Nejčastější PIN kódy a jak vybrat bezpečný PIN

Stále slýcháte, že 1234 je nejčastější PIN, a přemýšlíte, jestli ten váš nejde uhodnout stejně snadno. Ukážeme si celý žebříček, vzory, které útočník zkouší jako první, jak vybrat bezpečný PIN a jak ho změnit.

PIN kód má obvykle jen čtyři číslice, a přesto chrání platební kartu, mobil i SIM kartu. Zadáváte ho při placení kartou a při výběru z bankomatu, při odemykání telefonu a po každém restartu mobilu, když si ho vyžádá SIM karta.

České weby nedávno znovu psaly, že PIN 1234 má každý desátý člověk. Vycházejí přitom z analýzy uniklých hesel, ne z údajů bank. V tomto článku si ukážeme celý žebříček nejčastějších PIN kódů, co z něj plyne pro kartu s limitem tří pokusů, které vzory útočník zkouší jako první, jak vybrat bezpečný PIN a jak ho změnit na kartě, v mobilu a na SIM kartě.

20 nejčastějších PIN kódů

Nejčastěji citovaný žebříček pochází z analýzy téměř 3,4 milionu čtyřmístných hesel z uniklých databází, kterou v roce 2012 zveřejnil Nick Berry ze společnosti DataGenetics. Ze stejné analýzy vycházejí i české weby. V datech se objevila každá kombinace od 0000 do 9999.

Těchto 20 nejpoužívanějších PIN kódů tvoří celkem 26,83 % všech hesel v datech. Kdyby lidé čísla vybírali náhodně, 20 kombinací by pokrylo jen 0,2 %. Samotný PIN 1234 je častější než 4 200 nejméně používaných kombinací dohromady. Kód 1004 na šestém místě je oblíbený u lidí, kteří mluví korejsky, protože vyslovený v korejštině zní jako slovo anděl.

Co to znamená u karty s limitem tří pokusů

Žebříček je nejužitečnější pro toho, kdo vaši kartu najde nebo ukradne. Karta se obvykle zablokuje po třetím chybném zadání PIN kódu, takže zloděj nemá prostor zkoušet tisíce kombinací.

Pokud sáhne po třech nejčastějších, tedy 1234, 1111 a 0000, pokryje podle těchto dat 18,61 % PIN kódů. Kdyby byly všechny PIN kódy náhodné, tři pokusy by pokryly jen 0,03 %. Nejrizikovější jsou tedy kódy úplně nahoře v žebříčku. Při limitu tří pokusů se útočník k dalším místům zpravidla nedostane, a právě proto rozhoduje začátek seznamu.

Telefon dovolí víc pokusů, ale po každém dalším omylu je třeba čekat déle. Pokud je mobil zamčený čtyřmístným kódem, útočník může vyzkoušet i první desítku žebříčku, která v datech pokrývá 23,34 % čtyřmístných kódů.

Data však pocházejí ze čtyřmístných hesel, ne z bankovních karet. Autor analýzy použil hesla jako náhradu za údaje o PIN kódech. Procenta proto berte jako ilustraci toho, jak lidé čísla vybírají, ne jako měření českých platebních karet.

Vzory, které útočník zkouší jako první

Útočník nepotřebuje znát přesný žebříček. Stačí mu vědět, podle čeho si lidé čísla vybírají. V datech se opakuje několik vzorů:

• Stejné číslice. Mezi prvními 20 místy je jich deset, například 1111, 0000, 7777 a 4444.
• Vzestupné i sestupné řady. PIN 1234 je na prvním místě a 4321 na 18. místě.
• Opakovaná dvojčíslí. Patří sem 1212, 1313 a 1010, ale také 1122, kde se zdvojuje každá číslice.
• Prostřední sloupec klávesnice. PIN 2580 je na 22. místě. Na klávesnici bankomatu nebo telefonu jde o sloupec číslic shora dolů, i když na pohled působí náhodně. Na numerické klávesnici počítače je pořadí řádků obrácené a 7, 8, 9 jsou nahoře, takže stejný sloupec tam vede opačně a 2580 se na ní píše nepohodlně. Jeho vysoké místo proto naznačuje, že lidé jako heslo opakovali PIN, který používají u karty nebo v telefonu.
• Roky. Rok 2000 je na 7. místě, 2001 na 19. a 1984 na 26. Letopočty začínající číslicemi 19 tvoří v datech viditelný pás.
• Datum jako den a měsíc. Jde o tvary DDMM a MMDD, například vlastní narozeniny nebo narozeniny blízkých. V analýze tvoří výrazný blok.
• Čísla z popkultury. Kód 0007 je na 23. místě, 0070 na 28. a 6969 dokonce na 10.

Pokud váš PIN odpovídá některému z těchto vzorů, změňte ho. Ke kontrole stačí tento seznam. PIN nikam nezadávejte, ani do formuláře, který slibuje, že ho ověří.

Proč nepomůže vybrat si nejméně používaný PIN

Nabízí se i opačný nápad: zvolit si PIN, který skoro nikdo nepoužívá. V analýze byl nejméně používaným PIN kódem 8068, který se v celém vzorku téměř 3,4 milionu hesel objevil jen 25krát.

Sám autor analýzy však upozornil, že když se „vzácný“ PIN zveřejní, útočníci si ho ve svém seznamu posunou výš. Stejně to platí pro každý PIN, který si vyberete proto, že působí neobvykle. Pokud jste na něj přišli úvahou, může na něj stejnou úvahou přijít i někdo jiný.

Dobrý PIN tedy není vzácný, ale náhodný. Náhodný PIN s vámi nijak nesouvisí, takže útočníkovi nedává nic, od čeho by mohl začít.

Jak vybrat bezpečný PIN

Když zvažujete, jaký PIN zvolit, držte se těchto zásad:

• Náhodný, ne odvozený z vašich údajů. Nepoužívejte číslo domu, konec telefonního čísla, registrační značku auta ani část rodného čísla.
• Žádné datum, rok, řada ani vzor. Nepoužívejte vlastní ani cizí datum a vyhněte se i tvarům na klávesnici, jako je 2580.
• Na telefonu alespoň 6 číslic. Šest číslic dává 1 000 000 kombinací místo 10 000. Pokud zařízení dovolí delší PIN, použijte ho.
• Jiný PIN pro kartu, telefon a SIM. Kdo zjistí jeden z nich, nezíská tím automaticky přístup i k ostatním.
• PIN si nepište na kartu ani na papírek v peněžence. S papírkem uloženým u karty ztrácí PIN smysl.

Náhodný PIN vám vytvoří náš generátor PIN. Můžete zvolit 4 až 12 číslic, výchozí délka je 6. Číslice bere z kryptografického generátoru náhodných čísel ve vašem prohlížeči a vygenerovaný PIN nikam neodesílá ani neukládá. Snadno uhodnutelné kódy zahodí a vygeneruje nové. Vynechá kódy tvořené opakováním jedné číslice nebo bloku (1111, 123123), vzestupné i sestupné řady (1234, 9876), čtyřmístné roky, kódy ve tvaru data i oblíbené kombinace jako 2580 nebo 147258. Skutečný počet možností je proto o něco nižší než teoretický.

Náhodný PIN si zapamatujete, když si ho několik dní opakujete. Pokud se nechcete spoléhat na paměť, uložte si ho do správce hesel. Podobné zásady pro hesla najdete v článku Jak vytvořit silné heslo.

Šestimístný PIN není automaticky bezpečný

Delší PIN pomáhá jen tehdy, když jsou číslice náhodné. Analýza zahrnovala i šestimístná hesla a výsledek je podobný. Samotný kód 123456 tvoří 11,684 % šestimístných hesel, tedy ještě větší podíl než 1234 mezi čtyřmístnými. Za ním následují 123123 (1,370 %), 111111 (1,296 %), 121212 (0,623 %), 123321 (0,591 %), 666666 (0,577 %), 000000 (0,521 %) a 654321 (0,506 %).

Všech osm vychází ze stejných vzorů jako čtyřmístné PIN kódy: řada, opakování a zrcadlo. Kód 123456 patří k prvním, které útočník vyzkouší, a proto je telefon zamčený tímto kódem chráněn hůř než telefon s náhodným čtyřmístným PIN kódem.

Jak změnit PIN na kartě, v mobilu a na SIM kartě

Karta. Mnoho bank umožňuje změnit PIN v mobilní aplikaci v detailu karty. Jiné to dovolí jen ve svých bankomatech a některé aplikace PIN alespoň zobrazí. Pokud postup v aplikaci nenajdete, poradí vám zákaznická linka banky.

Telefon. Otevřete Nastavení a najděte část o zámku obrazovky. Na iPhonu jde podle modelu o sekci Face ID a kód, nebo Touch ID a kód. Při změně zvolte alespoň šest číslic. Pokud zvolíte kód, který jde snadno uhodnout, iPhone vás na to upozorní. Toto upozornění neignorujte.

SIM karta. PIN k SIM kartě změníte v nastavení telefonu v části o SIM kartě nebo o zabezpečení. Potřebujete k tomu současný PIN. Po třech chybných pokusech si SIM karta vyžádá PUK kód. Najdete ho na plastovém nosiči, ze kterého jste SIM kartu vylomili, nebo v aplikaci operátora.

Časté otázky

Jaký je nejčastější PIN kód?

Nejčastější je 1234. V analýze uniklých databází tvořil 10,713 % všech čtyřmístných hesel, tedy zhruba každé desáté. Na druhém místě skončil 1111, na třetím 0000. Pokud některý z těchto tří kódů používáte, změňte ho.

Je PIN z data narození bezpečný?

Není. Datum patří k prvním věcem, které může útočník zkoušet, a datum narození snadno zjistí ze sociálních sítí nebo z dokladů v ukradené peněžence. Stejně slabé je datum narození partnera či dětí i samotný rok narození.

Je lepší čtyřmístný, nebo šestimístný PIN?

Šestimístný, pokud je náhodný. U karty o délce většinou rozhoduje banka, u telefonu si ji vybíráte sami a vyplatí se zvolit alespoň šest číslic. Kódy jako 123456 nebo 111111 ale útočník zkouší hned na začátku, stejně jako 1234.

Co dělat, když zapomenu PIN ke kartě?

Obraťte se na banku přes mobilní aplikaci nebo oficiální zákaznickou linku. Některé banky vám PIN zobrazí přímo v aplikaci, jiné vydají nový. Nezkoušejte ho hádat. Po třech chybných pokusech se karta obvykle zablokuje.

Může po mně banka nebo operátor chtít PIN po telefonu nebo e-mailem?

Ne. Banka ani operátor po vás PIN po telefonu, e-mailem ani v SMS nechtějí, takže když o něj někdo žádá, jde o podvod. Pokud jste prozradili PIN ke kartě, zablokujte kartu v aplikaci nebo kontaktujte banku. Jde-li o PIN k SIM kartě, obraťte se na operátora. Prozrazený kód k odemčení telefonu si hned změňte.