Menjava gesla v letu 2026: znaki, tveganja in nove smernice
Gesel v letu 2026 ni treba menjati vsakih 30, 60 ali 90 dni brez razloga. Veliko pomembneje je, da jih zamenjamo takrat, ko obstaja tveganje, da so bila razkrita, ukradena, ponovno uporabljena ali zlorabljena. Preverite, kdaj je menjava gesla nujna, kako ravnati ob vdoru in zakaj so MFA, passkeys in upravitelj gesel boljša zaščita.
Zakaj redna menjava gesel ni več glavno pravilo?
V preteklosti so številna podjetja zahtevala redno menjavo gesel vsakih nekaj mesecev, pogosto na 60 ali 90 dni. Danes takšna praksa ni več priporočena kot splošno pravilo, saj lahko povzroči slabše varnostne navade. Uporabniki pri pogostih prisilnih menjavah pogosto ustvarijo predvidljive spremembe, na primer tako, da staremu geslu dodajo novo številko, mesec ali letnico. Takšno geslo je za napadalce lažje uganljivo, še posebej, če poznajo starejšo različico gesla. V letu 2026 je boljši pristop uporaba dolgih, unikatnih gesel, upravitelja gesel, večfaktorske avtentikacije in passkeys, kjer so na voljo.
- Redna menjava gesla brez razloga ni več najboljša praksa.
- Menjava na 30, 60 ali 90 dni je smiselna le, če jo zahteva posebna politika ali regulator.
- Geslo zamenjamo ob tveganju, ne zgolj zaradi koledarja.
- Pomembnejši so dolžina, unikatnost in dodatna zaščita računa.
- MFA in passkeys zmanjšajo tveganje, tudi če geslo odpove.
Kdaj morate geslo zamenjati?
Geslo morate zamenjati takrat, ko obstaja sum, da je bilo razkrito, ukradeno ali uporabljeno na okuženi napravi. Zamenjati ga morate tudi, če ste ga vpisali na sumljivo spletno stran ali če ste ga uporabljali na več različnih računih. Posebej hitro ukrepajte, če prejmete obvestilo o vdoru v storitev, neznani prijavi ali spremembi podatkov, ki je niste izvedli sami. Pri menjavi nikoli ne naredite samo majhne spremembe starega gesla, na primer z dodajanjem nove številke ali letnice. Vedno ustvarite popolnoma novo, dolgo in unikatno geslo.
Geslo zamenjajte, če:
- je bilo razkrito v vdoru,
- ste ga uporabili na več računih,
- ste ga vpisali na sumljivo ali lažno spletno stran,
- ste ga delili z drugo osebo,
- je bila naprava okužena z zlonamerno programsko opremo,
- opazite neznane prijave ali sumljivo aktivnost,
- vas storitev ali podjetje pozove k menjavi zaradi varnostnega incidenta.
Kaj pomeni varno geslo v letu 2026?
Varno geslo v letu 2026 je dolgo, unikatno in nepredvidljivo. Če je geslo edini dejavnik prijave, naj bo dolgo najmanj 15 znakov, za pomembne račune pa je priporočljivo uporabiti še daljše geslo. Ni nujno, da je geslo sestavljeno po zapletenem pravilu z obveznimi velikimi črkami, številkami in posebnimi znaki, če zaradi tega uporabnik ustvari predvidljiv vzorec. Veliko bolj pomembno je, da geslo ni pogosto uporabljeno, ni povezano z osebnimi podatki in ni bilo razkrito v preteklih vdorih. Za večino uporabnikov je najboljša rešitev upravitelj gesel, ki ustvari in varno shrani dolgo naključno geslo za vsak račun posebej.
- Uporabite najmanj 15 znakov, kadar je geslo edini faktor prijave.
- Vsak račun naj ima svoje geslo.
- Ne uporabljajte imen, rojstnih datumov ali imen podjetij.
- Ne uporabljajte znanih gesel, kot so
123456,password,qwertyaligeslo123. - Za pomembne račune uporabite upravitelja gesel.
Zakaj ista gesla na več računih pomenijo veliko tveganje?
Ponovna uporaba gesel je eden najpogostejših razlogov za prevzem uporabniških računov. Če napadalci ukradejo geslo iz ene storitve, ga pogosto samodejno preizkusijo še na drugih spletnih straneh. Tak napad se imenuje credential stuffing in je zelo uspešen, kadar uporabniki isto geslo uporabljajo za e-pošto, družbena omrežja, spletne trgovine, poslovne aplikacije ali bančne storitve. Posebej nevarno je, če je ogroženo geslo za e-poštni račun, ker se prek e-pošte pogosto ponastavljajo gesla za druge storitve. Zato mora biti vsako pomembno geslo unikatno.
- E-pošta naj ima posebno močno in unikatno geslo.
- Gesla za službene račune naj bodo ločena od zasebnih.
- Gesla za banko, e-pošto in upravitelj gesel naj se nikoli ne ponovijo drugje.
- Če je bilo geslo uporabljeno na več mestih, ga zamenjajte povsod.
- Najbolj varno je, da gesla ustvarja in hrani upravitelj gesel.
Kaj storiti po vdoru ali sumljivi prijavi?
Če prejmete obvestilo o vdoru, sumljivi prijavi ali spremembi gesla, morate ukrepati takoj. Najprej zamenjajte geslo na prizadeti storitvi in preverite, ali ste isto geslo uporabljali še kje drugje. Nato preverite aktivne prijave, povezane naprave, e-poštne naslove za obnovitev računa in varnostne nastavitve. Odjavite vse neznane naprave in vklopite večfaktorsko avtentikacijo, če še ni vključena. Če gre za službeni račun, incident prijavite odgovorni osebi za informacijsko varnost ali IT podpori.
Koraki po sumu zlorabe:
- takoj zamenjajte geslo,
- preverite, ali je bilo isto geslo uporabljeno še kje,
- odjavite neznane naprave in aktivne seje,
- preverite obnovitvene e-poštne naslove in telefonske številke,
- vklopite MFA ali passkeys,
- spremljajte nadaljnjo sumljivo aktivnost.
Ali je geslo treba zamenjati po uporabi javnega računalnika?
Geslo je priporočljivo zamenjati, če ste se prijavili na javnem računalniku, tuji napravi ali omrežju, ki mu ne zaupate. Tveganje je večje, če ne veste, ali je bila naprava posodobljena, ali ima nameščeno zlonamerno programsko opremo ali ali beleži vnesene podatke. Če ste se prijavili v pomemben račun, se po uporabi vedno odjavite in preverite aktivne seje. Pri občutljivih storitvah je smiselno geslo zamenjati in vklopiti dodatno zaščito. Še bolje je, da se v pomembne račune ne prijavljate na javnih ali neznanih napravah.
- Ne shranjujte gesel v brskalnik na tuji napravi.
- Po uporabi javnega računalnika se vedno odjavite.
- Preverite aktivne prijave in naprave.
- Za pomembne račune uporabite MFA.
- Če sumite tveganje, geslo takoj zamenjajte.
Zakaj MFA ni več samo priporočilo, ampak nujna zaščita?
Tudi zelo močno geslo ne pomaga, če ga napadalec pridobi s phishingom, zlonamerno programsko opremo ali krajo podatkov. Večfaktorska avtentikacija, znana kot MFA ali 2FA, doda dodatno plast zaščite. To pomeni, da napadalec za prijavo ne potrebuje samo gesla, ampak tudi drugi dokaz, na primer aplikacijo za potrjevanje prijav, varnostni ključ ali passkey. SMS kode so boljše kot nič, vendar niso najvarnejša oblika dodatne zaščite. Za pomembne račune uporabite aplikacijo za avtentikacijo, FIDO2 varnostni ključ ali passkeys, kjer so na voljo.
Priporočena zaščita:
- najboljše: passkeys ali FIDO2 varnostni ključ,
- zelo dobro: aplikacija za potrjevanje prijav,
- sprejemljivo: SMS koda, če boljša možnost ni na voljo,
- slabo: samo geslo brez dodatne zaščite.
Kaj so passkeys in zakaj jih uporabiti?
Passkeys so sodobnejši način prijave, ki zmanjšuje odvisnost od klasičnih gesel. Namesto vpisovanja gesla prijavo potrdite z napravo, PIN kodo, prstnim odtisom ali prepoznavo obraza. Njihova velika prednost je, da so odpornejši proti phishingu, saj se skrivnost za prijavo ne vpisuje na spletno stran in je napadalec ne more preprosto ukrasti z lažno prijavno stranjo. Passkeys so vezani na pravo storitev, zato jih ni mogoče ponovno uporabiti na drugi domeni. Kjer storitev podpira passkeys, jih je smiselno uporabiti kot prvo izbiro.
Passkeys uporabite predvsem za:
- e-poštne račune,
- Google, Apple in Microsoft račune,
- upravitelje gesel,
- poslovne aplikacije,
- spletno banko, kjer je podprto,
- družbena omrežja.
Kako preveriti, ali je bilo geslo razkrito?
Številna gesla se po vdorih pojavijo v javno znanih zbirkah razkritih podatkov. Upravitelji gesel in nekatere varnostne storitve lahko opozorijo, če je bilo vaše geslo ali uporabniški račun povezan z znanim vdorom. Če prejmete takšno opozorilo, geslo takoj zamenjajte in preverite, ali ste ga uporabljali še na drugih storitvah. Ne uporabljajte majhne spremembe starega gesla, temveč ustvarite popolnoma novo. Pri pomembnih računih hkrati vklopite MFA ali passkeys.
Po razkritju gesla:
- zamenjajte geslo na prizadeti storitvi,
- zamenjajte geslo povsod, kjer ste uporabili enako kombinacijo,
- preverite aktivne prijave,
- vklopite dodatno zaščito,
- preverite varnostne nastavitve računa,
- spremljajte morebitne nove poskuse prijave.
Najpogostejše napake pri menjavi gesel
Najpogostejša napaka je, da uporabnik ob menjavi gesla spremeni samo zadnjo številko ali letnico. Če je bilo staro geslo kompromitirano, lahko napadalec takšno spremembo hitro ugane. Druga pogosta napaka je ponovna uporaba istega gesla na več računih. Nevarno je tudi shranjevanje gesel v nezaščitenih dokumentih, zapiskih, e-poštnih sporočilih ali klepetih. Gesel ne delite s sodelavci, prijatelji ali družinskimi člani, ampak uporabite varne načine deljenja v upravitelju gesel, kadar je to res potrebno.
Izogibajte se:
- dodajanju nove številke na konec starega gesla,
- uporabi istega gesla za več računov,
- geslom z imenom podjetja ali storitve,
- geslom z osebnimi podatki,
- shranjevanju gesel v nezaščitenih zapiskih,
- pošiljanju gesel prek e-pošte ali sporočil.
Praktično pravilo za leto 2026
Najboljše pravilo za leto 2026 je preprosto: geslo zamenjajte ob tveganju, ne zgolj zaradi datuma. Če uporabljate dolgo, unikatno geslo, upravitelj gesel in MFA, periodična menjava brez razloga običajno ne poveča varnosti. Če pa obstaja sum zlorabe, razkritje v vdoru, uporaba na lažni strani ali ponovna uporaba gesla na več računih, je menjava nujna. Kjer je mogoče, uporabite passkeys, saj so varnejša in uporabniku prijaznejša alternativa klasičnim geslom. Za račune, kjer passkeys niso podprti, naj bo kombinacija upravitelja gesel in MFA osnovni varnostni standard.
Priporočen vrstni red zaščite:
- uporabite passkeys, kjer so na voljo,
- za ostale račune uporabite upravitelja gesel,
- vsak račun naj ima unikatno geslo,
- vklopite MFA za pomembne račune,
- gesla preverjajte proti znanim razkritim bazam,
- geslo zamenjajte takoj ob sumu zlorabe.
Zaključek
Gesla v letu 2026 ne menjamo več zato, ker je poteklo 30, 60 ali 90 dni, temveč zato, ker obstaja varnostno tveganje. Najpomembnejši razlogi za menjavo so vdor, sumljiva prijava, uporaba istega gesla na več računih, vpis na lažno stran ali okužena naprava. Pri menjavi vedno ustvarite popolnoma novo in unikatno geslo, po možnosti z upraviteljem gesel. Za pomembne račune vklopite MFA, kjer je mogoče, pa uporabite passkeys. Tako zmanjšate možnost kraje računa tudi takrat, ko klasično geslo ni več dovolj.
