebooku.

Zasady dla zeszytu: trzymaj go przy dokumentach, nie noś ze sobą, opisuj skrótowo, nie wprost, i poprawiaj przy każdej zmianie hasła. Jeśli to ostatnie przestaje działać, czas na menedżer.

Drugi składnik logowania: cztery metody i ich odporność

Drugi składnik (nazywany też 2FA, MFA, weryfikacją dwuetapową albo uwierzytelnianiem dwuskładnikowym – to synonimy) to dodatkowy dowód tożsamości poza hasłem.

CERT Polska tłumaczy podział: „Coś, co znasz – np. hasło lub kod PIN. Coś, co posiadasz – np. token sprzętowy, telefon, karta Smart Card. Coś, czym jesteś – np. odcisk palca lub skan tęczówki oka".

CISA jest w tej sprawie bardzo bezpośrednia: „Not all MFA methods gives you the same level of protection. Some MFA types are better than others – phishing-resistant MFA is the standard all industry leaders should strive for, but any MFA is better than no MFA".

Kod SMS

Najbardziej rozpowszechniony i najsłabszy. CISA w materiale „Implementing Phishing-Resistant MFA" klasyfikuje SMS jako „Vulnerable to phishing, SS7, and SIM swap attacks" i dodaje, że „This form of MFA should only be used as a last resort MFA option". Trzy odrębne słabości:

• Phishing. Wpisujesz kod na fałszywej stronie, oszust przekazuje go dalej w tej samej minucie.
• SIM swap. Przestępca przekonuje operatora, żeby przeniósł Twój numer na swoją kartę SIM – CISA opisuje to jako „a form of social engineering in which cyber threat actors convince cellular carriers to transfer control of the user's phone number to a threat actor-controlled SIM card".
• Przechwycenie w sieci telekomunikacyjnej. Luki w protokole SS7, którym operatorzy wymieniają się między sobą.

FTC formułuje to prościej: kod z SMS-a lub e-maila „is the least secure type of two-factor authentication".

Ważne zastrzeżenie: SMS jest znacznie lepszy niż brak drugiego składnika. Jeśli to jedyna opcja, włącz ją.

Aplikacja uwierzytelniająca

Aplikacja w telefonie generuje sześciocyfrowy kod, który zmienia się co 30 sekund. Nie potrzebuje zasięgu ani internetu, więc odpada SIM swap i podsłuch sieci. Zostaje phishing – kod da się wyłudzić tak samo jak z SMS-a. NIST: „OTP authentication is not phishing-resistant". CISA umieszcza tę metodę w środkowej kategorii tabeli i nazywa ją, razem z push z dopasowaniem liczb, najlepszą opcją dla tych, którzy nie mogą od razu wdrożyć metod odpornych na phishing.

Do popularnych aplikacji CERT Polska zalicza Google Authenticator, Microsoft Authenticator, Aegis, Bitwarden Authenticator i 2FAS – i przy każdej opisuje sposób robienia kopii zapasowej. To nie przypadek, o czym za chwilę.

Powiadomienie push

Na telefon przychodzi pytanie „czy to Ty się logujesz?" i klikasz „tak". Wygodne, ale bez dodatkowego zabezpieczenia podatne na atak zmęczeniowy: napastnik generuje dziesiątki powiadomień w środku nocy, aż ktoś kliknie „zatwierdź", żeby telefon przestał wibrować.

NIST uznał to za tyle poważne, że wykluczył samo zatwierdzanie: „This method is no longer considered acceptable… This has been observed with »authentication fatigue« attacks".

Wersja z dopasowaniem liczb (na ekranie logowania pokazuje się liczba, którą przepisujesz w telefonie) jest wyraźnie lepsza – CISA klasyfikuje ją razem z kodami z aplikacji.

Klucz sprzętowy i passkey

Mały klucz na USB albo zbliżeniowy, albo passkey zapisany w telefonie czy komputerze. Działa na standardzie FIDO/WebAuthn.

To jedyna kategoria odporna na phishing, bo klucz sprawdza adres strony, zanim cokolwiek podpisze. Na bank-logowanie.xyz po prostu nie zadziała – nie dlatego, że jesteś czujny, tylko dlatego, że kryptografia nie pasuje.

Jeśli decydujesz się na klucze fizyczne, kupuj dwa. Apple wymaga tego wprost: do ochrony konta Apple kluczami bezpieczeństwa potrzebne są „co najmniej dwa klucze z certyfikatem FIDO Certified". Jeden nosisz przy sobie, drugi zostaje w domu jako zapas.

CISA: „The only widely available phishing-resistant authentication is FIDO/WebAuthn authentication". W blogu ówczesnej dyrektorki CISA z 18 października 2022 roku: „FIDO is the gold standard. Go for the gold". I najważniejsze zdanie z tego tekstu: „The reason FIDO is so valuable is because even when this happens, the attack will still fail" – nawet gdy dasz się nabrać, atak i tak się nie powiedzie.

Tabela: metody drugiego składnika

Metoda	Odporność na phishing	Co się dzieje przy utracie telefonu	Dla kogo
Kod SMS	Brak. Podatny też na SIM swap i przechwycenie w sieci operatora. CISA: „last resort"	Numer można przenieść na nową kartę SIM u operatora. Zwykle najłatwiejsza do odzyskania metoda, i to jest jednocześnie jej słabość	Osoby, dla których to jedyna dostępna opcja, oraz konta o niskiej wartości. Zawsze lepsze niż nic
Aplikacja uwierzytelniająca (kody co 30 sekund)	Brak, ale odporna na SIM swap i podsłuch sieci	Bez kopii zapasowej lub kodów zapasowych tracisz dostęp do wszystkich kont naraz. Z włączoną kopią – odtwarzasz na nowym telefonie	Domyślny wybór dla większości ludzi. Wymaga jednorazowego ustawienia kopii zapasowej
Powiadomienie push	Brak. Wersja bez dopasowania liczb dodatkowo podatna na atak zmęczeniowy	Zależy od usługi. Zwykle trzeba przejść procedurę odzyskiwania konta	Osoby, którym przeszkadza przepisywanie kodów. Wybieraj wersję z dopasowaniem liczb
Klucz sprzętowy lub passkey (FIDO/WebAuthn)	Tak. Jedyna szeroko dostępna metoda odporna na phishing	Passkey zsynchronizowany odtwarza się na nowym telefonie z konta. Klucz fizyczny działa dalej, bo nie jest w telefonie. Dlatego kupuje się dwa klucze	Poczta, bank, konta z pieniędzmi, osoby szczególnie narażone: dziennikarze, działacze, przedsiębiorcy

Kody zapasowe i gdzie je trzymać

Kody zapasowe (kody odzyskiwania) to jednorazowe ciągi znaków, które serwis daje przy włączaniu drugiego składnika. Każdy działa raz i zastępuje drugi składnik. To jedyna rzecz, która dzieli „zgubiłem telefon" od „straciłem konto".

NIST, sekcja 4.2.1.1: „Saved recovery codes are intended to be maintained offline (e.g., printed or written down) and stored securely by the subscriber for future use". CERT Polska: „Warto ją wydrukować lub zapisać na zewnętrznym nośniku i schować w bezpiecznym miejscu".

Gdzie je trzymać:

• Wydrukowane albo przepisane, razem z dokumentami w domu.
• Drugi komplet u zaufanej osoby albo w innym miejscu – na wypadek pożaru czy zalania.
• W menedżerze haseł, ale tylko wtedy, gdy menedżer nie jest zabezpieczony tym samym drugim składnikiem, którego dotyczą te kody. Inaczej zamykasz klucz w skrzynce, którą ten klucz otwiera.

Gdzie ich nie trzymać: w mailu do siebie, w notatkach synchronizowanych bez hasła, na zdjęciu w galerii telefonu.

Co zrobić przy zmianie telefonu

To najczęstszy moment, w którym ludzie sami sobie blokują konta. Kolejność ma znaczenie.

1. Zanim rozstaniesz się ze starym telefonem, włącz w aplikacji uwierzytelniającej kopię zapasową albo wyeksportuj kody.
2. Przenieś aplikację uwierzytelniającą na nowy telefon i sprawdź, czy kody działają, logując się do jednego konta.
3. Dopiero potem wyczyść stary telefon.
4. Jeśli używasz klucza sprzętowego, nic nie musisz robić – klucz nie jest w telefonie.

Metody kopii zapasowej różnią się między aplikacjami. CERT Polska opisuje je dla kilku popularnych: w Google Authenticator kody synchronizują się z kontem Google, w Microsoft Authenticator kopię włącza się w ustawieniach aplikacji i zapisuje na koncie Microsoft, w 2FAS można synchronizować z Dyskiem Google lub eksportować ręcznie, w Aegis wybiera się zapis na karcie SD lub w chmurze.

Jak nie zablokować sobie dostępu

Reguła, która ratuje najczęściej: zawsze miej dwa niezależne sposoby wejścia na konto.

Praktycznie oznacza to: aplikacja uwierzytelniająca plus wydrukowane kody zapasowe. Albo dwa klucze sprzętowe, jeden w portfelu, drugi w szufladzie. Albo passkey na telefonie plus passkey na komputerze.

Nigdy nie zostawiaj konta w stanie „jedyny sposób wejścia jest w tym jednym telefonie".

Passkeys wyjaśnione po ludzku

Passkey to zapisany w telefonie lub komputerze klucz, którym logujesz się tak, jak odblokowujesz urządzenie – odciskiem palca, twarzą albo PIN-em – zamiast wpisywać hasło.

Tak definiuje go FIDO Alliance, organizacja, która stworzyła ten standard: „A passkey is a FIDO authentication credential based on FIDO standards, that allows a user to sign in to apps and websites with the same process that they use to unlock their device (biometrics, PIN, or pattern)".

W polskich wersjach systemów pojawia się jako „klucz dostępu" (Apple, Google). To ta sama rzecz.

Czym różni się od hasła

Hasło to jeden sekret, który znasz Ty i zna go serwis. Musi zostać przesłany, żeby zadziałał. Da się go podejrzeć, wyłudzić i wykraść z bazy.

Passkey to para powiązanych kluczy. Prywatny nigdy nie opuszcza Twojego urządzenia. Publiczny leży u dostawcy usługi i sam w sobie jest bezużyteczny. Przy logowaniu urządzenie podpisuje jednorazowe wyzwanie od serwisu. Microsoft: „The private keys can only be used after they're unlocked by the user using the Windows Hello unlock factor (biometrics or PIN)".

Trzy konsekwencje:

1. Nie ma czego wykraść z serwera. Wyciek bazy nie ujawnia niczego, czym da się zalogować.
2. Nie da się go wyłudzić. Passkey jest przypisany do konkretnego adresu strony. Na podróbce nie zadziała.
3. Nie da się go powtórzyć w innym serwisie, bo dla każdego serwisu jest osobny.

Czy odcisk palca trafia do serwisu

Nie. Biometria służy tylko do odblokowania klucza na Twoim urządzeniu. Microsoft: „any biometric information used in the authentication process remains on the user's device and isn't transmitted across the network or to the service".

Gdzie passkeys są przechowywane

W jednym z trzech miejsc:

• W chmurze producenta systemu, synchronizowane między Twoimi urządzeniami – pęk kluczy iCloud u Apple, menedżer haseł Google na Androidzie i w Chrome, konto Microsoft w Windowsie.
• W menedżerze haseł, jeśli obsługuje passkeys.
• W kluczu sprzętowym, bez żadnej synchronizacji.

NIST nazywa pierwsze dwa przypadki „syncable authenticators" i w Załączniku B stawia im wymagania: klucze wysyłane do chmury muszą być zaszyfrowane, a dostęp do tej chmury musi być chroniony dwuskładnikowym logowaniem – „User access to authentication keys in the sync fabric SHALL be protected by AAL2-equivalent MFA".

Praktyczny wniosek dla Ciebie: konto, na którym synchronizują się Twoje passkeys – konto Apple, Google albo Microsoft – jest teraz najważniejszym kontem, jakie masz. Zabezpiecz je najmocniej.

NIST odnotowuje też ograniczenie synchronizacji: „syncing violates the non-exportability requirements of AAL3". Dla instytucji o najwyższych wymaganiach synchronizowane passkeys nie wystarczają – trzeba kluczy sprzętowych. Dla zwykłego użytkownika synchronizacja jest zaletą, nie wadą.

Co się dzieje przy zgubieniu telefonu

Jeśli passkeys są synchronizowane: logujesz się na nowym urządzeniu na swoje konto Apple, Google albo Microsoft i passkeys wracają. Nie tracisz nic – pod warunkiem, że nie straciłeś dostępu do tego konta.

Jeśli passkey był tylko w tym jednym urządzeniu bez synchronizacji: przepadł. Zostają Ci inne metody logowania w danym serwisie, w tym stare hasło i kody zapasowe.

Dlatego zasada z poprzedniej sekcji obowiązuje również tutaj: dwa niezależne sposoby wejścia.

Jak to działa na komputerze i na cudzym urządzeniu

Na własnym komputerze passkey zwykle jest już zsynchronizowany i logowanie wygląda jak odblokowanie systemu.

Na cudzym komputerze – w hotelu, u znajomego, w pracy – strona pokazuje kod QR. Skanujesz go telefonem, telefon prosi o odcisk palca i potwierdza logowanie. Passkey nie jest kopiowany na obcy komputer; telefon i komputer porozumiewają się dodatkowo przez Bluetooth, co ma potwierdzić, że są fizycznie blisko siebie. Po zamknięciu przeglądarki na obcym komputerze nie zostaje nic.

To duża zaleta w podróży: nie wpisujesz swojego hasła na sprzęcie, którego nie znasz.

Czy trzeba usuwać stare hasło

Zwykle nie da się i nie warto. Większość serwisów pozwala mieć passkey obok hasła: passkey staje się wygodniejszą drogą, hasło zostaje jako zapasowa. Dopóki masz passkey tylko na jednym urządzeniu, usunięcie hasła zwiększa ryzyko zablokowania sobie dostępu.

Sensowna kolejność: dodaj passkeys na dwóch urządzeniach, używaj ich kilka tygodni, sprawdź, że odzyskiwanie działa – dopiero potem rozważ usunięcie hasła, jeżeli serwis to oferuje.

Uwaga: dodanie passkeya nie wyłącza starego hasła. Jeśli było słabe albo powtórzone, nadal jest drogą wejścia. Zmień je na mocne, nawet jeśli już z niego nie korzystasz.

Gdzie passkeys już działają

Systemy: iOS, iPadOS i macOS (Apple mówi „klucze"), Android i Chrome, Windows przez Windows Hello. Wspierają je główne przeglądarki.

Usługi: konta Google, Apple i Microsoft, część dużych serwisów społecznościowych, sklepów i banków. Lista zmienia się na tyle szybko, że nie ma sensu jej przepisywać – sprawdzaj w ustawieniach bezpieczeństwa danego serwisu, czy jest tam pozycja o kluczach dostępu.

Tylko Polska: logowanie do banków w Polsce podlega przepisom o silnym uwierzytelnianiu (PSD2) i banki realizują je własnymi mechanizmami – aplikacją mobilną, kodami, tokenami. CERT Polska: „Od wejścia w życie w 2019 roku wymagań dyrektywy PSD2, część usługodawców (a przede wszystkim sektor bankowy) jest zobowiązana do wymagania dwuskładnikowego uwierzytelnienia przy logowaniu na nieznanym urządzeniu". Nie musisz w banku nic włączać – to już działa. Sprawdź natomiast, czy Twoja aplikacja bankowa jest aktualna i czy autoryzujesz operacje w aplikacji, a nie SMS-em, jeśli bank daje wybór.

Jak włączyć drugi składnik w najważniejszych usługach

Zanim zaczniesz cokolwiek zmieniać: pobierz i wydrukuj kody zapasowe dla każdej usługi, w której je włączasz. Bez tego jedna zgubiona komórka odcina Cię od wszystkiego.

Ekrany i nazwy przycisków zmieniają się kilka razy w roku, dlatego opisujemy kroki funkcjonalnie i przy każdej usłudze podajemy oficjalną stronę pomocy, na której producent trzyma aktualną wersję instrukcji.

Konto Google i Gmail

Wejdź w ustawienia bezpieczeństwa swojego konta Google i włącz weryfikację dwuetapową. Następnie dodaj metodę – aplikację uwierzytelniającą, klucz bezpieczeństwa albo klucz dostępu – i na końcu pobierz kody zapasowe.

• Włączanie weryfikacji dwuetapowej: https://support.google.com/accounts/answer/185839?hl=pl
• Klucz dostępu (passkey) zamiast hasła: https://support.google.com/accounts/answer/13548313?hl=pl
• Klucz bezpieczeństwa: https://support.google.com/accounts/answer/6103523?hl=pl
• Kody zapasowe: https://support.google.com/accounts/answer/1187538?hl=pl
• Przegląd wszystkich ustawień bezpieczeństwa: https://myaccount.google.com/security-checkup
• Menedżer haseł Google: https://passwords.google.com/

Dla osób szczególnie narażonych Google prowadzi Advanced Protection Program (po polsku „Ochrona zaawansowana") – tryb, w którym do logowania wymagany jest klucz dostępu lub klucz bezpieczeństwa: https://landing.google.com/advancedprotection/ , a częste pytania po polsku: https://support.google.com/accounts/answer/7539956?hl=pl

Drobiazg, który zaskakuje: Google ostrzega, że „może minąć 7 dni, zanim nowo dodany klucz bezpieczeństwa będzie dostępny podczas logowania". Nie planuj więc dodawania klucza na dzień przed wyjazdem.

Konto Apple

Uwaga na słownictwo: polska wersja stron Apple mówi „uwierzytelnianie dwupoziomowe" (a nie dwuskładnikowe), passkey nazywa po prostu „kluczem", a Legacy Contact – „opiekunem konta".

Uwierzytelnianie dwupoziomowe jest dziś domyślne na nowych kontach Apple. Sprawdź, czy masz je włączone, i przy okazji przejrzyj listę zaufanych numerów telefonu – to tam trafiają sześciocyfrowe kody. Apple zaznacza, że wyłączyć tę ochronę można tylko w ciągu dwóch tygodni od jej włączenia.

• Uwierzytelnianie dwupoziomowe dla konta Apple: https://support.apple.com/pl-pl/102660
• Zaufane numery telefonów i zaufane urządzenia: https://support.apple.com/pl-pl/122621
• Klucze dostępu na iPhonie: https://support.apple.com/pl-pl/guide/iphone/iphf538ea8d0/ios
• Logowanie kluczem na Macu: https://support.apple.com/pl-pl/guide/passwords/mchl4af65d1a/mac
• Bezpieczeństwo kluczy dostępu: https://support.apple.com/pl-pl/102195
• Klucze bezpieczeństwa dla konta Apple (wymagane co najmniej dwa): https://support.apple.com/pl-pl/102637
• Konfigurowanie pęku kluczy iCloud: https://support.apple.com/pl-pl/109016
• Aplikacja Hasła na urządzeniach Apple: https://support.apple.com/pl-pl/120758
• Kontakt odzyskiwania (osoba, która pomoże Ci wrócić na konto): https://support.apple.com/pl-pl/102641
• Klucz odzyskiwania: https://support.apple.com/pl-pl/109345

O kluczu odzyskiwania warto wiedzieć dwie rzeczy, zanim go włączysz. To 28-znakowy kod, a jego włączenie wyłącza standardową procedurę odzyskiwania konta – Apple ostrzega: „Jeśli nie możesz podać klucza odzyskiwania, konto pozostanie trwale zablokowane". Apple odradza też przechowywanie go w aplikacji Hasła, w Zdjęciach iCloud, w Notatkach i na iCloud Drive. Wydrukuj go i schowaj.

Konto Microsoft

W ustawieniach bezpieczeństwa konta Microsoft (https://account.microsoft.com/security) znajdź sekcję zarządzania sposobami logowania, włącz weryfikację dwuetapową i dodaj aplikację Microsoft Authenticator albo klucz dostępu.

• Weryfikacja dwuetapowa konta Microsoft: https://support.microsoft.com/pl-pl/account-billing/jak-u%C5%BCywa%C4%87-weryfikacji-dwuetapowej-z-kontem-microsoft-c7910146-672f-01e9-50a0-93b4585e7eb4
• Tworzenie i zapisywanie klucza dostępu: https://support.microsoft.com/en-us/account-billing/create-and-save-a-passkey-e92cd3e0-11fa-4630-a5ea-3ccc0396b3d9
• Pobranie i instalacja Microsoft Authenticator: https://support.microsoft.com/en-us/account-billing/download-and-install-the-microsoft-authenticator-app-351498fc-850a-45da-b7b6-27e523b8702a
• Klucze dostępu w Windowsie: https://support.microsoft.com/en-us/windows/passkeys-in-windows-301c8944-5ea2-452b-9886-97e4d2ef4422

Dwie rzeczy z materiałów Microsoftu warto znać. Firma zapowiada wycofywanie SMS-a jako metody uwierzytelniania i odzyskiwania prywatnych kont Microsoft. A we wpisie z 1 maja 2025 roku ogłosiła: „Brand new Microsoft accounts will now be »passwordless by default«" – nowe konta domyślnie nie mają hasła, a istniejący użytkownicy mogą je usunąć sami. Hasła w istniejących kontach nie znikają same. Polskie adresy części artykułów o kluczach dostępu serwują treść angielską.

Facebook

Ustawienia Facebooka są dziś częścią Centrum kont Meta, wspólnego dla Facebooka i Instagrama. Wejdź w ustawienia konta, następnie w Centrum kont, potem w sekcję hasła i zabezpieczeń, wybierz uwierzytelnianie dwuskładnikowe i wskaż konto, którego dotyczy.

Do wyboru są trzy metody: klucz bezpieczeństwa, zewnętrzna aplikacja uwierzytelniająca oraz SMS. Facebook pozwala też wygenerować dziesięć zapasowych kodów logowania – zrób to od razu.

• Jak działa uwierzytelnianie dwuskładnikowe na Facebooku: https://www.facebook.com/help/148233965247823

Instagram

Instagram korzysta z tego samego Centrum kont Meta co Facebook, więc ścieżka jest identyczna: ustawienia, Centrum kont, hasło i zabezpieczenia, uwierzytelnianie dwuskładnikowe, wybór konta na Instagramie. Jeśli oba konta są połączone w Centrum kont, włączysz zabezpieczenie dla obu z jednego miejsca.

• Uwierzytelnianie dwuskładnikowe na Instagramie: https://help.instagram.com/566810106808145

Zastrzeżenie: treść tej strony ładuje się dopiero w przeglądarce, więc nie dało się jej odczytać ani potwierdzić w sposób automatyczny – potwierdzony jest tylko jej temat. Jeśli adres nie zadziała, korzystaj z opisu Facebooka wyżej; dotyczy on obu serwisów.

WhatsApp

WhatsApp nazywa to weryfikacją dwuetapową i działa to inaczej niż w pozostałych usługach. Ustawiasz sześciocyfrowy PIN, o który aplikacja pyta przy rejestracji Twojego numeru na nowym urządzeniu. To zabezpieczenie akurat przed przejęciem numeru.

Podaj przy tym adres e-mail. Bez niego, gdy zapomnisz PIN-u, nie odzyskasz konta.

• Zarządzanie weryfikacją dwuetapową w WhatsAppie: https://faq.whatsapp.com/1920866721452534

Bank

Tylko Polska: banki działające w Polsce mają obowiązek stosować silne uwierzytelnianie i realizują je same. Zamiast włączać drugi składnik, zrób trzy inne rzeczy. Po pierwsze, sprawdź w ustawieniach bankowości, czy autoryzujesz operacje w aplikacji mobilnej (mobilna autoryzacja), a nie SMS-em – jeśli bank daje wybór, aplikacja jest bezpieczniejsza. Po drugie, ustaw powiadomienia o każdym logowaniu i o każdej transakcji. Po trzecie, ustaw sensowne limity przelewów, żeby jeden nieudany dzień nie kosztował wszystkiego.

Tylko USA: w amerykańskich bankach drugi składnik zwykle trzeba włączyć samodzielnie – w ustawieniach bezpieczeństwa konta w aplikacji lub na stronie banku. Szukaj pozycji nazwanej „two-factor authentication", „two-step verification" albo „security key". Jeśli bank oferuje aplikację uwierzytelniającą lub klucz bezpieczeństwa, wybierz je zamiast SMS-a. Ustaw też alerty transakcyjne. Ogólne informacje dla konsumentów prowadzi Consumer Financial Protection Bureau: https://www.consumerfinance.gov/consumer-tools/fraud/

W obu krajach obowiązuje ta sama zasada: bank nigdy nie dzwoni po hasło ani po kod. O tym, jak wyglądają takie telefony w Polsce, piszemy w poradniku Oszustwa bankowe i internetowe w Polsce.

Przegląd kont krok po kroku

Od czego zacząć: skrzynka e-mail

Poczta jest kluczem do wszystkiego innego, bo do niej trafiają linki do resetu haseł. FTC ujmuje to jednym zdaniem: „If a hacker takes over your email account, they can get password reset links for your other accounts. Then they can change the passwords and take over those accounts, too".

Zacznij od poczty, nawet jeśli wydaje Ci się, że bank jest ważniejszy. Bank jest ważniejszy dopiero po poczcie.

Kolejność zabezpieczania kont

1. Główna skrzynka e-mail – nowe długie hasło, drugi składnik, kody zapasowe, przegląd adresów odzyskiwania i reguł przekazywania poczty.
2. Konto ekosystemu – Apple, Google lub Microsoft, zwłaszcza jeśli synchronizują się na nim Twoje hasła i passkeys.
3. Bank i aplikacje płatnicze.
4. Serwisy z zapisaną kartą płatniczą – sklepy, przewoźnicy, dostawcy jedzenia.
5. Media społecznościowe i komunikatory – tam, gdzie ktoś może podszyć się pod Ciebie wobec Twojej rodziny.
6. Reszta.

Jak przeprowadzić przegląd kont

Nie rób wszystkiego naraz. Pierwsze dwa punkty dzisiaj, resztę rozłóż na kilka wieczorów.

• Wypisz konta, o których pamiętasz.
• Przeszukaj skrzynkę pocztową pod kątem słów „witamy", „potwierdź rejestrację", „welcome", „verify your email". To wyciągnie konta, o których zapomniałeś.
• Sprawdź, co zapisała Twoja przeglądarka i telefon w menedżerze haseł – zwykle jest tego więcej, niż się spodziewasz.
• Konta, których nie używasz, usuń zamiast poprawiać. Konto, które nie istnieje, nie wycieknie.
• W kontach, które zostają, sprawdź listę zalogowanych urządzeń i wyloguj te, których nie rozpoznajesz.

Jak sprawdzić, czy Twój adres wyciekł

Służy do tego serwis haveibeenpwned.com, prowadzony przez badacza bezpieczeństwa Troya Hunta. Wpisujesz adres e-mail i widzisz listę znanych wycieków, w których się pojawił. Jest też osobna funkcja Pwned Passwords do sprawdzenia samego hasła oraz „Notify me", czyli powiadomienia o przyszłych wyciekach.

Trzy rzeczy, które trzeba wiedzieć uczciwie:

• Serwis nie pokazuje Twoich haseł. Autor tłumaczy: „no corresponding passwords are loaded with them", a przy sprawdzaniu haseł „every password is SHA-1 hashed". Jeśli jakaś strona obiecuje pokazać Ci Twoje wyciekłe hasło, to oszustwo.
• Brak wyniku niczego nie dowodzi. Baza zawiera tylko wycieki publicznie znane i do niej dodane. Wycieki nieujawnione, sprzedawane prywatnie albo świeże w niej nie występują.
• Część wycieków jest oznaczona jako wrażliwe i nie da się ich wyszukać publicznie – wyniki widać dopiero po potwierdzeniu, że jesteś właścicielem adresu.

Wiele przeglądarek i menedżerów haseł ma tę funkcję wbudowaną i ostrzega automatycznie. To wygodniejsze, bo działa w tle.

Co zrobić po wycieku

FTC: „If a company or website tells you it lost your password in a data breach, change your password right away".

Kolejność:

1. Zmień hasło w serwisie, który wyciekł.
2. Zmień je wszędzie, gdzie było takie samo lub podobne. To jest właściwa praca po wycieku, nie punkt pierwszy.
3. Wyloguj wszystkie urządzenia w tych serwisach.
4. Włącz drugi składnik tam, gdzie go jeszcze nie było.
5. Sprawdź, czy w skrzynce pocztowej nie pojawiła się reguła przekazywania poczty na obcy adres i czy nie zmienił się numer telefonu do odzyskiwania.

Jeżeli podejrzewasz, że ktoś już wszedł na Twoje konto, nie czytaj dalej tego tekstu, tylko przejdź do poradnika ratunkowego: Ktoś przejął mój e-mail, Facebook lub Instagram. Co zrobić w pierwszej godzinie. Tam jest procedura odzyskiwania krok po kroku. Ten poradnik jest o tym, żeby tamten nie był potrzebny.

Jak zmienić hasło bezpiecznie

• Wchodź na stronę logowania z zakładki albo wpisując adres ręcznie, nigdy z linka w mailu czy SMS-ie.
• Zmieniaj hasło na swoim urządzeniu, nie na cudzym i nie w publicznym Wi-Fi bez potrzeby.
• Nowe hasło od razu zapisz w menedżerze.
• Po zmianie znajdź w ustawieniach opcję wylogowania wszystkich sesji.
• Sprawdź, czy zmiana zadziałała, logując się jeszcze raz.

Pytania pomocnicze

Pytania pomocnicze („panieńskie nazwisko matki", „nazwa pierwszego zwierzęcia") to relikt, ale wciąż spotykany. NIST zakazuje ich stosowania po stronie serwisów, sekcja 3.1.1.2: „Verifiers and CSPs SHALL NOT prompt subscribers to use knowledge-based authentication (KBA) (e.g., »What was the name of your first pet?«) or security questions when choosing passwords".

Problem polega na tym, że prawdziwe odpowiedzi da się znaleźć. Miasto urodzenia, nazwisko panieńskie matki, imię psa – to wszystko jest w postach urodzinowych, na zdjęciach z opisami i w publicznych rejestrach. FTC ostrzega przed pytaniami „with answers that someone could find online or in public records – like your zip code, birthplace, or mother's maiden name".

Rozwiązanie: nie odpowiadaj prawdziwie. Traktuj pytanie pomocnicze jak kolejne hasło – wpisz losowy ciąg z menedżera haseł i zapisz go w notatce przy tym koncie. FTC radzi to samo: „treat them like a password and use random and long answers. Just be sure you can remember your answers".

To szczególnie ważne przy publicznym profilu w mediach społecznościowych. Szerzej o zbieraniu takich danych piszemy w poradniku Zdjęcia z wakacji w rękach oszusta.

Co zrobić natychmiast

Jeśli masz dziś dwadzieścia minut i nic więcej, zrób to:

1. Zmień hasło do głównej skrzynki e-mail na nowe, długie (14–16 znaków lub więcej) i nigdzie indziej nieużywane.
2. Włącz drugi składnik na tej skrzynce. Aplikacja uwierzytelniająca zamiast SMS-a, jeśli masz wybór.
3. Pobierz i wydrukuj kody zapasowe do tej skrzynki. Schowaj je razem z dokumentami.
4. Sprawdź w ustawieniach poczty, czy nie ma tam obcego adresu przekazywania i czy numer telefonu do odzyskiwania jest Twój.
5. Wyloguj wszystkie urządzenia w ustawieniach poczty.
6. Sprawdź swój adres na haveibeenpwned.com i wypisz serwisy, w których hasło było takie samo jak wyciekłe.

Jeśli masz kolejne dwadzieścia minut, powtórz punkty 1–5 dla konta bankowego i dla konta Apple, Google lub Microsoft.

Plan awaryjny na utratę telefonu

Ten plan trzeba przygotować zanim telefon zginie. Później jest za późno.

Przygotowanie z wyprzedzeniem

• Wydrukowane kody zapasowe do poczty, banku i konta ekosystemu, schowane w domu.
• Włączona kopia zapasowa w aplikacji uwierzytelniającej.
• Drugie urządzenie z dostępem – tablet, stary telefon, komputer – na którym jesteś zalogowany do poczty.
• Włączona funkcja lokalizacji i zdalnego kasowania (Znajdź mój iPhone, Znajdź moje urządzenie).
• Zapisany gdzie indziej numer alarmowy do operatora, żeby móc zastrzec kartę SIM.
• Blokada ekranu z PIN-em dłuższym niż cztery cyfry i wyłączony podgląd treści SMS-ów na zablokowanym ekranie – żeby kod z banku nie był widoczny bez odblokowania.

Gdy telefon już zniknął

1. Zastrzeż kartę SIM u operatora. To odcina SMS-y z kodami i utrudnia przejęcie numeru.
2. Wyloguj urządzenie zdalnie z ustawień konta Apple, Google albo Microsoft i, jeśli to możliwe, wyczyść je zdalnie.
3. Wyloguj wszystkie sesje w poczcie, banku i mediach społecznościowych z innego urządzenia.
4. Zaloguj się kodem zapasowym tam, gdzie drugim składnikiem była aplikacja z zaginionego telefonu, i przepnij drugi składnik na nowe urządzenie.
5. Zgłoś kradzież na policję, jeśli to była kradzież – będzie potrzebne przy reklamacjach.
6. Po odzyskaniu spokoju: wygeneruj nowe kody zapasowe, bo część starych już zużyłeś.

Tylko Polska: rozważ zastrzeżenie numeru PESEL, jeżeli razem z telefonem zginęły dokumenty lub dostęp do bankowości. Procedurę opisujemy w osobnym poradniku: Jak zastrzec numer PESEL krok po kroku.

Tylko USA: jeśli podejrzewasz, że ktoś użyje Twoich danych do zaciągnięcia zobowiązań, rozważ zamrożenie raportu kredytowego w trzech biurach. Opisujemy to w poradniku Jak zamrozić raport kredytowy w Experian, Equifax i TransUnion.

Dla seniorów i dla tych, którzy pomagają rodzicom

Zasada nadrzędna

Najlepsze zabezpieczenie to takie, z którego dana osoba faktycznie korzysta. Rozwiązanie doskonałe, którego mama nie rozumie, jest gorsze od prostego, które działa.

Gdy ktoś nie chce aplikacji

To bardzo częste i całkowicie zrozumiałe. Da się dużo zrobić bez instalowania czegokolwiek nowego.

• Zostaw SMS jako drugi składnik. Tak, jest najsłabszy. Ale SMS to nadal ogromna poprawa wobec samego hasła, a jest zrozumiały bez tłumaczenia.
• Zapisz hasła w zeszycie, jednym, konkretnym, trzymanym w domu razem z dokumentami. Nie w portfelu.
• Wykorzystaj to, co jest już w telefonie. iPhone i Android mają wbudowany menedżer haseł i biometrię. Włączenie odcisku palca to jedna zmiana w ustawieniach, a nie nowa aplikacja do nauczenia.
• Ustaw jedno bardzo dobre hasło do poczty i pozwól, żeby reszta zapisywała się w telefonie.

Co ustawić za kogoś, kto o to prosi

Rób to razem z tą osobą, nie za jej plecami, i zapisujcie zmiany na kartce w miarę ich wprowadzania.

• Długie, unikalne hasło do poczty.
• Drugi składnik na poczcie, z numerem telefonu, do którego ta osoba na pewno ma dostęp.
• Kody zapasowe wydrukowane i schowane w umówionym miejscu.
• Zaufany numer i zaufany adres e-mail do odzyskiwania – najlepiej Twój, jeśli jesteś osobą, która będzie pomagać.
• Powiadomienia bankowe o każdej transakcji, żeby ktoś zauważył problem w ciągu godzin, nie tygodni.
• Kartka przy telefonie z jednym zdaniem: „Bank i policja nigdy nie proszą o hasło ani o kod. Zawsze się rozłącz i zadzwoń do mnie".

Osobne poradniki o oszustwach wymierzonych w seniorów: Oszustwa na wnuczka i na policjanta – jak zdalnie chronić rodziców w Polsce oraz Jak chronić seniorów przed scamami internetowymi.

Czego nie robić

• Nie włączaj drugiego składnika na numer telefonu, którego ta osoba nie kontroluje. To najprostszy sposób na odcięcie jej od własnego konta.
• Nie zmieniaj wszystkich haseł w jeden wieczór bez zapisania nowych.
• Nie zabieraj dostępu, jeśli ktoś sobie tego nie życzy. To jego konto.

Dostęp awaryjny dla bliskich

To część, o której prawie nikt nie myśli, dopóki nie jest za późno. Jeżeli zabezpieczysz konta perfekcyjnie i nikomu nie zostawisz drogi wejścia, Twoja rodzina straci zdjęcia, korespondencję i dostęp do rachunków w najgorszym możliwym momencie.

Kontakt odzyskiwania i opiekun konta

Duzi dostawcy mają na to gotowe mechanizmy. Apple ma dwa osobne narzędzia:

• Kontakt odzyskiwania – osoba, która pomoże Ci wrócić na własne konto, gdy zapomnisz hasła: https://support.apple.com/pl-pl/102641
• Opiekun konta (w wersji angielskiej Legacy Contact) – osoba, która po Twojej śmierci może uzyskać dostęp do części danych konta. Apple opisuje to tak: „Dodanie opiekuna konta to najłatwiejszy i najbezpieczniejszy sposób przyznania komuś zaufanemu dostępu do danych przechowywanych na Twoim koncie Apple po Twojej śmierci. Dane te mogą obejmować zdjęcia, wiadomości, notatki, pliki, backupy urządzeń i inne treści". Ustawia się to na iPhonie w Ustawieniach: dotknij swojego imienia, następnie Logowanie i zabezpieczenia, a potem Opiekun konta. Instrukcja: https://support.apple.com/pl-pl/102631

Ważne ograniczenie, które Apple podaje wprost: opiekun konta nie dostaje dostępu do danych z pęku kluczy iCloud, czyli do haseł i kluczy dostępu. Osoba, która ma odziedziczyć zdjęcia, nie odziedziczy w ten sposób haseł.

NIST przewiduje analogiczny mechanizm po stronie usług i nazywa go kontaktami odzyskiwania (sekcja 4.2.1.3), zalecając nawet, żeby dostawcy raz w roku przypominali użytkownikom o przejrzeniu tej listy. Warto zrobić to samo u siebie.

Co zapisać na wypadek choroby lub śmierci

Najprostsze rozwiązanie, które faktycznie działa, to jedna zapieczętowana koperta.

Powinna zawierać:

• Hasło główne do menedżera haseł oraz jego klucz odzyskiwania.
• PIN do telefonu.
• Hasło do głównej skrzynki e-mail.
• Wydrukowane kody zapasowe do najważniejszych kont.
• Krótką listę: gdzie są pieniądze, gdzie są ubezpieczenia, jakie subskrypcje trzeba anulować.
• Jedno zdanie o tym, czego sobie życzysz wobec zdjęć i kont w mediach społecznościowych.

Kopertę trzymaj tam, gdzie akty urodzenia i polisy. Powiedz jednej albo dwóm osobom, gdzie jest. Zaktualizuj ją raz w roku – najłatwiej przy okazji rozliczenia podatkowego, bo i tak wtedy grzebiesz w dokumentach.

Jeżeli Twój menedżer haseł ma funkcję dostępu awaryjnego (osoba wyznaczona prosi o dostęp, Ty dostajesz powiadomienie i masz kilka dni na odmowę, a jeśli nie zareagujesz, dostęp jest przyznawany), włącz ją. To rozwiązuje ten sam problem bez papieru.

Tylko Polska: o tym, co dzieje się z rachunkami bankowymi po śmierci bliskiej osoby i jak się na to przygotować, piszemy w poradniku Konto bankowe po śmierci małżonka.

Najczęstsze błędy

• Jedno hasło do wszystkiego. Największy pojedynczy błąd. Jeden wyciek otwiera wszystko.
• Warianty jednego hasła. Kasia1, Kasia2, Kasia! to dla programu łamiącego hasła jedno hasło. Reguły modyfikujące słowa są standardowym elementem narzędzi.
• Włączenie drugiego składnika bez pobrania kodów zapasowych. Najczęstsza przyczyna utraty własnego konta.
• Trzymanie kodów zapasowych w mailu. Jeśli ktoś przejmie pocztę, ma i kody, i wszystko inne.
• Wpisywanie kodu jednorazowego osobie, która dzwoni. Kod jest po to, żeby go nikomu nie podawać.
• Klikanie w link „zmień hasło" z maila. Zawsze wchodź na stronę z zakładki.
• Zmiana samego hasła po wycieku, bez wylogowania sesji. Skradzione ciasteczko sesji działa dalej.
• Prawdziwe odpowiedzi na pytania pomocnicze, gdy te same fakty są w publicznym profilu.
• Zapisywanie hasła na cudzym komputerze.
• Odkładanie menedżera haseł na „kiedyś". Wystarczy zacząć od jednego konta – poczty.
• Ustawienie odzyskiwania konta na adres, do którego się już nie ma dostępu. Sprawdź stare adresy z pracy i uczelni.
• Traktowanie passkeya jako jedynej drogi. Dopóki nie masz go na dwóch urządzeniach, trzymaj hasło i kody zapasowe.

Mity i fakty

Mit o hasłach	Co mówi źródło	Co robić zamiast tego
Hasło trzeba zmieniać co 30 dni	NIST SP 800-63B-4, sekcja 3.1.1.2: „SHALL NOT require subscribers to change passwords periodically. However, verifiers SHALL force a change if there is evidence that the authenticator has been compromised"	Zmieniaj hasło, gdy jest powód: wyciek, podejrzenie, że ktoś je poznał, użycie go na cudzym urządzeniu
Mocne hasło musi mieć wielką literę, cyfrę i znak specjalny	NIST, sekcja 3.1.1.2: „SHALL NOT impose other composition rules (e.g., requiring mixtures of different character types)"	Postaw na długość i unikalność. 14–16 znaków lub więcej
„P@ssw0rd!" jest bezpieczne, bo ma symbole	NIST, Załącznik A: użytkownik, który wybrałby „password", „would be relatively likely to choose »Password1«… or »Password1!«"	Kilka niepowiązanych słów: CISA proponuje „a memorable phrase of 4 – 7 unrelated words"
Zapisywanie haseł jest zawsze niebezpieczne	NIST nakazuje serwisom: „Verifiers SHALL allow the use of password managers and autofill functionality"	Używaj menedżera haseł. Zapisany zeszyt w domu też jest lepszy niż jedno hasło wszędzie
Menedżer w przeglądarce się nie liczy	CERT Polska: „Rekomendujemy menedżery haseł. Te w przeglądarkach albo telefonach dobrze spełniają swoją funkcję"	Zacznij od wbudowanego. Osobną aplikację rozważ, gdy korzystasz z wielu ekosystemów
SMS jako drugi składnik wystarczy	CISA: SMS „Vulnerable to phishing, SS7, and SIM swap attacks", „should only be used as a last resort MFA option". FTC: „the least secure type of two-factor authentication"	Wybierz aplikację uwierzytelniającą albo klucz. SMS zostaw tam, gdzie nie ma nic innego
Skoro mam 2FA, phishing mnie nie dotyczy	NIST, sekcja 3.1.4: „OTP authentication is not phishing-resistant". CISA opisuje gotowe „MFA bypass toolkits"	Do najważniejszych kont używaj passkeya lub klucza sprzętowego. CISA: „The only widely available phishing-resistant authentication is FIDO/WebAuthn"
Passkey to po prostu odcisk palca zamiast hasła	Microsoft: biometria „remains on the user's device and isn't transmitted across the network or to the service"	Zrozum, że passkey to klucz kryptograficzny, a odcisk palca tylko go odblokowuje na Twoim urządzeniu
Passkeys są nie do odzyskania, więc nie warto	NIST, Załącznik B, dopuszcza synchronizowane klucze przy zachowaniu wymagań, w tym „AAL2-equivalent MFA" na dostęp do chmury synchronizacji	Używaj passkeys synchronizowanych i mocno zabezpiecz konto, na którym się synchronizują
Pytania pomocnicze zwiększają bezpieczeństwo	NIST, sekcja 3.1.1.2: „SHALL NOT prompt subscribers to use knowledge-based authentication (KBA)… or security questions"	Wpisuj losowe odpowiedzi i zapisuj je w menedżerze haseł
Brak wyniku na haveibeenpwned znaczy, że jestem bezpieczny	Serwis zawiera tylko wycieki publicznie znane i do niego dodane; część oznaczono jako wrażliwe i nie da się ich wyszukać publicznie	Traktuj wynik jako sygnał, nie jako gwarancję. Niezależnie od wyniku używaj unikalnych haseł
Moje konto jest nieciekawe dla przestępców	CISA: „Malicious cyber actors are increasingly capable of phishing or harvesting passwords… They take advantage of passwords you reused on other systems"	Ataki są zautomatyzowane i nie wybierają celów. Liczy się to, że hasło pasuje, a nie kim jesteś

Gdzie zgłosić oszustwo lub incydent

Tylko Polska

• CERT Polska, zgłoszenie incydentu: https://incydent.cert.pl/ – tu zgłasza się fałszywe strony, phishing, przejęte konta i inne incydenty. Zespół działa w strukturach NASK jako CSIRT NASK.
• Podejrzany SMS: przekaż go na numer 8080. CERT Polska: „Uruchomiliśmy nowy, łatwy do zapamiętania numer do zgłaszania podejrzanych wiadomości SMS: 8080".
• Podejrzana wiadomość e-mail: cert.pl przyjmuje zgłoszenia mailowe pod adresem podanym w stopce swojej strony.
• Policja: jeśli straciłeś pieniądze, złóż zawiadomienie o przestępstwie w najbliższej jednostce. Numer alarmowy 112.
• Bank: natychmiast, telefonicznie, numer z odwrotu karty lub z oficjalnej strony banku – nigdy z SMS-a.
• UODO: jeśli wyciek dotyczy Twoich danych osobowych i administrator się z Tobą nie skontaktował, informacje i infolinia znajdują się na https://uodo.gov.pl/

Tylko USA

• Kradzież tożsamości: https://www.identitytheft.gov/ – rządowy serwis FTC, który tworzy indywidualny plan naprawczy.
• Oszustwo: https://reportfraud.ftc.gov/
• Przestępstwo internetowe: https://www.ic3.gov/ – Internet Crime Complaint Center prowadzony przez FBI.
• Bank lub wydawca karty: natychmiast, numer z odwrotu karty.
• Policja stanowa lub lokalna: protokół bywa potrzebny do reklamacji.

W obu krajach obowiązuje ta sama zasada: zgłoś, nawet jeśli nie odzyskasz pieniędzy. Zgłoszenia budują obraz zjawiska i pozwalają blokować kolejne kampanie.

Tematy pokrewne, których poradniki są w przygotowaniu: fałszywe sklepy internetowe, przekazy pieniężne do Polski, fałszywe zbiórki charytatywne.

Najważniejsze zasady

1. Długość zamiast wymyślności. 14–16 znaków lub więcej. Kilka niepowiązanych słów zamiast wykrzykników i cyfr.
2. Unikalne hasło do każdego serwisu. To ważniejsze niż jego złożoność.
3. Nie zmieniaj hasła według kalendarza. Zmieniaj, gdy jest powód.
4. Zacznij od poczty. To ona jest kluczem do wszystkich innych kont.
5. Włącz drugi składnik wszędzie, gdzie się da. Nawet SMS jest lepszy niż nic.
6. Aplikacja uwierzytelniająca zamiast SMS-a, jeśli masz wybór.
7. Passkey lub klucz sprzętowy do najważniejszych kont. To jedyna metoda odporna na phishing.
8. Kody zapasowe wydrukuj i schowaj, zanim cokolwiek zmienisz.
9. Zawsze miej dwa niezależne sposoby wejścia na konto.
10. Menedżer haseł, nawet ten wbudowany w przeglądarkę. Lepszy niż pamięć i lepszy niż powtarzanie haseł.
11. Na pytania pomocnicze odpowiadaj nieprawdziwie i zapisuj odpowiedzi.
12. Nikt nigdy nie ma prawa prosić Cię o hasło ani o kod jednorazowy.
13. Zabezpiecz najmocniej konto, na którym synchronizują się Twoje hasła i passkeys.
14. Zostaw bliskim drogę awaryjną. Zapieczętowana koperta albo opiekun konta.

Lista kontrolna

Przegląd bezpieczeństwa kont w 30 minut

Minuty 0–10: poczta

• Nowe hasło do głównej skrzynki, 14–16 znaków lub dłuższe, nigdzie indziej nieużywane
• Włączony drugi składnik (aplikacja uwierzytelniająca, jeśli jest dostępna)
• Kody zapasowe pobrane i wydrukowane
• Sprawdzony adres i numer telefonu do odzyskiwania – czy nadal Twoje
• Sprawdzone reguły przekazywania poczty – czy nie ma obcego adresu
• Wylogowane wszystkie urządzenia

Minuty 10–18: konto ekosystemu (Apple, Google, Microsoft)

• Nowe unikalne hasło
• Włączony drugi składnik
• Kody zapasowe pobrane
• Przejrzana lista zalogowanych urządzeń
• Ustawiony kontakt odzyskiwania

Minuty 18–24: bank i pieniądze

• Sprawdzone, czy autoryzacja operacji idzie przez aplikację, a nie SMS
• Włączone powiadomienia o logowaniu i o każdej transakcji
• Ustawione limity przelewów
• Sprawdzona lista zaufanych odbiorców

Minuty 24–30: reszta i sprzątanie

• Adres e-mail sprawdzony na haveibeenpwned.com
• Wypisane serwisy, w których było powtórzone hasło – do zmiany w kolejnych dniach
• Zainstalowany albo włączony menedżer haseł
• Kody zapasowe schowane razem z dokumentami
• Ustalone z bliską osobą, gdzie leży koperta awaryjna

Do zrobienia w kolejnych dniach

• Zmienione hasła w serwisach z powtórzonym hasłem
• Usunięte konta, których nie używasz
• Poprawione pytania pomocnicze na losowe odpowiedzi
• Dodane passkeys tam, gdzie serwis je obsługuje
• Włączona kopia zapasowa w aplikacji uwierzytelniającej

Najczęstsze pytania

Czy menedżer haseł jest bezpieczny?

Tak, w tym sensie, że jest bezpieczniejszy niż realna alternatywa, czyli powtarzanie jednego hasła. NIST nakazuje serwisom dopuszczać menedżery haseł i uzasadnia to badaniami: „Password managers have been shown to increase the likelihood that subscribers will choose stronger passwords". Ryzyko istnieje i jest realne – wszystko leży w jednym miejscu – ale ogranicza się je mocnym hasłem głównym, drugim składnikiem na koncie menedżera i aktualnym systemem. Żadne rozwiązanie nie daje pełnego bezpieczeństwa.

Ile znaków powinno mieć dobre hasło?

Zależy od tego, kogo pytasz, i różnice są pouczające. NIST wymaga minimum 15 znaków dla hasła, które jest jedynym składnikiem logowania. CERT Polska zaleca co najmniej 14 znaków i podniósł ten próg z 12 w czerwcu 2025 roku. CISA mówi o co najmniej 16 znakach. FTC podaje 12 jako minimum. Rozsądny wniosek dla zwykłego użytkownika: 14–16 znaków to sensowny próg, a każdy dodatkowy znak pomaga.

Czy naprawdę nie trzeba zmieniać hasła co miesiąc?

Nie trzeba i nie należy. NIST zapisał to jako zakaz dla dostawców usług: nie wolno wymuszać okresowej zmiany, ale trzeba wymusić zmianę, gdy są dowody kompromitacji. CERT Polska tłumaczy dlaczego: wymuszone nowe hasła są zwykle przewidywalnymi wariacjami poprzednich. W Polsce przepis nakazujący okresową zmianę w systemach przetwarzających dane osobowe uchylono 6 lutego 2019 roku.

Co się stanie, jeśli zapomnę hasła głównego do menedżera haseł?

To zależy od rozwiązania i musisz sprawdzić to zanim zaczniesz go używać, a nie później. Część menedżerów jest zaprojektowana tak, że dostawca nie zna Twojego hasła i nie potrafi go zresetować – wtedy utrata hasła głównego oznacza utratę całej bazy. Inne oferują klucz odzyskiwania do wydrukowania albo odzyskiwanie przez konto systemowe. Wygeneruj i schowaj klucz odzyskiwania w dniu, w którym zakładasz menedżer.

Czy menedżer haseł wbudowany w przeglądarkę wystarczy?

Dla większości ludzi tak. CERT Polska ocenia to jednoznacznie: „Te w przeglądarkach albo telefonach dobrze spełniają swoją funkcję". Osobna aplikacja ma przewagę wtedy, gdy korzystasz z różnych ekosystemów naraz – na przykład iPhone plus komputer z Windowsem – albo gdy potrzebujesz funkcji takich jak udostępnianie haseł rodzinie i dostęp awaryjny.

Czy kod SMS jako drugi składnik to już przeżytek?

Jest najsłabszą z dostępnych metod, ale nie jest bezużyteczny. CISA klasyfikuje SMS jako podatny na phishing, atak SS7 i SIM swap i pisze, że „should only be used as a last resort MFA option". FTC nazywa go najmniej bezpiecznym rodzajem dwuskładnikowego logowania. Jednocześnie CISA powtarza, że jakikolwiek drugi składnik jest lepszy niż żaden. Jeśli w danym serwisie SMS to jedyna opcja, włącz go.

Co to jest SIM swap i jak się przed tym bronić?

To sytuacja, w której przestępca przekonuje operatora komórkowego, żeby przeniósł Twój numer na kartę SIM, którą kontroluje. Od tej chwili kody SMS trafiają do niego. Obrona: ustaw u operatora dodatkowe hasło lub PIN do obsługi konta abonenckiego, nie używaj SMS-a jako drugiego składnika w najważniejszych serwisach i reaguj natychmiast, gdy telefon nagle traci zasięg bez powodu.

Czy passkey zastępuje hasło i drugi składnik jednocześnie?

W praktyce tak. Passkey łączy „coś, co masz" (urządzenie z kluczem prywatnym) z „czymś, czym jesteś" albo „czymś, co znasz" (odcisk palca, twarz lub PIN odblokowujący klucz). Dlatego wiele serwisów przy logowaniu passkeyem nie pyta już o nic więcej. Twój odcisk palca nigdzie przy tym nie trafia – Microsoft potwierdza, że informacje biometryczne pozostają na urządzeniu i nie są przesyłane przez sieć ani do usługi; serwis dostaje tylko podpis kryptograficzny. To nie znaczy, że możesz od razu skasować hasło – dopóki masz passkey tylko na jednym urządzeniu, hasło i kody zapasowe są Twoją drogą awaryjną.

Co się stanie z moimi passkeys, jeśli zgubię telefon?

Jeśli są synchronizowane przez konto Apple, Google lub Microsoft, wrócą na nowe urządzenie po zalogowaniu się na to konto. Jeśli passkey był zapisany tylko lokalnie na zgubionym urządzeniu, przepada i musisz skorzystać z innej metody logowania w danym serwisie. Dlatego konto, na którym synchronizują się Twoje passkeys, powinno być zabezpieczone najmocniej ze wszystkich.

Gdzie mam trzymać kody zapasowe?

Wydrukowane lub przepisane, w domu, razem z dokumentami – tak, jak zaleca NIST („maintained offline, e.g., printed or written down") i CERT Polska. Drugi komplet możesz zostawić u zaufanej osoby. Nie trzymaj ich w skrzynce e-mail ani na zdjęciu w telefonie. Jeśli chcesz trzymać je w menedżerze haseł, upewnij się, że menedżer nie jest zabezpieczony tym samym drugim składnikiem, którego te kody dotyczą.

Czy warto sprawdzać swój adres na haveibeenpwned.com?

Warto, bo to szybki sposób na dowiedzenie się, w których znanych wyciekach się pojawiłeś. Trzeba jednak wiedzieć, czego ten wynik nie znaczy. Serwis zawiera wyłącznie wycieki publicznie ujawnione i do niego dodane, a część z nich oznaczono jako wrażliwe i nie są publicznie przeszukiwalne. Brak trafień nie dowodzi więc, że Twoje dane nigdzie nie wyciekły. Serwis nie pokazuje też haseł.

Wpisałem hasło na fałszywej stronie. Co teraz?

Działaj od razu i w tej kolejności: zmień hasło w prawdziwym serwisie, wchodząc na niego z zakładki, a nie z linka; zmień to hasło wszędzie, gdzie było takie samo; wyloguj wszystkie sesje; sprawdź ustawienia odzyskiwania i reguły przekazywania poczty; włącz drugi składnik, jeśli go nie było. Jeżeli podałeś też kod jednorazowy, zakładaj, że ktoś już wszedł na konto, i przejdź do poradnika o przejętym koncie.

Jak zabezpieczyć konto rodzicom, którzy nie chcą instalować żadnych aplikacji?

Zostaw SMS jako drugi składnik, bo jest zrozumiały i nadal bardzo poprawia sytuację wobec samego hasła. Ustaw jedno bardzo dobre hasło do poczty i pozwól, żeby resztę zapamiętał telefon albo przeglądarka. Włącz odcisk palca do odblokowania telefonu – to zmiana w ustawieniach, nie nowa aplikacja. Wydrukujcie kody zapasowe i schowajcie je w umówionym miejscu. I ustawcie razem powiadomienia bankowe o każdej transakcji.

Co zrobić, żeby rodzina miała dostęp do moich kont po mojej śmierci?

Skorzystaj z gotowych mechanizmów tam, gdzie są – Apple ma opiekuna konta, który po Twojej śmierci dostaje dostęp do zdjęć, wiadomości i plików (ale nie do haseł z pęku kluczy iCloud), a część menedżerów haseł ma funkcję dostępu awaryjnego. Niezależnie od tego przygotuj zapieczętowaną kopertę z hasłem głównym, PIN-em do telefonu, hasłem do poczty i kodami zapasowymi, schowaj ją tam, gdzie trzymasz akty i polisy, i powiedz jednej albo dwóm osobom, gdzie leży.

Źródła

Data dostępu do wszystkich źródeł: 2026-07-27.

1. National Institute of Standards and Technology (NIST), USA – „Digital Identity Guidelines: Authentication and Authenticator Management", publikacja NIST SP 800-63B-4, wersja finalna z 31 lipca 2025 roku, zastępuje SP 800-63B z 2020 roku. https://pages.nist.gov/800-63-4/sp800-63b.html – kluczowe dla tego poradnika sekcje: 3.1.1 (hasła, „Passwords are not phishing-resistant"), 3.1.1.2 (wymagania dla weryfikatorów haseł: minimum 15 znaków, maksimum co najmniej 64, zakaz reguł złożoności, zakaz wymuszania okresowej zmiany, zakaz pytań pomocniczych, obowiązek porównania z listą haseł z wycieków, obowiązek dopuszczenia menedżerów haseł), 3.1.3 (uwierzytelnianie poza pasmem, w tym SMS), 3.1.3.3 (ograniczenia sieci telefonicznej PSTN), 3.1.4 (kody jednorazowe), 3.2.2 (ograniczanie liczby prób), 4.2.1.1 (kody odzyskiwania), 4.2.1.3 (kontakty odzyskiwania), Załącznik A (uzasadnienie: siła haseł), Załącznik B (uwierzytelniacze synchronizowane, czyli passkeys).
2. NIST, strona katalogowa publikacji – oznaczenie, status i data publikacji SP 800-63B-4. https://csrc.nist.gov/pubs/sp/800/63/b/4/final – potwierdza, że dokument jest finalny i co zastępuje.
3. CISA (Cybersecurity and Infrastructure Security Agency), USA – „More than a Password". https://www.cisa.gov/MFA – wyjaśnia, czym jest logowanie wieloskładnikowe i stwierdza, że jedyną szeroko dostępną metodą odporną na phishing jest FIDO/WebAuthn. Strona oznaczona przez CISA jako materiał archiwalny.
4. CISA – „Implementing Phishing-Resistant MFA", arkusz informacyjny z października 2022 roku. https://www.cisa.gov/sites/default/files/publications/fact-sheet-implementing-phishing-resistant-mfa-508c.pdf – zawiera tabelę metod logowania od najsilniejszej do najsłabszej oraz opis ataków: phishing, push bombing, SS7, SIM swap.
5. CISA – „Use Strong Passwords" (kampania Secure Our World). https://www.cisa.gov/secure-our-world/use-strong-passwords – zaleca hasła co najmniej 16-znakowe, losowe i unikalne oraz korzystanie z menedżera haseł. Strona oznaczona jako materiał archiwalny.
6. CISA – „Turn On MFA" (kampania Secure Our World). https://www.cisa.gov/secure-our-world/turn-mfa – instrukcja włączania drugiego składnika opisana ogólnie, niezależnie od usługi. Strona oznaczona jako materiał archiwalny.
7. CISA – „Next Level MFA: FIDO Authentication", wpis dyrektor CISA z 18 października 2022 roku. https://www.cisa.gov/news-events/news/next-level-mfa-fido-authentication – uzasadnia, dlaczego FIDO nazwano złotym standardem i dlaczego atak phishingowy zawodzi nawet wtedy, gdy użytkownik da się nabrać.
8. CERT Polska (CSIRT NASK) – „Kompleksowo o hasłach", 10 stycznia 2022, z aktualizacją zaleceń w czerwcu 2025. https://cert.pl/posts/2022/01/kompleksowo-o-haslach/ – polskie rekomendacje: minimum 14 znaków, brak wymuszonej okresowej zmiany, brak kryteriów złożoności, metoda pełnych zdań, przykłady haseł pozornie silnych.
9. CERT Polska – „Co wycieki danych mówią o hasłach", 10 stycznia 2022. https://cert.pl/posts/2022/01/co-wycieki-danych-mowia-o-haslach/ – analiza haseł z wycieków, w tym polskich: ponad połowa nie dłuższa niż 8 znaków, lista pięćdziesięciu najpopularniejszych haseł.
10. CERT Polska – „Hasła" (kompendium, strona zbiorcza). https://cert.pl/hasla/ – punkt wyjścia do wszystkich polskich materiałów o hasłach, w tym plakatów i słownika polskich haseł z wycieków.
11. CERT Polska – „Zadbaj o bezpieczne hasła i logowanie". https://cert.pl/bezpieczne-hasla – trzy zasady dla użytkownika: minimum 14 znaków, różne hasła do różnych usług, weryfikacja dwuetapowa; rekomendacja menedżerów haseł wbudowanych w przeglądarki i telefony.
12. CERT Polska – „Włącz weryfikację dwuetapową". https://cert.pl/2etapy/ – wyjaśnienie drugiego składnika po polsku oraz instrukcje robienia kopii zapasowej w popularnych aplikacjach uwierzytelniających.
13. CERT Polska – „Fałszywe SMSy – plaga ostatnich miesięcy". https://cert.pl/baza-wiedzy/falszywe-smsy – opis smishingu i potwierdzenie numeru 8080 do zgłaszania podejrzanych SMS-ów.
14. CERT Polska – formularz zgłoszenia incydentu. https://incydent.cert.pl/ – kanał zgłaszania phishingu, fałszywych stron i przejętych kont w Polsce.
15. FIDO Alliance – „Passkeys". https://fidoalliance.org/passkeys/ – oficjalna definicja passkeya i opis standardu FIDO2/WebAuthn. Strona blokuje automatyczne pobieranie, treść potwierdzono w archiwum Wayback Machine (kopia z 26 lipca 2026).
16. passkeys.dev – zasób prowadzony przez członków W3C Web Identity & Credentials Adoption CG oraz FIDO Alliance. https://passkeys.dev/ – materiały wyjaśniające passkeys dla wdrażających.
17. Federal Trade Commission (FTC), USA – „Creating Strong Passwords and Other Ways To Protect Your Accounts", listopad 2024. https://consumer.ftc.gov/articles/creating-strong-passwords-and-other-ways-protect-your-accounts – porady konsumenckie: co najmniej 12 znaków, ochrona skrzynki e-mail, SMS jako najsłabszy drugi składnik, jak odpowiadać na pytania pomocnicze.
18. FTC – IdentityTheft.gov. https://www.identitytheft.gov/ – rządowy serwis do zgłaszania kradzieży tożsamości w USA i tworzenia planu naprawczego.
19. FTC – ReportFraud.ftc.gov. https://reportfraud.ftc.gov/ – zgłaszanie oszustw w USA.
20. FBI – Internet Crime Complaint Center (IC3). https://www.ic3.gov/ – zgłaszanie przestępstw internetowych w USA.
21. Consumer Financial Protection Bureau (CFPB), USA – „Fraud and scams". https://www.consumerfinance.gov/consumer-tools/fraud/ – informacje dla konsumentów o oszustwach finansowych w USA.
22. Have I Been Pwned – strona główna oraz sekcje FAQ i „Who, What & Why". https://haveibeenpwned.com/ , https://haveibeenpwned.com/FAQs , https://haveibeenpwned.com/About – serwis prowadzony przez Troya Hunta; wyjaśnia, że hasła nie są przechowywane obok adresów, że Pwned Passwords używa skrótów SHA-1 i że część wycieków jest oznaczona jako wrażliwe.
23. Google – „Włączanie weryfikacji dwuetapowej". https://support.google.com/accounts/answer/185839?hl=pl – oficjalna instrukcja włączenia drugiego składnika na koncie Google.
24. Google – „Logowanie się za pomocą klucza dostępu zamiast hasła". https://support.google.com/accounts/answer/13548313?hl=pl – passkeys na koncie Google.
25. Google – „Weryfikacja dwuetapowa z użyciem klucza bezpieczeństwa". https://support.google.com/accounts/answer/6103523?hl=pl – klucze sprzętowe na koncie Google.
26. Google – „Logowanie się za pomocą kodów zapasowych". https://support.google.com/accounts/answer/1187538?hl=pl – kody zapasowe do konta Google.
27. Google – Advanced Protection Program. https://landing.google.com/advancedprotection/ – wzmocniony tryb ochrony konta dla osób szczególnie narażonych.
28. Apple – „Uwierzytelnianie dwupoziomowe dla konta Apple". https://support.apple.com/pl-pl/102660 – oficjalny opis drugiego składnika na koncie Apple.
29. Apple – „Używanie kluczy do logowania się w witrynach i aplikacjach na iPhonie". https://support.apple.com/pl-pl/guide/iphone/iphf538ea8d0/ios – passkeys na iPhonie.
30. Apple – „Bezpieczeństwo kluczy". https://support.apple.com/pl-pl/102195 – jak Apple zabezpiecza klucze dostępu.
31. Apple – „Informacja o ochronie konta Apple za pomocą kluczy bezpieczeństwa". https://support.apple.com/pl-pl/102637 – klucze sprzętowe dla konta Apple.
32. Apple – „Konfigurowanie pęku kluczy iCloud". https://support.apple.com/pl-pl/109016 – synchronizacja haseł i kluczy dostępu w ekosystemie Apple.
33. Apple – „Używanie aplikacji Hasła do tworzenia, zarządzania oraz udostępniania haseł i kluczy na urządzeniach Apple". https://support.apple.com/pl-pl/120758 – wbudowany menedżer haseł Apple.
34. Apple – „Konfigurowanie kontaktu odzyskiwania dla konta Apple". https://support.apple.com/pl-pl/102641 – osoba pomagająca wrócić na własne konto.
35. Apple – „Jak dodać opiekuna konta dla konta Apple". https://support.apple.com/pl-pl/102631 – dostęp bliskich do danych konta po śmierci właściciela; strona wymienia też dane, których opiekun nie otrzyma, w tym hasła i klucze dostępu z pęku kluczy iCloud.
36. Google – „Częste pytania dotyczące programu ochrony zaawansowanej". https://support.google.com/accounts/answer/7539956?hl=pl – polskojęzyczne wyjaśnienie, czym jest Ochrona zaawansowana i czego wymaga.
37. Apple – „Zaufane numery telefonów i zaufane urządzenia na koncie Apple". https://support.apple.com/pl-pl/122621 – gdzie trafiają kody weryfikacyjne i jak zarządzać zaufanymi numerami.
38. Apple – „Konfigurowanie klucza odzyskiwania dla konta Apple". https://support.apple.com/pl-pl/109345 – 28-znakowy klucz odzyskiwania, ostrzeżenie o trwałym zablokowaniu konta przy jego utracie oraz lista miejsc, w których Apple odradza jego przechowywanie.
39. Apple – „Logowanie na koncie na Macu przy użyciu klucza". https://support.apple.com/pl-pl/guide/passwords/mchl4af65d1a/mac – praktyczna instrukcja logowania kluczem dostępu na Macu.
40. Microsoft – „Jak używać weryfikacji dwuetapowej z kontem Microsoft". https://support.microsoft.com/pl-pl/account-billing/jak-u%C5%BCywa%C4%87-weryfikacji-dwuetapowej-z-kontem-microsoft-c7910146-672f-01e9-50a0-93b4585e7eb4 – włączanie drugiego składnika na koncie Microsoft; strona zawiera zapowiedź stopniowego wycofywania SMS-a jako metody uwierzytelniania i odzyskiwania kont prywatnych.
41. Microsoft – „Signing in with a passkey". https://support.microsoft.com/en-us/account-billing/signing-in-with-a-passkey-09a49a86-ca47-406c-8acc-ed0e3c852c6d – logowanie kluczem dostępu do konta Microsoft.
42. Microsoft – „Create and save a passkey". https://support.microsoft.com/en-us/account-billing/create-and-save-a-passkey-e92cd3e0-11fa-4630-a5ea-3ccc0396b3d9 – zakładanie klucza dostępu.
43. Microsoft – „Manage your saved passkeys". https://support.microsoft.com/en-us/account-billing/manage-your-saved-passkeys-6a70599a-25e1-4461-86be-d67d1023c69f – przegląd i usuwanie zapisanych kluczy dostępu.
44. Microsoft – „Download and install the Microsoft Authenticator app". https://support.microsoft.com/en-us/account-billing/download-and-install-the-microsoft-authenticator-app-351498fc-850a-45da-b7b6-27e523b8702a – instalacja aplikacji uwierzytelniającej.
45. Microsoft – „Add accounts to Microsoft Authenticator". https://support.microsoft.com/en-us/account-billing/add-accounts-to-microsoft-authenticator-43a73ab5-b4e8-446d-9e54-2a4cb8e4e93c – dodawanie kont do aplikacji.
46. Microsoft – „Passkeys in Windows". https://support.microsoft.com/en-us/windows/passkeys-in-windows-301c8944-5ea2-452b-9886-97e4d2ef4422 – klucze dostępu w Windowsie od strony użytkownika.
47. Microsoft – „How to go passwordless with your Microsoft account". https://support.microsoft.com/en-us/account-billing/how-to-go-passwordless-with-your-microsoft-account-674ce301-3574-4387-a93d-916751764c43 – usuwanie hasła z konta Microsoft.
48. Microsoft Security Blog – „Pushing passkeys forward: Microsoft's latest updates for simpler, safer sign-ins", 1 maja 2025, autorzy Vasu Jakkal i Joy Chik. https://www.microsoft.com/en-us/security/blog/2025/05/01/pushing-passkeys-forward-microsofts-latest-updates-for-simpler-safer-sign-ins/ – oficjalne ogłoszenie: „Brand new Microsoft accounts will now be »passwordless by default«". Dotyczy nowych kont; istniejący użytkownicy mogą usunąć hasło samodzielnie.
49. Microsoft – „Support for passkeys in Windows" (dokumentacja techniczna). https://learn.microsoft.com/en-us/windows/security/identity-protection/passkeys/ – opis działania passkeys, w tym informacja, że dane biometryczne nie opuszczają urządzenia.
50. Microsoft – „Configure Windows Hello". https://support.microsoft.com/en-us/windows/sign-in-to-your-microsoft-account-with-windows-hello-or-a-security-key-800a8c01-6b61-49f5-0660-c2159bea4d84 – logowanie twarzą, odciskiem palca lub PIN-em w Windowsie.
51. Meta (Facebook) – „How two-factor authentication works on Facebook". https://www.facebook.com/help/148233965247823 – ścieżka do ustawień w Centrum kont, trzy dostępne metody drugiego składnika i dziesięć zapasowych kodów logowania. Ustawienia te obejmują również konta na Instagramie połączone w Centrum kont.
52. Meta (Instagram) – „Two-factor authentication". https://help.instagram.com/566810106808145 – strona pomocy Instagrama o uwierzytelnianiu dwuskładnikowym. Temat potwierdzony na podstawie metadanych strony; samej treści nie dało się odczytać automatycznie, bo ładuje się dopiero w przeglądarce.
53. WhatsApp – „How to manage two-step verification settings". https://faq.whatsapp.com/1920866721452534 – sześciocyfrowy PIN chroniący rejestrację numeru i rola adresu e-mail przy odzyskiwaniu. Tytuł potwierdzony; treść ładowana po stronie przeglądarki.
54. Urząd Ochrony Danych Osobowych (UODO), Polska – strona główna urzędu z infolinią dla obywateli. https://uodo.gov.pl/ – informacje o ochronie danych osobowych i kontakt w sprawach naruszeń.