Gyenge jelszó, nagy baj: hat helyzet, amelyekből tanulhatsz

A legtöbb fiókot nem zseniális hackerek törik fel, hanem egy újrahasznált jelszó, egy táblázatba írt belépés vagy egy sietve begépelt SMS-kód nyitja ki. Szabadúszóként, például virtuális asszisztensként (VA) vagy közösségimédia-kezelőként ráadásul nem csak a saját fiókjaidért felelsz: nálad vannak az ügyfeleid levelezésének, webshopjának és közösségi oldalainak kulcsai is.

Ebben a cikkben hat tipikus hibát nézünk végig. Mindegyiknél elmondjuk, mi történt, mekkora lett a kár, és mi védett volna meg tőle. A helyzetek kitaláltak, de egyik sem elképzelt veszély: mindegyik mögött jól dokumentált támadási mód áll. A végén azt is megmutatjuk, mit tegyél az első órában, ha mégis baj történt.

Miért pont a jelszón múlik ennyi?

Egy jelszó nem attól veszélyes, hogy rövid. Attól veszélyes, hogy valaki más is ismeri, és erről te nem tudsz. Ez háromféleképpen történhet meg: kiszivárog egy adatlopásnál, kiolvassák onnan, ahol tárolod, vagy te magad gépeled be egy hamis oldalon.

Három fogalom, amivel a cikkben többször találkozol:

A credential stuffing azért működik ilyen jól, mert sokan ugyanazt a jelszót használják több helyen. A támadónak nem kell kitalálnia semmit: elég egy program, ami végigpróbálja a listát.

A hat helyzet egy pillantásra

Ha sietsz, ebből a táblázatból már látod, melyik hiba a legközelebbi hozzád. A részleteket utána egyenként végigvesszük.

Helyzet	Mi történt?	Mi lett a kár?	Mi védett volna?
Újrahasznált jelszó	Egy régi szivárgásból bejutottak	Átvett e-mail-fiók	Egyedi jelszó, 2FA
Jelszó Excelben	A táblázat rossz kézbe került	Minden ügyfél fiókja kitettségben	Jelszókezelő, megosztott széf
Közös fiók az ügyféllel	Senki nem tudta, ki fér hozzá	Követhetetlen változtatások	Saját felhasználó mindenkinek
SMS-kód, SIM-csere	Áthelyezték a telefonszámot	Kódok a támadónál	Hitelesítő alkalmazás vagy kulcs
Adathalász oldal	Hamis belépőn adtad meg	Jelszó és kód ellopva	Passkey, jelszókezelő kitöltése
Jelszó post-iten	Látszott egy videóhívásban	Bárki leírhatta	Fejben csak a fő jelszó

1. Ugyanaz a jelszó mindenhol

Mi történt? Réka VA öt éve regisztrált egy kis online receptoldalra ugyanazzal az e-mail-címmel és jelszóval, mint amit a munkahelyi levelezéséhez is használt. Az oldal adatbázisa később kiszivárgott. Réka nem is emlékezett, hogy ott fiókja van.

Mi lett a kár? Egy gépi próbálgatás a levelezésébe is bejutott. A támadó szabályt állított be, ami minden „számla” szót tartalmazó levelet továbbított, és két ügyfélnek hamis bankszámlaszámmal küldött fizetési felszólítást Réka nevében.

Mi védett volna? Három dolog, bármelyik önmagában is: egyedi jelszó minden fiókhoz, kétlépcsős azonosítás a levelezésen, és egy értesítés arról, hogy az e-mail-címe szerepel egy szivárgásban.

Az utóbbit ingyen beállíthatod. A Have I Been Pwned egy nyilvános keresőszolgáltatás, amely összegyűjti az ismert adatszivárgásokat. Beírod az e-mail-címed, és megmutatja, melyik szivárgásokban szerepel, értesítést is kérhetsz a jövőbeli esetekről.

1. Nézd meg a címedet. Írd be a fő munkahelyi és magán e-mail-címedet a Have I Been Pwned keresőjébe.
2. Iratkozz fel az értesítésre. Így akkor is szól, ha egy új szivárgásban felbukkan a címed.
3. Írd fel az érintett oldalakat. Ha találat van, nézd meg, melyik szolgáltatónál történt, és mikor.
4. Cseréld le a jelszót mindenhol, ahol azt használtad. Nem csak az érintett oldalon: mindenhol, ahol ugyanaz vagy nagyon hasonló volt.
5. Kapcsold be a 2FA-t a levelezésen. Az e-mail-fiókod a többi fiók kulcsa, mert azon keresztül lehet új jelszót kérni.

2. Jelszavak egy Excel-táblában

Mi történt? Dóra három ügyfélnek dolgozik, és a belépéseket egy „Hozzáférések.xlsx” nevű fájlban tartotta, a megosztott meghajtóján. Kényelmes volt: egy helyen minden, és az ügyfeleknek is el tudta küldeni e-mailben, ha kellett.

Mi lett a kár? Az egyik ügyfél egy új munkatársa megkapta a megosztott mappa linkjét, benne a táblázattal. Onnantól egy idegen is látta mindhárom ügyfél webshopjának, hírlevélküldőjének és közösségi oldalainak jelszavát. Dórának minden fiókot le kellett cserélnie, egy kínos levél kíséretében.

Mi védett volna? Egy jelszókezelő, vagyis egy titkosított „széf”, ahol a belépéseket ügyfelenként külön, megosztott részben tartod, és a hozzáférést egy kattintással vissza tudod vonni. Az e-mailben elküldött jelszó évekig ott marad a postafiókokban, és nem tudod visszahívni. Hogy melyik jelszókezelő mire jó, és hogyan oszd meg vele a belépéseket, a jelszókezelőkről szóló cikkünkben részletesen összehasonlítottuk.

• Ne küldj jelszót e-mailben, chatben vagy SMS-ben, még „csak most az egyszer” sem.
• Ne tárold a jelszavakat táblázatban, jegyzetfájlban vagy a telefonod fotói között.
• Ne tedd a jelszót ugyanabba az üzenetbe, mint a felhasználónevet és a belépési címet.

3. Közös fiók az ügyféllel

Mi történt? Gábor ügyfele egyetlen belépést adott a cég posztütemezőjéhez: ugyanazt, amit ő maga, a marketinges kollégája és egy korábbi gyakornok is használt. A jelszót két éve nem változtatták meg, mert „mindenki megszokta”.

Mi lett a kár? Egy reggel törölve volt három beütemezett kampányposzt. Hogy ki tette, nem lehetett kideríteni, mert a naplóban mindenki ugyanaz a felhasználó volt. A gyanú először Gáborra terelődött, pedig ő aznap hozzá sem nyúlt.

Mi védett volna? Ha mindenki saját felhasználót kap, a legtöbb rendszer naplózza, ki mit csinált. A gyakornok hozzáférését távozáskor egyszerűen törölték volna, a többiek jelszavának cseréje nélkül. Ez neked, szabadúszóként, legalább annyira védelem, mint az ügyfélnek: bizonyítani tudod, mit csináltál és mit nem.

A hozzáférések rendezését a legkönnyebb az együttműködés legelején megtenni. Az ügyfél-onboarding ellenőrzőlistánkban ez külön lépésként szerepel. Ha egyszer leírod magadnak, hogyan kéred és hogyan adod vissza a hozzáféréseket, minden új ügyfélnél csak végig kell menned rajta, nem kell újra kitalálnod.

4. SMS-kód és a SIM-csere

Mi történt? Petra minden fontos fiókján bekapcsolta a kétlépcsős azonosítást, SMS-kóddal. Egy délután a telefonja hirtelen elvesztette a térerőt. Mire kiderült, miért, a támadó már a szolgáltatónál, Petrának kiadva magát, áthelyeztette a számát egy saját SIM-kártyára.

Mi lett a kár? Ettől a pillanattól minden SMS-kód a támadóhoz ment. Új jelszót kért Petra levelezéséhez, a kódot megkapta, és bent volt. A számlázóprogramba ugyanígy jutott be.

Mi védett volna? Ezt a támadást SIM-cserének hívják, és az NKI kétfaktoros hitelesítésről szóló 2025-ös anyaga részletesen leírja. Az NKI az SMS-alapú kódot célzott támadásokkal szemben elavultnak tartja, és helyette hitelesítő alkalmazást javasol: ez a telefonodon generál 30–60 másodpercenként változó kódot, és nem a telefonszámhoz kötődik, így a SIM-csere nem viszi magával.

Az SMS-kód persze még mindig sokkal jobb, mint a semmilyen második lépés. Ha egy szolgáltatás mást nem kínál, használd azt, de ahol választhatsz, állj át alkalmazásra vagy passkey-re.

5. A tökéletes másolat: az adathalász belépőoldal

Mi történt? Zsófi levelet kapott egy ügyfele nevével: „Megosztottam veled a havi riportot.” A linkre kattintva egy pontosan olyan belépőoldal jött fel, mint amit naponta látott. Beírta a jelszavát, majd a telefonjára érkező kódot is.

Mi lett a kár? Az oldal hamis volt, a támadó pedig valós időben továbbította a jelszót és a kódot az igazi oldalra. Zsófi fiókjából aztán ugyanilyen leveleket küldött az ő ügyfeleinek.

Mi védett volna? Ennél a támadásnál egy erős jelszó semmit nem ér, hiszen te magad adod meg. A védelem máshol van:

Az adathalászat felismeréséről és a további biztonsági alapokról az adatbiztonsági alapozó cikkünk szól részletesebben.

6. Jelszó a post-iten

Mi történt? Bence a gépe mellé, a monitor szélére ragasztotta a három legfontosabb ügyfél-belépést, hogy ne kelljen mindig keresgélnie. Egy videóhívásban a kamera pont úgy állt, hogy a cetli élesen látszott.

Mi lett a kár? Szerencsére most nem történt visszaélés, de Bence nem tudhatta, ki készített képernyőképet a hívásról. Mindhárom jelszót le kellett cserélnie, és el kellett mondania az ügyfeleknek, miért.

Mi védett volna? Ha csak egyetlen jelszót kell fejben tartanod, a jelszókezelő fő jelszavát, nincs mit felírni. Ez lehet egy hosszú, de könnyen megjegyezhető mondat, három-négy véletlen szóból összerakva.

Mit mond a NIST és az NKI a jó jelszóról?

Az amerikai szabványügyi intézet, a NIST SP 800-63B irányelve a digitális azonosítás egyik legtöbbet idézett szakmai alapja. A 2025-ben véglegesített változat több régi „szabályt” is felülírt, amit sokan ma is tanítanak.

Kérdés	Mit ír a NIST?	Mit jelent neked?
Milyen hosszú legyen?	Ha csak jelszó véd, legalább 15 karakter	Hosszú mondat, ne bonyolult szó
És 2FA mellett?	Legalább 8 karakter	Ettől még ne spórolj rajta
Kell kötelező speciális karakter?	Nem szabad előírni	A hossz többet ér a trükknél
Kötelező a rendszeres csere?	Nem, csak ha gyanú van rá	Szivárgáskor cserélj azonnal
Szabad beilleszteni?	Engedni kell a jelszókezelőket	Nyugodtan használd a kitöltést

A NIST azt is előírja, hogy a szolgáltatók vessék össze az új jelszót a korábbi szivárgásokból ismert jelszavak listájával. Ha egy oldal azt írja, hogy a választott jelszavad „túl gyakori”, akkor éppen ezt teszi.

Az NKI jelszavakról szóló 2023-as elemzése legalább 12 karaktert, jelszókezelőt és többlépcsős azonosítást javasol. A két ajánlás ugyanabba az irányba mutat: ha a hosszabbat követed, mindkettőnek megfelelsz.

Ha már megtörtént: az első egy óra

Ha gyanús belépésről kapsz értesítést, vagy egy ügyfél szól, hogy furcsa levelet kapott tőled, ne pánikolj, de ne is várj. Ez a sorrend segít:

1. Lépj be egy másik, tiszta eszközről. Ha a gépedre gyanakszol, a telefonodról vagy egy másik gépről cserélj jelszót.
2. Kezdd az e-mail-fiókkal. Új, egyedi jelszó, 2FA bekapcsolása, és minden más eszköz kijelentkeztetése a biztonsági beállításokban.
3. Nézd át a továbbítási és szűrőszabályokat. A támadók gyakran itt hagynak „hátsó ajtót”, ami csendben továbbítja a leveleidet.
4. Cseréld a jelszót mindenhol, ahol ugyanazt használtad. Ilyenkor derül ki, mennyit ér, ha mindenhol egyedi volt.
5. Szólj az érintett ügyfeleknek. Röviden, tényszerűen: mi történt, mit tettél, és mire figyeljenek, például ne fizessenek új számlaszámra visszaigazolás nélkül.
6. Írd le, mi történt. Időpontok, érintett fiókok, megtett lépések. Ha ügyféladat is érintett, erre az ügyfélnek is szüksége lehet az adatvédelmi kötelezettségei miatt.

Ha Google Workspace-t használsz, a rendszergazdai beállításoknál a kétlépcsős azonosítást az egész szervezetre kötelezővé teheted. Erről a Google Workspace kisokosunkban írtunk.