Odborníci zveřejněli seznam nebezpečných PIN. Tyto čtyři kombinace podvodníci zkusí jako první. Máte jednu z nich?

Představte si, že někdo najde váš telefon. Kolikrát by musel zkusit uhádnout váš PIN, než by se dostal dovnitř? Pokud patříte mezi většinu uživatelů, odpověď zní: maximálně třikrát. Výzkumníci z oblasti kybernetické bezpečnosti analyzovali miliony kompromitovaných PIN kódů a výsledky jsou alarmující.

Tým analytiků pracoval s rozsáhlými databázemi úniku dat z různých bezpečnostních incidentů posledních let. Metodologie byla přímočará, ale efektivní: shromáždili všechny dostupné čtyřmístné i šestimístné PIN kódy z veřejně dostupných databází, které vznikly po hackerských útocích na různé služby. Následně provedli frekvenční analýzu – spočítali, kolikrát se každá kombinace opakuje.

Výsledky? Kombinace 1234 se objevila v téměř 11 % všech případů. Následovaly kódy 1111, 0000, 1212 a 7777. Dohromady prvních dvacet nejčastějších kombinací pokrývá přibližně třetinu všech používaných PINů.

Když technologie narazí na lidskou psychologii

Proč si lidé vybírají tak slabé kódy? Odpověď leží v tom, jak funguje naše paměť a jak vnímáme riziko. Výzkumníci v oboru kognitivní psychologie identifikovali několik klíčových faktorů.

První je preference sekvenčních vzorců. Lidský mozek má tendenci vyhledávat a zapamatovat si vzorce – proto jsou kombinace jako 1234, 2580 (vertikální linie na klávesnici) nebo 1357 tak populární. Druhým faktorem je osobní relevance: data narození, výročí nebo jiná významná čísla se jeví jako dobrá volba, protože si je snadno pamatujeme. Paradoxně právě tato zdánlivá výhoda dělá z těchto kódů snadný cíl.

„Většina lidí si myslí, že jejich datum narození je unikátní. Ve skutečnosti existuje jen 366 možných kombinací dne a měsíce, což představuje pouhých 3,66 % z celkového prostoru čtyřmístných PINů“, vysvětluje bezpečnostní analytik David Martinez z výzkumné společnosti CyberSafe Labs.

Třetí faktor je možná nejzajímavější: iluze bezpečnosti. Mnoho uživatelů věří, že pokud mají telefon nebo bankomat nastaven na maximálně tři pokusy, jejich PIN je v bezpečí. Tato domněnka však platí pouze pro některé typy útoků.

Kdy vás ochrana třemi pokusy zachrání – a kdy ne

Mechanismy omezující počet pokusů, známé jako rate-limiting, skutečně fungují – ale jen za určitých podmínek. Když útočník zkouší uhádnout váš PIN přímo na vašem telefonu nebo u bankomatu, má obvykle jen tři až pět pokusů, než se zařízení zablokuje.

Problém nastává, když dojde k úniku databáze. Pokud útočník získá zašifrovanou databázi PINů z nějakého serveru, může testovat miliony kombinací za sekundu na vlastním počítači – bez jakéhokoli omezení. V takovém případě je slabý PIN prolomený během okamžiku.

Ještě horší je situace u starších systémů nebo špatně navržených aplikací, kde rate-limiting chybí úplně nebo je implementován pouze na straně klienta. Útočník pak může obejít ochranu a testovat kombinace prakticky neomezeně i přes síťové rozhraní.

„Viděl jsem případy, kdy mobilní aplikace kontrolovala počet pokusů jen v JavaScriptu na telefonu. Stačilo tuto kontrolu vypnout a mohl jste zkoušet PIN kódy donekonečna“, popisuje penetrační tester Martin Kovář ze společnosti SecureIT.

Rozdíl mezi lokálním a síťovým útokem je tedy zásadní. U fyzického přístupu k zařízení vás rate-limiting ochrání, pokud máte dostatečně složitý PIN. U úniku dat nebo špatně zabezpečených služeb je však i relativně silný čtyřmístný kód prakticky k ničemu.

Šest místo čtyř – ale pořád stejný problém

Logickým řešením by měl být přechod na delší PIN kódy. Šestimístný PIN nabízí milion možných kombinací oproti deseti tisícům u čtyřmístného – teoreticky stonásobné zvýšení bezpečnosti.

Realita je ovšem jiná. Analýza šestimístných PINů ukázala, že uživatelé aplikují stejné vzorce jako u kratších variant. Nejčastější šestimístné kódy? 123456, 000000, 111111 a 123123. Datum narození ve formátu DDMMRR (například 150690 pro 15. června 1990) je také extrémně populární.

Výzkumníci spočítali, že prvních sto nejčastějších šestimístných kombinací pokrývá přibližně 18 % všech používaných kódů. To znamená, že útočník má téměř pětkrát vyšší šanci uhodnout šestimístný PIN než při náhodném hádání – a to jen s prvními sty pokusy.

Problém tedy není v délce kódu, ale v lidském faktoru. Dokud budou uživatelé volit předvídatelné vzorce, ani dvanáctimístný PIN nepomůže.

Měly by systémy blokovat slabé PIN kódy?

Nabízí se otázka: proč systémy prostě nezakážou registraci nejslabších kombinací? Některé banky a služby to již dělají – odmítnou přijmout PIN jako 1234 nebo 0000.

Tento přístup má své výhody. Výzkumy ukazují, že pokud systém donutí uživatele zvolit složitější kód, většina lidí si nakonec zvykne. Bezpečnost se tím skutečně zvýší – jednoduše proto, že nejsnazší cíle zmizí.

Na druhou stranu existuje riziko frustrace uživatelů. Pokud systém odmítne příliš mnoho kombinací, lidé mohou začít hledat alternativní řešení – například si PIN zapíší na papír nebo do poznámek v telefonu, což bezpečnost paradoxně sníží.

Optimální řešení podle expertů leží někde uprostřed: blokovat prvních 20–50 nejčastějších kombinací, ale jinak nechat uživatelům svobodu. Takový kompromis eliminuje nejhorší případy, aniž by příliš omezoval uživatelskou přívětivost.

Když hardware přichází na pomoc

Moderní zařízení nabízejí další vrstvu ochrany: hardwarové zabezpečení. Technologie jako Apple Secure Enclave nebo TPM (Trusted Platform Module) v počítačích s Windows ukládají citlivá data včetně PINů do speciálního čipu, který je fyzicky oddělený od hlavního procesoru.

Tyto čipy mají vestavěné rate-limiting na hardwarové úrovni, které nelze obejít ani sofistikovaným útokem. Dokonce i když útočník získá fyzický přístup k zařízení a pokusí se PIN extrahovat přímo z paměti, Secure Enclave automaticky zpomaluje pokusy nebo po určitém počtu neúspěšných pokusů data trvale vymaže.

To znamená, že i relativně slabý čtyřmístný PIN může být na moderním iPhonu nebo Androidu s hardwarovým zabezpečením dostatečně bezpečný – za předpokladu, že nepatří mezi prvních deset nejčastějších kombinací.

Problém je, že ne všechna zařízení tuto technologii podporují. Starší telefony, levnější modely nebo špatně navržené IoT zařízení často spoléhají pouze na softwarovou ochranu, která je mnohem snadněji překonatelná.

Co si z toho odnést?

Výzkum ukazuje, že bezpečnost PIN kódů je komplexní problém, který nelze vyřešit jednoduše delšími kódy nebo přísnějšími pravidly. Klíčové je pochopení, jak různé faktory spolupracují.

Pokud používáte moderní zařízení s hardwarovým zabezpečením a vyhnete se nejčastějším kombinacím, váš čtyřmístný PIN je pravděpodobně dostatečně bezpečný pro běžné použití. Pokud však vaše data putují přes servery třetích stran nebo používáte starší zařízení, měli byste zvážit přechod na biometrickou autentizaci nebo alespoň šestimístný PIN s nepředvídatelnou kombinací.

A hlavně: pokud váš PIN obsahuje vaše datum narození, rok, ve kterém jste se narodili, nebo sekvenci typu 1234 – změňte ho. Dnes.