Atak słownikowy to rodzaj ataku hakerskiego polegający na próbie uzyskania dostępu do danego konta. Wykorzystuje przy tym listę prawdopodobnych haseł, na przykład pochodzących z wycieków danych z przeszłości lub haseł znajdujących się na listach najczęściej stosowanych kluczy dostępowych.

Ataki słownikowe mogą być wykorzystywane wraz z innymi metodami, których zadaniem może być m.in. uniknięcie blokady profilu po kilku nieudanych próbach logowania. Choć z pozoru mogą wydawać się nieefektywne z uwagi na mnogość kombinacji haseł, to wykorzystanie w tym celu botów powala na wykonywanie tysięcy prób w wielu witrynach jednocześnie. Coraz większy udział algorytmów AI w atakach z pewnością wpłynie na zwiększenie skuteczności hakerów w tej dziedzinie (choć z drugiej strony wspomoże także procesy szyfrowania danych).

Raport przeprowadzony przez Verizon, dotyczący naruszeń bezpieczeństwa w 2021 roku, nie pozostawia wątpliwości – aż 81% naruszeń było skutkiem złamania hasła. Dane te wydają się nieprawdopodobne, biorąc pod uwagę powszechne wykorzystanie autoryzacji dwuskładnikowej, biometrii czy chociażby haseł generowanych jednorazowo przez zewnętrzne aplikacje (np. Google Authenticator). Nowsze badania, przeprowadzone w 2023 roku w 35 krajach świata przez NordPass wskazują, że dla wielu osób tworzenie unikalnych, długich i skomplikowanych haseł jest czymś zupełnie obcym. Po raz kolejny na liście najczęściej tworzonych kluczy na podium znalazły się: 123456, admin oraz 12345678. Niedaleko za czołówką uplasowały się: password czy nieśmiertelne już: qwerty.

Na ataki słownikowe szczególnie narażone są witryny umożliwiające ustawianie bardzo prostych haseł – bez wymogów dotyczących długości i rodzaju wykorzystanych znaków. Oszuści bardzo często próbują uzyskać dostęp do profili w mediach społecznościowych (co pozwala na kradzież tożsamości i próby wyłudzeń, chociażby wśród znajomych ofiary), systemów bankowości elektronicznej oraz sklepów internetowych (co często daje dostęp do zapisanych danych płatniczych i wrażliwych danych osobowych).

Brute force a atak słownikowy – czym się różnią?

Atak typu brute force to metoda polegająca na próbie uzyskania dostępu do witryn i systemów przy użyciu generowanych po kolei haseł wykorzystujących cyfry, litery i znaki systemu kodowania ASCII. W przypadku bardziej zaawansowanych ataków brute force algorytm może uwzględniać wymagania systemu/witryny/aplikacji dotyczące tworzenia haseł i generować wyłącznie te możliwe do zastosowania w danym miejscu.

Taki rodzaj ataków wymaga jednak większej mocy obliczeniowej, dlatego z czasem zaczęto przeprowadzać ataki przy użyciu gotowych list najbardziej prawdopodobnych kluczy. W ten sposób upowszechnił się atak słownikowy. W rzeczywistości oba ataki stosowane są często hybrydowo w celu poprawy skuteczności. Atak słownikowy ze zdefiniowaną listą najbardziej prawdopodobnych kluczy pozwala złamać konta zabezpieczone powtarzającymi się hasłami, zaś brute force to furtka do kont z prostymi, ale unikalnymi hasłami, które nie znajdują się na listach wcześniej ujawnionych danych uwierzytelniających.

Ataki słownikowe mogą przybierać różne formy, a do najpopularniejszych rodzajów możemy zaliczyć:

• Proste ataki słownikowe, gdy oszuści wykorzystują gotowe listy pochodzące z wycieków bądź publicznych zestawień najpopularniejszych haseł i w zautomatyzowany sposób, za pomocą botów, próbują użyć ich w losowych witrynach.


• Ataki ze zmodyfikowanym słownikiem – w tym przypadku wykorzystuje się gotowe listy, jednak podczas używania haseł wprowadza się modyfikacje związane z wielkością liter czy wykorzystaniem znaków specjalnych.


• Ataki z wykorzystaniem słowników branżowych i specjalistycznych – próba włamania do kont np. na forach inwestycyjnych czy dotyczących kryptowalut może opierać się na wykorzystaniu listy haseł zawierających frazy dotyczące tej konkretnej dziedziny.

Oprócz ataków słownikowych i ich odmian istnieje także spora grupa innych zagrożeń o podobnej metodyce. Do tego grona można zaliczyć między innymi credential stuffing. Hakerzy wykorzystujący tę metodę wchodzą w posiadanie ogromnych zbiorów informacji, w których znajdują się pary danych uwierzytelniających (np. login/e-mail + hasło lub login + PIN). Takie dane pochodzą zazwyczaj z wycieków, które dotknęły innych witryn. Przestępca próbuje zastosować te dane w wielu miejscach w Internecie. Jeśli osoba, której hasło i login zostały wcześniej skradzione, używa tych samych kluczy do logowania do kilku kont, istnieje duże ryzyko przejęcia.

Innym przykładem metody wykorzystującej dużą skalę i zautomatyzowane działania jest password spraying. Tzw. rozpylanie haseł polega na używaniu znanych haseł w wielu miejscach w sieci po wcześniejszym ustaleniu prawdopodobnych loginów (często tę rolę pełnią dziś po prostu publiczne adresy e-mail). Hakerzy unikają wykrycia, wykonując tylko kilka prób logowania, co uniemożliwia zablokowanie konta.