Jeszcze kilka lat temu wydawało się, że klasyczne ataki brute force powoli odchodzą do historii. Coraz więcej usług korzysta z MFA, mechanizmów blokowania kont, CAPTCHA czy ograniczania liczby prób logowania. W praktyce jednak cyberprzestępcy wcale nie porzucili tej techniki – po prostu dostosowali ją do współczesnych realiów.

Autor: 7 min czytania

Raport przygotowany przez Passwork pokazuje, że brute force nadal pozostaje jedną z najczęściej wykorzystywanych metod uzyskiwania dostępu do kont i usług. Zmieniły się jednak narzędzia, cele oraz sposób prowadzenia takich kampanii. Zamiast pojedynczych komputerów próbujących odgadnąć jedno hasło, ataki są dziś rozproszone, zautomatyzowane i często wspierane przez sztuczną inteligencję.

Brute force to już nie tylko zgadywanie haseł

Wiele osób kojarzy brute force z prostym mechanizmem polegającym na sprawdzaniu kolejnych kombinacji znaków aż do trafienia właściwego hasła. W rzeczywistości współczesne kampanie wyglądają zupełnie inaczej.

Atakujący korzystają z ogromnych baz wyciekłych haseł, analizują zachowania użytkowników oraz wykorzystują reguły generujące kolejne warianty najczęściej spotykanych haseł. Dzięki temu zamiast miliardów losowych prób wykonują stosunkowo niewielką liczbę bardzo dobrze dobranych kombinacji.

Dużą rolę odgrywają cały czas narzędzia takie jak Hashcat czy John the Ripper, które potrafią wykorzystywać moc nowoczesnych kart graficznych do łamania skrótów haseł. W przypadku słabych algorytmów lub krótkich haseł czas potrzebny na ich odtworzenie może wynosić zaledwie kilka minut.

AI pomaga także atakującym

Coraz częściej do przygotowania ataków wykorzystywane są modele sztucznej inteligencji.

Nie oznacza to, że AI łamie hasła w magiczny sposób. Pomaga jednak przewidywać schematy stosowane przez użytkowników. Modele potrafią generować listy najbardziej prawdopodobnych wariantów na podstawie imion, nazw firm, lokalizacji, dat urodzenia czy popularnych wzorców stosowanych podczas tworzenia haseł.

Jeżeli wcześniej doszło do wycieku części danych organizacji, sztuczna inteligencja może znacząco zwiększyć skuteczność ataków typu password spraying lub credential stuffing, ograniczając liczbę nieudanych prób i zmniejszając ryzyko wykrycia.

Password spraying nadal działa

Jednym z najczęściej spotykanych obecnie scenariuszy nie jest klasyczny brute force skierowany przeciwko jednemu użytkownikowi. Znacznie popularniejsze stało się password spraying.

Atakujący wybierają jedno lub kilka bardzo popularnych haseł i próbują zalogować się nimi do setek lub tysięcy różnych kont. Dzięki temu omijają mechanizmy blokujące konto po kilku nieudanych próbach logowania. W dużych organizacjach nawet pojedyncze konto korzystające z prostego hasła może wystarczyć do rozpoczęcia całego łańcucha ataku.

Credential stuffing – największy problem współczesnych organizacji

Jeszcze skuteczniejszą metodą jest credential stuffing, czyli wykorzystywanie danych logowania pochodzących z wcześniejszych wycieków.

Miliony użytkowników nadal używają tych samych haseł w wielu różnych serwisach. Jeśli więc dane wyciekną z jednego portalu, przestępcy automatycznie sprawdzają je w usługach Microsoft 365, Google Workspace, portalach VPN, bankowości elektronicznej czy aplikacjach biznesowych.

Z punktu widzenia systemów bezpieczeństwa takie logowanie często wygląda całkowicie poprawnie. Użytkownik podaje prawidłowy login i prawidłowe hasło – jedyną różnicą jest to, że robi to cyberprzestępca.

Samych typów ataków brute force można wyróżnić kilka. Poniżej przedstawiamy zestawienie najpopularniejszych z nich:

Źródło: passwork.pro/blog/brute-force-attacks-in-2026

Moc GPU zmienia zasady gry

Rosnąca wydajność kart graficznych sprawia, że lokalne łamanie skrótów haseł jest coraz szybsze.

Nowoczesne układy GPU potrafią wykonywać miliardy operacji kryptograficznych na sekundę. Oznacza to, że krótkie hasła lub skróty zapisane przy użyciu przestarzałych algorytmów, takich jak MD5 czy SHA-1 bez dodatkowego salt, mogą zostać złamane w bardzo krótkim czasie. Przykładowo dla 7-znakowego hasła składającego się cyfr, małych i wielkich liter może to być kilka miesięcy. Dla 8-znakowego czas ten wydłuża się już do lat.

Znacznie lepiej radzą sobie nowoczesne funkcje przeznaczone do przechowywania haseł, takie jak Argon2id, bcrypt czy scrypt, które celowo spowalniają proces obliczeń i utrudniają wykorzystanie akceleracji GPU.

Jak wykrywać takie ataki?

Z perspektywy zespołów SOC klasyczny brute force jest dziś stosunkowo łatwy do zauważenia.

Znacznie większym wyzwaniem pozostają rozproszone kampanie prowadzone z tysięcy różnych adresów IP oraz wykorzystujące sieci residential proxy.

Warto monitorować dużą liczbę nieudanych logowań rozproszonych pomiędzy wielu użytkowników, nietypowe próby logowania z nowych krajów, gwałtowny wzrost błędów uwierzytelniania oraz logowania wykonywane z adresów IP znanych z wcześniejszych kampanii password spraying.

Coraz ważniejszą rolę odgrywa również analiza behawioralna. Jeżeli użytkownik loguje się z nowego urządzenia, w nietypowej lokalizacji i wykonuje czynności odbiegające od swojego standardowego profilu, może to wskazywać na przejęcie konta nawet wtedy, gdy hasło zostało podane poprawnie.

Czy silne hasło nadal wystarcza?

Samo silne hasło nie jest już wystarczającym zabezpieczeniem. Nawet bardzo złożone nie ochroni użytkownika, jeśli zostanie wykradzione przez phishing, malware lub wykorzystane ponownie po wcześniejszym wycieku.

Podstawą bezpieczeństwa pozostaje zatem wieloskładnikowe uwierzytelnianie (MFA), stosowanie unikalnych haseł dla każdej usługi oraz korzystanie z menedżerów haseł. Coraz więcej organizacji wdraża również rozwiązania typu passwordless oparte na kluczach sprzętowych FIDO2 lub passkeys, które skutecznie eliminują znaczną część problemów związanych z klasycznymi hasłami.

Podsumowanie

Brute force w 2026 roku wygląda zupełnie inaczej niż jeszcze 5-10 lat temu.

Zamiast prostego zgadywania kolejnych kombinacji znaków obserwujemy inteligentne, rozproszone kampanie wykorzystujące wycieki danych, analizę zachowań użytkowników, sztuczną inteligencję oraz ogromną moc obliczeniową nowoczesnych kart graficznych.

Dla organizacji oznacza to, że ochrona nie może opierać się wyłącznie na wymaganiu używania skomplikowanych haseł. Równie ważne stają się MFA, monitorowanie prób logowania, wykrywanie anomalii oraz szybkie reagowanie na wycieki poświadczeń. Współczesne ataki na hasła rzadko polegają na ich zgadywaniu – znacznie częściej wykorzystują błędy popełniane przez samych użytkowników.