Ako hackeri vieda zistiť, kde všade používaš rovnaké heslo? Nemusia to skúšať ručne

Ak rovnaké heslo používaš na viacerých miestach, únik z jediného webu môže ohroziť aj tvoje ďalšie účty. Útočníci pritom nemusia skúšať jednotlivé služby ručne. Túto prácu za nich robia automatizované nástroje.

Heslo môže pochádzať aj zo služby, ktorú si roky nepoužil. Starý e-shop, fórum či aplikácia príde o databázu používateľov a spolu s ňou unikne tvoj e-mail a heslo. Ak si rovnakú kombináciu zadal aj inde, útočník dostáva údaje, ktoré môže okamžite skúšať na ďalších weboch.

Tento spôsob útoku sa označuje ako credential stuffing. OWASP ho opisuje ako automatizované skúšanie ukradnutých prihlasovacích údajov na ďalších službách. Skript vezme veľký zoznam uniknutých kombinácií a preveruje, kde ešte stále platia.

Útočníci sa do účtov Domino’s dostali s heslami zo starších únikov

Domino’s upozornilo časť zákazníkov, že sa niekto dostal do ich účtov. Firma pritom podľa správy, ktorú zverejnil Malwarebytes, nezaznamenala prelomenie vlastných systémov.

Útočníci sa prihlasovali pomocou e-mailov a hesiel zo starších únikov na iných weboch. Problém mali používatelia, ktorí rovnaké heslo používali aj pri účte Domino’s. Na jeho prevzatie tak nebolo potrebné napadnúť samotnú sieť ani jej databázu.

Súvisí s tým

Slabé heslo už možno nebudeš musieť meniť ručne. AI Gemini to v Chrome spraví za teba

Útočník nemusí vedieť, kde všade máš účet. Skript to zistí zaňho

Útočník pritom nemusí tušiť, na ktorých službách si zaregistrovaný. Ak má veľký zoznam uniknutých e-mailov a hesiel, nechá ich automaticky skúšať na vybraných weboch. Väčšina pokusov skončí neúspešne, no pri dostatočne veľkej databáze mu aj malý počet zásahov môže priniesť tisíce funkčných účtov.

Pri credential stuffingu sa heslo nehádá. Útočník ho už pozná

Tu je rozdiel oproti klasickému brute force. Pri ňom útočník hľadá správne heslo skúšaním veľkého množstva možností. Credential stuffing začína o krok ďalej. Heslo už uniklo a útok iba preveruje, či ho človek nepoužil aj inde.

Pri password sprayingu sa zase skúša niekoľko bežných hesiel proti veľkému počtu účtov. Ide teda o inú taktiku, hoci cieľ zostáva rovnaký – dostať sa cez prihlasovací formulár k cudziemu účtu.

Blokovanie jednej IP adresy útok nezastaví

Jednu IP adresu vie služba zablokovať pomerne rýchlo. Pri credential stuffingu však útočníci často používajú proxy siete a prihlasovacie pokusy rozdelia medzi veľké množstvo rôznych adries.

OWASP pri obrane proti credential stuffingu odporúča nespoliehať sa iba na IP adresu. Systémy môžu porovnávať aj zariadenie, prehliadač, krajinu, tempo prihlasovania či ďalšie znaky automatizovaného správania. Pri podozrivom pokuse potom môžu vyžiadať ďalšie overenie alebo prihlásenie zablokovať.

Starý zoznam hesiel je len surovina. Overené účty sú už hotový úlovok

V starých únikoch je veľa údajov, ktoré už nikam nevedú. Heslo mohlo byť dávno zmenené, účet zrušený alebo e-mail prestať existovať. Útočníka preto zaujímajú najmä kombinácie, s ktorými sa stále dokáže prihlásiť.

Taký účet už môže rovno zneužiť. Podľa služby sa dostane k osobným údajom, správam, objednávkam či uloženému kreditu. Malwarebytes pri prípade Domino’s upozorňuje aj na to, že funkčné účty môžu skončiť v ponuke ďalším kyberzločincom.

Staré heslo môže prezradiť, ako si vytváraš nové

Veľa ľudí pri zmene hesla nevymyslí úplne nové. Zmení rok, číslo na konci alebo jeden znak a pokračuje ďalej s rovnakým základom.

OWASP Top 10:2025 pri hybrid credential stuffingu uvádza aj takéto obmeny. Typický príklad je Winter2025 a Winter2026. Ak útočník pozná staršiu verziu, môže skúšať aj ďalšie varianty vytvorené podľa rovnakého vzoru.

Útočník nemusí poznať ďalšie heslá, ak ovláda tvoj e-mail

Účet v e-shope môže útočníkovi ukázať tvoje osobné údaje alebo nákupy. Oveľa viac možností mu otvorí e-mailová schránka, kam prichádzajú odkazy na zmenu hesiel z ďalších služieb.

Ak získa prístup aj k hlavnému e-mailovému účtu, pri ďalších službách už môže skúšať obnovu hesla cez e-mail. Tam, kde je zapnuté samostatné viacfaktorové overenie alebo passkey, môže naraziť na ďalšiu prekážku.

Aj 20-znakové heslo je nanič, ak ho používaš na desiatich weboch

Dlhé náhodné heslo má zmysel dovtedy, kým ho nepoužívaš na viacerých miestach. Ak sa rovnaká kombinácia objaví v uniknutej databáze, jej zložitosť už útočník riešiť nemusí.

Praktickejšie je nechať si pre každý účet vytvoriť inú kombináciu cez správcu hesiel a tam, kde je to možné, zapnúť dvojfaktorové overenie.

Ak služba podporuje passkeys, útok postavený na ukradnutom hesle tým stráca svoj základ. Prihlásenie je naviazané na kryptografický kľúč pre konkrétnu službu, nie na heslo, ktoré sa dá skúšať inde.

Pri úniku hesla má zmysel pozrieť najmä na služby, kde si používal rovnakú alebo veľmi podobnú kombináciu. Prvá na rade by mala byť e-mailová schránka.