Află câteva reguli de bază pentru crearea de parole sigure

Când ne referim la securitatea IT, este obligatoriu să discutăm și despre parole. O parolă sigură este lungă, diferită pentru fiecare cont și, ideal, însoțită de autentificarea în doi pași. Mai jos găsiți regulile de bază, actualizate după recomandările publicate în 2025.

Cum utilizatorii folosesc zeci de conturi pentru aplicații, site-uri sau servicii, reținerea parolelor poate crea mari bătăi de cap.

Dar chiar și așa, este nevoie de parole greu de ghicit, ca să nu poată fi compromise prea ușor. Clasamentele anuale ale celor mai folosite parole arată același lucru de ani de zile: parolele populare pot fi „ghicite” în mai puțin de o secundă.

Care sunt cele mai frecvente parole sparte de hackeri?

Cele mai frecvente parole sparte de hackeri sunt chiar cele mai folosite: șiruri de cifre, cuvinte banale și taste alăturate. În clasamentul publicat de NordPass în 2019, primele zece erau: 12345, 123456, 123456789, test1, Password, 12345678, zinch, g_czechout, asdf, qwerty. Toate puteau fi sparte în mai puțin de o secundă, iar șirurile de tipul „123456” au rămas în fruntea clasamentelor și în anii următori.

La fel de ușor de ghicit sunt parolele formate din informații despre dvs.: numele copilului și anul nașterii, numele firmei urmat de anul curent sau „Parola123!”.

Cum sunt sparte parolele?

Una dintre cele mai folosite metode de spargere a parolelor este atacul de tip dicționar, o variantă de brute-force: un program încearcă pe rând parolele populare și cuvintele din dicționar, până o nimerește pe cea corectă. Există și utilitare mai avansate, care adaugă caractere speciale parolelor comune sau care convertesc cuvintele în limbajul leet (1337). Exemplu: password -> p455w0rD. De aceea, înlocuirea literelor cu cifre nu face o parolă mai sigură.

O altă practică comună a hackerilor este să verifice dacă ați mai avut contul compromis pe o altă platformă, care poate a stocat parola fără criptare, și să încerce parola deja cunoscută pe alte servicii (atacul se numește „credential stuffing”). Acesta este motivul principal pentru care nu este recomandat să folosiți aceeași parolă pentru mai multe servicii.

Cele mai multe site-uri stochează însă parolele utilizatorilor într-o formă criptată (hash). Dacă serviciul respectiv este compromis, hackerii pot afla numele, adresa de e-mail, adresa sau numărul de telefon, dar nu direct parola. Totuși, parolele scurte sau populare pot fi recuperate din forma criptată în scurt timp, cu calculatoare puternice. O parolă lungă și unică rămâne protejată chiar și după o breșă.

Cât de lungă trebuie să fie o parolă sigură?

O parolă sigură are cel puțin 15 caractere atunci când este singura protecție a contului. Ghidul pentru autentificare al NIST (institutul american de standarde), actualizat în 2025, cere minimum 15 caractere pentru parolele folosite singure și minimum 8 caractere atunci când parola este însoțită de un al doilea factor, de pildă un cod din aplicația de pe telefon.

Același ghid a schimbat câteva reguli vechi:

• lungimea contează mai mult decât complexitatea: regulile care obligă la o majusculă, o cifră și un simbol nu mai sunt recomandate;
• parolele nu se mai schimbă periodic, ci doar atunci când există semne că au fost compromise;
• parolele noi se compară cu o listă de parole compromise sau foarte folosite, iar cele găsite acolo se resping;
• lipirea parolei (copy-paste) și managerele de parole trebuie permise.

Exemple de parole sigure

Cea mai ușoară parolă sigură de ținut minte este o frază din patru-cinci cuvinte fără legătură între ele. Câteva exemple de structură, pe care să nu le folosiți ca atare, pentru că acum sunt publice:

• o înșiruire de cuvinte: pisică-tramvai-ceai-mov-Galați;
• o propoziție absurdă: Bunica plantează 3 cactuși pe Lună;
• o parolă generată de un manager de parole: k7#Vq2!mR9pL$wX4zT, pe care nu trebuie s-o rețineți.

Recomandări pentru alegerea de parole sigure

• Folosiți un manager de parole. Generează parole aleatorii, lungi și diferite pentru fiecare cont și le ține minte în locul dvs. Rețineți doar parola principală, care trebuie să fie lungă și unică.
• Activați funcția de autentificare în doi pași peste tot pe unde puteți. La logare este nevoie și de un al doilea dispozitiv: o aplicație de autentificare instalată pe telefon, o cheie de securitate sau un cod primit prin SMS. Codul prin SMS este mai bun decât nimic, dar aplicația și cheia de securitate sunt mai sigure.
• Folosiți chei de acces (passkeys) acolo unde sunt disponibile. Conturile Google, Microsoft și Apple, ca și tot mai multe site-uri, permit logarea cu amprenta, cu recunoașterea feței sau cu PIN-ul dispozitivului, fără parolă. O cheie de acces nu poate fi ghicită și nu funcționează pe un site fals, deci vă protejează și de phishing.
• Nu refolosiți parolele. Fiecare cont are parola lui, mai ales e-mailul, pentru că prin el se resetează parolele celorlalte conturi.
• Ștergeți conturile pe care nu le mai folosiți. În felul acesta, reduceți numărul de locuri din care datele dvs. pot fi furate.
• Verificați periodic activitatea de pe conturile dumneavoastră. Dacă observați autentificări nefirești, schimbați parola de urgență și închideți sesiunile active. Puteți verifica și dacă adresa dvs. de e-mail a apărut într-o breșă cunoscută, pe Have I Been Pwned.

Cum gestionează o firmă parolele angajaților?

O firmă gestionează parolele angajaților prin reguli scrise, nu prin memoria fiecăruia: un manager de parole pentru echipă, cu seifuri comune pentru conturile folosite de mai mulți colegi, autentificare în doi pași obligatorie pe e-mail și pe conturile de administrator și o evidență clară a celor care au acces la fiecare sistem. Parolele nu se trimit pe e-mail sau în mesaje și nu se scriu pe bilețele lipite de monitor.

Cele mai multe probleme apar la plecarea unui angajat: conturile lui rămân active, iar parolele comune pe care le știa nu se schimbă. La clienții noștri, pregătim calculatoarele și conturile pentru angajații noi și închidem accesele celor care pleacă. Când preluăm IT-ul de la alt furnizor, facem în maximum 24 de ore un plan scris, cu preluarea acceselor și a documentației și schimbarea parolelor.

Pentru firmele care intră sub incidența Directivei NIS2 (în România, OUG 155/2024), autentificarea în doi pași și politicile de control al accesului fac parte din măsurile cerute de lege.

RezolvIT este o firmă de servicii IT gestionate din București, care oferă suport IT personalizat companiilor cu care lucrează, fie că ne referim la Securitate IT, la securizarea laptopurilor folosite acasă sau la lucrul angajaților de la distanță. Pornim de la un Audit IT gratuit.