Najpopularniejsze kody PIN pokazują, że cztery cyfry mogą zapewniać znacznie słabszą ochronę, niż wynikałoby z matematyki. Czterocyfrowy kod pozwala utworzyć dokładnie 10 tys. kombinacji od 0000 do 9999, lecz użytkownicy nie wybierają ich równomiernie. Najprostsze sekwencje, powtarzające się cyfry i daty występują zdecydowanie częściej, przez co potencjalny napastnik nie musi zaczynać zgadywania od losowego numeru, Santeos.pl podaje, powołując się nа dobreprogramy.pl.
W analizowanym zbiorze około 3,4 mln czterocyfrowych kombinacji numer 1234 odpowiadał za około 10,7% wszystkich rekordów. Drugi był kod 1111 z wynikiem nieco ponad 6%, a kolejne miejsca zajmowały między innymi 0000 i 1212. Dane nie oznaczają, że dokładnie taki sam odsetek klientów banków w Polsce używa tych kodów. Pokazują jednak bardzo wyraźnie, jak przewidywalne potrafią być ludzkie wybory.
Kod 1234 pozostaje największym problemem
Na pierwszy rzut oka szansa odgadnięcia konkretnego czterocyfrowego PIN-u wynosi 1 do 10 tys., czyli 0,01%. Taki rachunek jest prawdziwy tylko wtedy, gdy każdy użytkownik losowałby swój numer spośród wszystkich możliwych kombinacji z identycznym prawdopodobieństwem.
W rzeczywistości wybory mocno skupiają się wokół kilku schematów. Kod PIN 1234 jest najlepszym przykładem. W analizowanej bazie pojawiał się częściej niż co dziesiąty czterocyfrowy kod. Samo sprawdzenie jednej kombinacji mogłoby więc dawać nieporównywalnie większą szansę powodzenia niż losowe zgadywanie.
Tuż za nim znajduje się 1111. Cztery identyczne cyfry są łatwe do zapamiętania i błyskawiczne do wpisania, ale dokładnie te same zalety sprawiają, że taki numer jest oczywistym kandydatem do pierwszych prób.
Eksperci od cyberbezpieczeństwa od lat wskazują ten sam problem: człowiek tworzący kod bez użycia losowego mechanizmu bardzo często wybiera wzór, który wcześniej wybrały tysiące innych osób.
Te kody PIN występują najczęściej
Pierwsza dziesiątka doskonale pokazuje, jakie rodzaje numerów przyciągają użytkowników. Są tam rosnące sekwencje, cztery identyczne cyfry, powtarzające się pary oraz liczby przypominające okrągłe daty.
| Miejsce | Kod PIN | Udział w analizowanym zbiorze |
|---|---|---|
| 1 | 1234 | ok. 10,7% |
| 2 | 1111 | ok. 6,0% |
| 3 | 0000 | ok. 1,9% |
| 4 | 1212 | ok. 1,2% |
| 5 | 7777 | ok. 0,75% |
| 6 | 1004 | ok. 0,62% |
| 7 | 2000 | ok. 0,61% |
| 8 | 4444 | ok. 0,53% |
| 9 | 2222 | ok. 0,52% |
| 10 | 6969 | ok. 0,51% |
Pierwsze trzy kombinacje odpowiadają łącznie za blisko jedną piątą analizowanego zestawu. To ogromna koncentracja jak na system, w którym dostępnych jest 10 tys. różnych numerów.
Najgorsze kody PIN nie muszą więc mieć postaci wyłącznie 1234. Problemem są całe grupy kombinacji tworzonych według tego samego przewidywalnego pomysłu.
Łatwy PIN dobrze działa dla pamięci, ale równie dobrze działa dla osoby próbującej go odgadnąć. Cztery przypadkowe cyfry nie powinny tworzyć widocznego wzoru. Bezpieczeństwo zaczyna spadać wtedy, gdy wygoda całkowicie zastępuje losowość.
Dlaczego daty urodzenia także nie są dobrym PIN-em?
Wiele osób unika 1234, ale wybiera rozwiązanie tylko pozornie trudniejsze do odgadnięcia. Popularnym sposobem jest użycie roku urodzenia, fragmentu daty urodzin, rocznicy ślubu albo roku narodzin dziecka.
Taki PIN może wyglądać losowo dla obcej osoby, lecz sporo informacji osobistych da się znaleźć w mediach społecznościowych. Jeśli telefon lub karta trafiają do osoby, która zna właściciela albo ma dostęp do podstawowych danych o nim, liczba sensownych prób gwałtownie maleje. Rok 1987 czy układ 1205 może wtedy przestać być przypadkowym zestawem cyfr.
Widoczne są także charakterystyczne skupiska kodów rozpoczynających się od 19 oraz 20. To kolejny sygnał, że lata urodzenia i inne daty są chętnie przekształcane w czterocyfrowe zabezpieczenie.
Do szczególnie przewidywalnych schematów należą:
- cztery takie same cyfry, np. 1111, 5555 lub 7777;
- proste ciągi, takie jak 1234 albo 4321;
- dwukrotnie powtórzona para, np. 1212;
- pełny rok urodzenia;
- dzień i miesiąc urodzin zapisane czterema cyframi;
- łatwy do narysowania wzór na klawiaturze numerycznej;
- okrągłe lata i liczby, takie jak 2000.
Specjaliści bezpieczeństwa zwracają uwagę, że atakujący nie musi próbować kodów w kolejności od 0000 do 9999. Znacznie bardziej opłacalne jest rozpoczęcie od kombinacji najczęściej wybieranych przez ludzi.
Czy najrzadszy kod PIN jest automatycznie najbezpieczniejszy?
W rankingach można znaleźć również listy kombinacji, które w analizowanych bazach pojawiały się wyjątkowo rzadko. Nie należy jednak wyciągać z tego wniosku, że wystarczy przepisać jeden z takich numerów i używać go wszędzie.
Gdy bezpieczny kod PIN zostaje publicznie przedstawiony jako „najrzadszy” lub „najlepszy”, traci część swojej przewagi. Popularność konkretnego numeru w historycznej bazie nie jest też pełnym miernikiem bezpieczeństwa. Liczy się przede wszystkim to, czy kod został wybrany niezależnie od danych użytkownika i czy nie jest ponownie wykorzystywany w wielu usługach.
Przykładowe numery z grupy bardzo rzadko występujących kombinacji mogą wyglądać następująco:
| Typ PIN-u | Przykład | Ocena |
|---|---|---|
| rosnąca sekwencja | 1234 | bardzo przewidywalny |
| identyczne cyfry | 1111 | bardzo przewidywalny |
| powtarzana para | 1212 | przewidywalny |
| okrągły rok | 2000 | przewidywalny |
| data użytkownika | np. 1985 | zależny od danych osobowych |
| losowy układ | np. cztery niezależne cyfry | znacznie trudniejszy do przewidzenia |
Najlepszą zasadą nie jest więc wyszukiwanie w internecie gotowej listy „bezpiecznych PIN-ów”. Znacznie rozsądniejsze jest wygenerowanie własnego, losowego numeru i nieudostępnianie go innym osobom.
PIN do telefonu i PIN do karty to nie zawsze to samo zabezpieczenie
PIN do telefonu i kod używany do karty bankowej pełnią podobną funkcję, lecz systemy mogą inaczej reagować na błędne próby. Telefon może blokować kolejne wpisy na określony czas, wymagać dodatkowego uwierzytelnienia albo po wielu błędach zastosować bardziej restrykcyjne zabezpieczenia. W przypadku karty bankowej także istnieją limity błędnych prób.
Dlatego popularność prostych PIN-ów nie oznacza, że złodziej może bez końca wpisywać kolejne liczby. Limity prób znacznie utrudniają klasyczny atak polegający na sprawdzeniu wszystkich 10 tys. możliwości.
Jednocześnie właśnie ograniczona liczba prób zwiększa znaczenie statystyki. Jeśli można sprawdzić tylko kilka kodów, naturalnym wyborem dla atakującego będą kombinacje, które pojawiają się najczęściej.
Z punktu widzenia bezpieczeństwa trzy próby losowych numerów i trzy próby najpopularniejszych numerów nie są równoważne. Znajomość ludzkich nawyków pozwala zawęzić poszukiwania do najbardziej prawdopodobnych kombinacji.
Problem jest jeszcze większy, gdy jedna osoba ustawia identyczny PIN do kilku różnych rzeczy. Ujawnienie jednego kodu może wtedy zwiększyć ryzyko dostępu do kolejnych urządzeń lub usług.
Jak ustawić bezpieczniejszy PIN?
Nie istnieje czterocyfrowa kombinacja, której nie da się wpisać. Można natomiast znacząco utrudnić jej przewidzenie.
Pierwsza zasada to rezygnacja z informacji osobistych. Numer nie powinien być rokiem urodzenia właściciela telefonu, datą urodzin dziecka ani fragmentem numeru telefonu. Druga zasada dotyczy wzorów. Sekwencje, powtórzenia i układy geometryczne na klawiaturze są wygodne, ale zbyt oczywiste.
Przy ustawianiu PIN-u warto:
- wybrać cyfry niezwiązane z datą urodzenia ani inną publiczną informacją;
- unikać rosnących i malejących sekwencji;
- nie powtarzać jednej cyfry cztery razy;
- nie stosować tego samego kodu w kilku miejscach;
- w urządzeniach pozwalających na dłuższy kod rozważyć więcej niż cztery cyfry;
- nie zapisywać PIN-u razem z kartą lub na łatwo dostępnej notatce w telefonie.
Dłuższy kod znacząco zwiększa liczbę możliwych kombinacji. Cztery cyfry zapewniają 10 tys. wariantów, pięć już 100 tys., a sześć cyfr daje milion możliwości. W praktyce bezpieczeństwo zależy jednak również od limitów prób, sposobu przechowywania kodu przez urządzenie oraz dodatkowych zabezpieczeń.
Biometria nie oznacza, że PIN przestał mieć znaczenie
Czytnik linii papilarnych i rozpoznawanie twarzy sprawiły, że wiele osób wpisuje kod telefonu bardzo rzadko. Nie oznacza to jednak, że można ustawić 1234 i zapomnieć o problemie.
System operacyjny nadal może zażądać kodu po ponownym uruchomieniu urządzenia, po określonym czasie albo po nieudanych próbach uwierzytelnienia biometrycznego. PIN często pozostaje więc podstawowym elementem odblokowania urządzenia, nawet jeśli na co dzień użytkownik korzysta z palca lub twarzy.
Biometria poprawia wygodę, ale nie usuwa znaczenia kodu awaryjnego. Słaby PIN nadal pozostaje słabym PIN-em. Najbezpieczniej traktować oba mechanizmy jako uzupełniające się warstwy ochrony.
Warto również pamiętać o ochronie przed podglądaniem. Bardzo dobry losowy numer nie pomoże, jeśli zostanie wpisany przy osobie, która obserwuje ekran lub klawiaturę terminala.
1234 pokazuje, jak bardzo przewidywalni są użytkownicy
Popularność 1234 nie wynika z technicznej słabości czterocyfrowego formatu. Wynika z zachowania ludzi, którzy chcą szybko zapamiętać kod i równie szybko go wpisywać. W efekcie część z 10 tys. możliwych kombinacji jest niemal ignorowana, podczas gdy niewielka grupa prostych numerów występuje wielokrotnie częściej.
To najważniejsza lekcja płynąca z danych o kodach PIN w 2026 roku. Sam czterocyfrowy kod może stanowić użyteczne zabezpieczenie, szczególnie gdy system ogranicza liczbę prób. Trzeba jednak zrezygnować z 1234, 1111, 0000, dat urodzenia i innych oczywistych schematów, a w urządzeniach pozwalających na dłuższy PIN rozważyć zwiększenie liczby cyfr.
