Hasło już nie wystarcza. Co naprawdę chroni konto w 2026 roku: Yubico Security Key NFC, Bitwarden i KeePassXC

Przez lata branża powtarzała ten sam zestaw porad: długie hasło, duże i małe litery, cyfry, znaki specjalne, a później jeszcze kod SMS albo aplikacja uwierzytelniająca. Problem w tym, że taki model zabezpieczeń coraz częściej przegrywa nie z brutalnym łamaniem haseł, lecz z phishingiem i przejmowaniem sesji. Atakujący nie muszą dziś zgadywać sekretu. Wystarczy, że nakłonią ofiarę do zalogowania się na podstawionej stronie i przechwycą wynik całego procesu. Microsoft opisywał w 2026 roku kampanie AiTM, w których przestępcy wykorzystywali zaufane usługi Microsoft SharePoint i OneDrive do podszywania się pod legalne przepływy udostępniania plików.

Autor: Maciej Lewczuk

Jeszcze kilka lat temu pytanie brzmiało, jak wymyślić mocne hasło. Dziś brzmi inaczej, jak logować się tak, by nie dało się tego łatwo przechwycić. To ważna zmiana, bo ataki typu Adversary-in-the-Middle nie próbują „złamać” zabezpieczeń w klasyczny sposób. Ich siła polega na tym, że ofiara sama oddaje login, hasło i potwierdzenie drugiego składnika na stronie, która wygląda jak prawdziwa. Microsoft opisywał w 2026 roku wieloetapową kampanię AiTM i BEC, w której napastnicy wykorzystywali legalne przepływy udostępniania dokumentów przez Microsoft SharePoint, a potem rozwijali atak wewnątrz przejętych organizacji. Wiadomości wyglądały wiarygodnie właśnie dlatego, że odwoływały się do znanych usług i schematów pracy. To dobrze pokazuje, że stosowanie jedynie kodu SMS albo TOTP z aplikacji nie załatwia już sprawy, jeśli użytkownik loguje się w złym miejscu.

Hasło nadal jest potrzebne, ale w 2026 roku o bezpieczeństwie kont coraz częściej decyduje to, czy da się je obejść phishingiem.

Microsoft załatał rekordową liczbę dziur w Windows, a hakerski weteran od razu wypuścił nową broń - LegacyHive

W tym samym czasie rynek wyraźnie przesuwa się w stronę logowania odpornego na phishing. FIDO Alliance podaje, że na świecie aktywnie używa się już około 5 miliardów kluczy dostępu (passkeys). Co równie istotne, 90 proc. konsumentów deklaruje znajomość tego rozwiązania, 75 proc. korzysta z niego przynajmniej na części kont, a 68 proc. organizacji wdraża klucze, testuje je albo jest w trakcie stopniowego wdrażania ich dla pracowników. To nie znaczy, że hasła nagle zniknęły. Oznacza raczej, że stały się elementem przejściowym: nadal obecnym, ale coraz rzadziej traktowanym jako docelowa metoda ochrony.

Crypto Clipper wykorzystuje pliki LNK, Tor i schowek Windows do kradzieży seed phrase oraz kluczy prywatnych

W praktyce najlepiej myśleć o tym jak o trzech warstwach. Pierwsza to hasła, które nadal są potrzebne w wielu usługach. Druga to sprzętowy klucz bezpieczeństwa, taki jak Yubico Security Key NFC, który podnosi odporność na phishing tam, gdzie usługa obsługuje FIDO2 lub WebAuthn. Trzecia to menedżer haseł, czyli w tym przypadku Bitwarden albo KeePassXC, porządkujący świat kont, które jeszcze nie przeszły na passkeye. Te narzędzia nie konkurują ze sobą tak mocno, jak mogłoby się wydawać. One rozwiązują różne problemy.

Klucz zamiast hasła, jak skonfigurować Yubico

Najłatwiej zacząć od klucza sprzętowego. Yubico Security Key NFC to model z serii FIDO-only. Producent pozycjonuje go jako prosty klucz do logowania i uwierzytelniania bez dodatkowych funkcji znanych z droższych modeli YubiKey 5. Obsługiwane są standardy WebAuthn, FIDO2 CTAP1, FIDO2 CTAP2, FIDO2 CTAP2.1 oraz U2F. Klucz działa przez USB i NFC, więc można go używać zarówno na komputerze, jak i w smartfonie. Z punktu widzenia użytkownika to ważne, bo sprzętowe zabezpieczenie ma sens tylko wtedy, gdy nie leży wiecznie w szufladzie, lecz faktycznie da się z niego korzystać przy codziennym logowaniu.

Nowe obejście BitLockera w Windows 11 i Windows Server 2022/2025. Wystarczy fizyczny dostęp oraz nośnik USB

Konfiguracja takiego klucza jest zwykle prostsza, niż sugeruje marketingowy żargon wokół FIDO2. Yubico opisuje to w czterech krokach: podłącz klucz, zaloguj się do konta, wejdź w ustawienia bezpieczeństwa i wybierz opcję typu „security key”, „passkey” albo „multi-factor authentication”, a potem wykonaj instrukcje konkretnej usługi. W praktyce na Google, Microsoft czy GitHubie wygląda to bardzo podobnie. Usługa prosi o dodanie nowego klucza, przeglądarka uruchamia okno WebAuthn, a użytkownik potwierdza operację przez dotknięcie sensora albo użycie NFC. Pierwsza dobra zasada jest prosta, a mianowicie nie kończ na jednym egzemplarzu. Drugi, zapasowy klucz, potrafi oszczędzić sporo nerwów, gdy zgubimy ten podstawowy albo zostawimy go poza domem.

Imię, nazwisko i PESEL. Tyle miało wystarczyć, by wejść na cudze konto w ZUS i e-Sądzie

Co zatem stanie się z hasłami, skoro passkeye i klucze sprzętowe mają być przyszłością? Wszystko wskazuje na to, iż hasła będą z nami jeszcze dość długo. Stare systemy firmowe, mniej popularne serwisy, spora część aplikacji webowych i wiele usług spoza dużego ekosystemu Big Tech wciąż działa w starym stylu. Dlatego rozsądnym ruchem nie jest ogłoszenie „końca haseł”, tylko uporządkowanie ich zastosowania. I właśnie tu zaczynają się różnice pomiędzy aplikacjami takimi jak Bitwarden a KeePassXC.

Bitwarden: wygoda i synchronizacja

Bitwarden to podejście wygodniejsze i bardziej uniwersalne. Oficjalna dokumentacja mówi wprost, że usługa pozwala przechowywać passkeye w sejfie użytkownika i używać ich przez rozszerzenie przeglądarkowe, a także aplikacje mobilne. W praktyce oznacza to, że Bitwarden może działać nie tylko jako klasyczny menedżer haseł, ale też jako magazyn passkeyów dla usług, które już obsługują nowe logowanie. Aby to włączyć w przeglądarce, trzeba wejść do ustawień rozszerzenia i upewnić się, że zaznaczona jest opcja pytania o zapis i użycie passkeyów. Potem scenariusz jest prosty. Podczas rejestracji passkeya na stronie internetowej Bitwarden wyświetla monit o zapisanie go w sejfie. Przy następnym logowaniu wywołujemy ekran passkeya na stronie, a rozszerzenie podpowiada zapisany wpis. To rozwiązanie jest wygodne zwłaszcza wtedy, gdy użytkownik chce mieć te same dane logowania na kilku urządzeniach bez ręcznego kopiowania bazy.

Meta AI Support Assistant umożliwił przejęcia kont na Instagramie. Bot zmieniał adres e-mail i otwierał drogę do resetu hasła

Bitwarden można też zabezpieczyć od drugiej strony, czyli użyć klucza FIDO2 jako drugiego składnika logowania do samego sejfu. Oficjalna instrukcja jest dość jasna: po zalogowaniu do web appki przechodzimy do ustawień, dalej do sekcji bezpieczeństwa i dwustopniowego logowania, wybieramy metodę FIDO2 WebAuthn, nadajemy kluczowi nazwę, podłączamy go i zatwierdzamy odczyt. Serwis pozwala dodać kilka kluczy, co warto wykorzystać od razu. Praktyczny sens jest prosty. Jeśli ktoś zdobędzie hasło główne do Bitwardena, nadal nie zaloguje się bez fizycznego klucza lub innego zgodnego uwierzytelnienia. Trzeba tylko pamiętać, że zgodność zależy od aplikacji i środowiska, więc przed całkowitym przejściem na jedną metodę dobrze jest upewnić się, z których klientów Bitwardena korzystamy na co dzień.

Stary ERP, nowy koszmar. Jedna luka w PeopleSoft otworzyła hakerom drzwi do danych uczelni i firm

W 2026 roku Bitwarden poszedł też krok dalej i pozwala logować się do własnego sejfu przy użyciu passkeya. Oficjalnie działa to w web appce i rozszerzeniach dla przeglądarek bazujących na Chromium. Po wejściu do ustawień bezpieczeństwa i sekcji hasła głównego można aktywować „Log in with passkey”, utworzyć nowy passkey i nadać mu nazwę. Jeśli środowisko obsługuje PRF, passkey może nie tylko uwierzytelnić logowanie, ale też odblokować sejf bez ręcznego wpisywania hasła głównego. Tu jednak warto zachować zdrowy rozsądek, gdyż nie każda kombinacja systemu, przeglądarki i uwierzytelniacza obsługuje to równie dobrze, więc nie ma sensu na siłę rezygnować z klasycznego hasła głównego tam, gdzie środowisko nie jest jeszcze odpowiednio dojrzałe.

KeePassXC: pełna kontrola

KeePassXC to zupełnie inna filozofia. Jeśli Bitwarden stawia na wygodną synchronizację i gotowy ekosystem, KeePassXC daje użytkownikowi większą kontrolę nad miejscem przechowywania danych. Sednem programu jest lokalna, zaszyfrowana baza. Producent podkreśla, że KeePassXC przechowuje hasła w szyfrowanym pliku, a użytkownik musi pamiętać tylko jedno hasło główne. Ta prostota to zarazem siła i obowiązek. Siła, bo nikt nie narzuca konkretnej chmury. Obowiązek, bo synchronizacja i kopie zapasowe są po naszej stronie.

Firma Meta obiecała prywatność, a hakerzy dostali zaproszenie. Nowy login WhatsAppa budzi poważne obawy

Pierwsza konfiguracja KeePassXC powinna zacząć się od stworzenia nowej bazy, wyboru sposobu szyfrowania i sensownego hasła głównego. W praktyce lepiej sprawdza się długa fraza niż „sprytne” hasło z przypadkowych znaków, którego nikt nie zapamięta bez kartki. Do tego warto od razu ustalić, gdzie baza będzie przechowywana. Jeśli ktoś pracuje na jednym komputerze, lokalny plik plus regularny backup zwykle wystarczy. Jeśli używa kilku urządzeń, sens ma prywatna synchronizacja plików, ale tylko taka, którą rzeczywiście rozumiemy i umiemy odzyskać po awarii. KeePassXC nie nagradza improwizacji. Ten program najlepiej działa wtedy, gdy użytkownik od początku ma plan na kopię zapasową, porządek we wpisach i sposób przenoszenia bazy pomiędzy urządzeniami.

Microsoft załatał rekordową liczbę dziur w Windows, a hakerski weteran od razu wypuścił nową broń - LegacyHive

Najważniejsze w codziennej pracy jest doinstalowanie KeePassXC-Browser i włączenie integracji z przeglądarką. Oficjalna dokumentacja podpowiada, że integrację aktywuje się w ustawieniach programu, zaznaczając odpowiednią opcję i wybierając przeglądarki, z których chcemy korzystać. Dopiero wtedy KeePassXC zaczyna przypominać nowoczesny menedżer, a nie tylko zaszyfrowany notatnik z hasłami. Po połączeniu z rozszerzeniem można automatycznie uzupełniać dane logowania, tworzyć wpisy dla nowych serwisów i ograniczyć pokusę ręcznego kopiowania haseł. To ważne nie tylko dla wygody. Mniej ręcznej pracy zwykle oznacza mniej okazji do błędów.

AI oszukało zabezpieczenia i włamało się do infrastruktury Hugging Face. OpenAI przyznaje się do kompromitującego incydentu

Najciekawsza zmiana przyszła jednak wraz z wersją 2.7.7. KeePassXC dostał oficjalną obsługę passkeyów, a implementacja bazuje właśnie na istniejącej integracji z przeglądarką. W praktyce oznacza to, że program potrafi przechowywać i wykorzystywać passkeye do logowania w zgodnych usługach, zamiast ograniczać się do klasycznych haseł. Dla użytkownika to bardzo wygodne. Jedna baza może objąć zarówno stare konta z hasłem, jak i nowe usługi przechodzące na WebAuthn. Co istotne, projekt dodał też import z aktualnych wersji Bitwardena i 1Password, więc przesiadka nie musi oznaczać ręcznego przepisywania całego sejfu.

Jak to poukładać w praktyce

Jak to poukładać w praktyce, żeby nie zamienić bezpieczeństwa w kolejny hobby-project? Najrozsądniejszy scenariusz wygląda tak, że najważniejsze konta, czyli główny e-mail, konto Microsoft, Google, GitHub, bankowość i wszelkie usługi administracyjne, przenosimy w pierwszej kolejności na passkeye lub klucz sprzętowy tam, gdzie to możliwe. Do tego dokładamy drugi klucz zapasowy. Następnie porządkujemy całą resztę w menedżerze haseł. Jeśli liczy się wygoda, szybka synchronizacja i dostęp z wielu urządzeń, wybór zwykle padnie na Bitwardena. Jeśli ważniejsza jest lokalna baza i pełna kontrola nad plikiem z danymi, bardziej naturalnym kierunkiem będzie KeePassXC. To kwestia modelu pracy i tolerancji na samodzielne zarządzanie własnym sejfem.

Google wprowadza logowanie selfie-wideo. Żywa twarz zamiast SMS-a przy odzyskiwaniu konta Google

Warto też uczciwie powiedzieć, czego te narzędzia nie załatwiają. Klucz FIDO2 nie naprawi słabej procedury odzyskiwania konta. Menedżer haseł nie pomoże, jeśli użytkownik ignoruje aktualizacje systemu albo korzysta z zainfekowanego komputera. Passkey nie jest magicznym zaklęciem, tylko bardzo sensownym mechanizmem, który mocno ogranicza skuteczność klasycznego phishingu. Ostatecznie bezpieczeństwo nadal składa się z kilku warstw, czyli aktualnego systemu, porządku w kontach, sensownego menedżera haseł, dobrze ustawionego logowania i zapasowego planu na wypadek utraty urządzenia. Tyle że w 2026 roku ten zestaw wygląda już inaczej niż dekadę temu. Hasło nie jest już dziś centrum całego modelu ochrony. Jest tylko jednym z jego starszych elementów.