Najczęstsze kody PIN i jak wybrać bezpieczny PIN

Ciągle słyszysz, że 1234 to najczęstszy PIN, i zastanawiasz się, czy twój da się odgadnąć równie łatwo. Pokażemy cały ranking i wzory, od których zaczyna atakujący, oraz to, jak wybrać bezpieczny PIN i jak go zmienić.

Kod PIN ma zwykle tylko cztery cyfry, a chroni kartę płatniczą, telefon i kartę SIM. Wpisujesz go przy płatności kartą i wypłacie z bankomatu, przy odblokowywaniu telefonu i po każdym jego restarcie, kiedy prosi o niego karta SIM.

Polskie serwisy niedawno znów pisały, że PIN 1234 ma co dziesiąta osoba. Opierają się przy tym na analizie haseł z wycieków, a nie na danych z banków. W tym artykule pokażemy cały ranking najczęstszych kodów PIN, co z niego wynika przy karcie z limitem trzech prób, jakie wzory atakujący sprawdza najpierw, jak wybrać bezpieczny PIN i jak go zmienić na karcie, w telefonie i na karcie SIM.

20 najczęstszych kodów PIN

Najczęściej cytowany ranking pochodzi z analizy prawie 3,4 miliona czterocyfrowych haseł z baz danych, które wyciekły do sieci. Opublikował ją w 2012 roku Nick Berry z firmy DataGenetics. Na tej samej analizie opierają się też polskie serwisy. W danych pojawiła się każda kombinacja od 0000 do 9999.

Tych 20 najpopularniejszych kodów PIN stanowi łącznie 26,83% wszystkich haseł w danych. Gdyby ludzie wybierali cyfry losowo, 20 kombinacji obejmowałoby tylko 0,2%. Sam PIN 1234 występuje częściej niż 4200 najrzadziej używanych kombinacji razem wziętych. Kod 1004 na szóstym miejscu jest popularny wśród osób mówiących po koreańsku, bo wymówiony w tym języku brzmi jak słowo „anioł”.

Co to oznacza przy limicie trzech prób

Ranking najbardziej przydaje się temu, kto znajdzie albo ukradnie twoją kartę. Karta zwykle blokuje się po trzech błędnie wpisanych kodach PIN, więc złodziej nie może sprawdzać tysięcy kombinacji.

Jeśli sięgnie po trzy najczęstsze, czyli 1234, 1111 i 0000, obejmie nimi według tych danych 18,61% kodów PIN. Gdyby wszystkie kody PIN były losowe, trzy próby obejmowałyby tylko 0,03%. Najbardziej ryzykowne są więc kody z samej góry rankingu. Przy limicie trzech prób atakujący zwykle nie dochodzi do dalszych miejsc i właśnie dlatego liczy się początek listy.

Telefon pozwala na więcej prób, ale po każdej kolejnej pomyłce trzeba czekać dłużej. Jeśli telefon jest zabezpieczony czterocyfrowym kodem, atakujący może sprawdzić także pierwszą dziesiątkę rankingu, która w danych obejmuje 23,34% czterocyfrowych kodów.

Dane pochodzą jednak z czterocyfrowych haseł, a nie z kart bankowych. Autor analizy potraktował te hasła jako przybliżenie kodów PIN. Procenty traktuj więc jako ilustrację tego, jak ludzie wybierają cyfry, a nie jako dane o polskich kartach płatniczych.

Wzory, które atakujący sprawdza najpierw

Atakujący nie musi znać dokładnego rankingu. Wystarczy mu wiedza o tym, czym ludzie kierują się przy wyborze cyfr. W danych powtarza się kilka wzorów:

• Te same cyfry. W pierwszej dwudziestce jest dziesięć takich kodów, na przykład 1111, 0000, 7777 i 4444.
• Ciągi rosnące i malejące. PIN 1234 jest na pierwszym miejscu, a 4321 na 18.
• Powtarzane pary cyfr. Należą tu 1212, 1313 i 1010, ale też 1122, w którym podwojona jest każda cyfra.
• Środkowa kolumna klawiatury. PIN 2580 jest na 22. miejscu. Na klawiaturze bankomatu albo telefonu to kolumna cyfr z góry na dół, choć na pierwszy rzut oka wygląda losowo. Na klawiaturze numerycznej komputera kolejność rzędów jest odwrócona i 7, 8, 9 są na górze, więc kolejność cyfr w tej kolumnie jest odwrotna, a 2580 wpisuje się na niej niewygodnie. Jego wysokie miejsce sugeruje zatem, że ludzie jako hasło wpisywali ten sam PIN, którego używają do karty albo telefonu.
• Lata. Rok 2000 jest na 7. miejscu, 2001 na 19., a 1984 na 26. Lata zaczynające się od 19 tworzą w danych wyraźne skupisko.
• Daty jako dzień i miesiąc. Chodzi o układy DDMM i MMDD, na przykład własne urodziny albo urodziny bliskich. W danych tworzą dużą grupę.
• Liczby z popkultury. Kod 0007 jest na 23. miejscu, 0070 na 28., a 6969 nawet na 10.

Jeśli twój PIN pasuje do któregoś z tych wzorów, zmień go. Do sprawdzenia wystarczy ta lista. Nigdzie nie wpisuj swojego kodu PIN, nawet do formularza, który obiecuje, że go sprawdzi.

Dlaczego najrzadziej używany PIN nie pomoże

Ranking podsuwa odwrotny pomysł: wybrać PIN, którego prawie nikt nie używa. W analizie najrzadziej używanym kodem był 8068, który wśród prawie 3,4 miliona haseł pojawił się tylko 25 razy.

Sam autor analizy ostrzegał jednak, że gdy „rzadki” PIN zostanie opublikowany, atakujący przesuną go wyżej na swojej liście. To samo dotyczy każdego kodu PIN, który wybierzesz dlatego, że wydaje się nietypowy. Skoro dało się do niego dojść rozumowaniem, ktoś inny może dojść do niego w ten sam sposób.

Dobry PIN nie jest więc rzadki, tylko losowy. Losowy PIN nie ma z tobą nic wspólnego, więc nie daje atakującemu żadnego punktu zaczepienia.

Jak wybrać bezpieczny PIN

Kiedy zastanawiasz się, jaki PIN wybrać, trzymaj się tych zasad:

• Losowy, a nie oparty na twoich danych. Nie używaj numeru domu, końcówki numeru telefonu, numeru rejestracyjnego samochodu ani fragmentu numeru PESEL.
• Żadnej daty, roku, ciągu ani wzoru. Nie używaj swoich ani cudzych dat i unikaj też kształtów na klawiaturze, takich jak 2580.
• W telefonie co najmniej 6 cyfr. Sześć cyfr daje 1 000 000 kombinacji zamiast 10 000. Jeśli urządzenie pozwala na dłuższy PIN, użyj go.
• Inny PIN do karty, telefonu i karty SIM. Kto pozna jeden z nich, nie zyska przez to automatycznie dostępu do pozostałych.
• Nie zapisuj PIN-u na karcie i nie noś go w portfelu. Karteczka z kodem PIN trzymana przy karcie sprawia, że PIN przestaje cokolwiek chronić.

Losowy PIN wygeneruje ci nasz generator PIN. Możesz wybrać od 4 do 12 cyfr. Domyślna długość to 6 cyfr. Cyfry pochodzą z kryptograficznego generatora liczb losowych w twojej przeglądarce, a wygenerowany PIN nie jest nigdzie wysyłany ani zapisywany. Generator odrzuca łatwe do odgadnięcia kody i losuje nowe. Pomija powtarzające się cyfry i bloki (1111, 123123), ciągi rosnące i malejące (1234, 9876), czterocyfrowe lata, daty, a także popularne kombinacje, takie jak 2580 czy 147258. Rzeczywista liczba możliwości jest więc nieco mniejsza niż teoretyczna.

Losowy PIN zapamiętasz, jeśli przez kilka dni będziesz go sobie powtarzać. Jeśli nie chcesz polegać na pamięci, zapisz go w menedżerze haseł. Podobne zasady dotyczące haseł znajdziesz w artykule Jak stworzyć silne hasło.

Sześciocyfrowy PIN nie jest automatycznie bezpieczny

Dłuższy PIN pomaga tylko wtedy, gdy cyfry są losowe. Analiza obejmowała też hasła sześciocyfrowe i wynik jest podobny. Sam kod 123456 to 11,684% sześciocyfrowych haseł, czyli ma jeszcze większy udział niż 1234 wśród czterocyfrowych. Za nim plasują się 123123 (1,370%), 111111 (1,296%), 121212 (0,623%), 123321 (0,591%), 666666 (0,577%), 000000 (0,521%) i 654321 (0,506%).

Każdy z tych ośmiu kodów opiera się na którymś z wzorów znanych z czterocyfrowych kodów PIN: ciągu, powtórzeniu albo odbiciu lustrzanym. Kod 123456 należy do pierwszych, które sprawdzi atakujący, dlatego telefon zabezpieczony tym kodem jest chroniony gorzej niż telefon z losowym czterocyfrowym PIN-em.

Jak zmienić PIN do karty, w telefonie i na karcie SIM

Karta. Wiele banków pozwala zmienić PIN w aplikacji mobilnej, w szczegółach karty. Inne umożliwiają to tylko w bankomacie, a niektóre aplikacje przynajmniej wyświetlają PIN. Jeśli nie znajdziesz tej opcji w aplikacji, pomoże ci infolinia banku.

Telefon. Otwórz Ustawienia i znajdź sekcję dotyczącą blokady ekranu. Na iPhonie, zależnie od modelu, jest to sekcja Face ID i kod albo Touch ID i kod. Przy zmianie wybierz co najmniej sześć cyfr. Jeśli wybierzesz kod, który łatwo odgadnąć, iPhone cię o tym ostrzeże. Nie ignoruj tego ostrzeżenia.

Karta SIM. PIN do karty SIM zmienisz w ustawieniach telefonu, w sekcji dotyczącej karty SIM albo zabezpieczeń. Potrzebny jest do tego aktualny PIN. Po trzech błędnych próbach karta SIM poprosi o kod PUK. Znajdziesz go na plastikowej karcie startera, z której wyłamano kartę SIM, albo w aplikacji operatora.

Częste pytania

Jaki jest najczęstszy kod PIN?

Najczęstszy jest 1234. W analizie baz danych, które wyciekły, stanowił 10,713% wszystkich czterocyfrowych haseł, czyli mniej więcej co dziesiąte. Drugie miejsce zajął 1111, a trzecie 0000. Jeśli używasz któregoś z tych trzech kodów, zmień go.

Czy PIN z daty urodzenia jest bezpieczny?

Nie. Daty należą do pierwszych rzeczy, które atakujący może sprawdzić, a datę urodzenia łatwo znajdzie w mediach społecznościowych albo w dokumentach w skradzionym portfelu. Równie słaba jest data urodzenia partnera czy dzieci, a także sam rok urodzenia.

Czy lepszy jest PIN czterocyfrowy, czy sześciocyfrowy?

Sześciocyfrowy, jeśli jest losowy. W przypadku karty o długości zwykle decyduje bank, w telefonie wybór należy do ciebie i warto ustawić co najmniej sześć cyfr. Kody takie jak 123456 czy 111111 atakujący sprawdza jednak na samym początku, tak samo jak 1234.

Co zrobić, gdy zapomnisz PIN-u do karty?

Skontaktuj się z bankiem przez aplikację mobilną albo oficjalną infolinię. Zależnie od banku zobaczysz PIN bezpośrednio w aplikacji albo dostaniesz nowy. Nie próbuj go zgadywać. Po trzech błędnych próbach karta zwykle się blokuje.

Czy bank albo operator może prosić o PIN telefonicznie lub e-mailem?

Nie. Ani bank, ani operator nie proszą o PIN przez telefon, e-mailem ani SMS-em, więc jeśli ktoś o niego prosi, to próba oszustwa. Jeśli ktoś poznał twój PIN do karty, zablokuj kartę w aplikacji albo skontaktuj się z bankiem. W przypadku kodu PIN do karty SIM skontaktuj się z operatorem, a ujawniony kod do telefonu od razu zmień.