Klikasz, zapominasz, ryzykujesz. Dlaczego zgody i hasła nas zawodzą

Opublikowano: 4 września 2026

Klikasz, zapominasz, ryzykujesz. Dlaczego zgody i hasła nas zawodzą

Klikasz, zapominasz, ryzykujesz. Dlaczego zgody i hasła nas zawodzą

Wyobraź sobie zwykły wtorek rano. Siedzisz przy stole z kawą, przeglądasz pocztę na telefonie. Otwierasz link z banku – „Zmiana ustawień konta”. Wpisujesz stare hasło, zatwierdzasz MFA, akceptujesz nową politykę prywatności. Wszystko trwa trzydzieści sekund. Potem idziesz do pracy, a wieczorem dowiadujesz się, że ktoś włamał się na Twoje konto przez fałszywy link.

To zdarza się częściej, niż mogłoby się wydawać. Nie dlatego, że ludzie są nieuważni. Dlatego, że system prosi ich o zbyt wiele decyzji o bezpieczeństwie, zbyt często – i w momentach, kiedy nie mają na to ani uwagi, ani czasu.

Co się właściwie dzieje, kiedy klikasz „akceptuj” dziesięć razy dziennie?

Twoja uwaga jest ograniczonym zasobem. Każde pytanie o zgodę, każde hasło do wpisania, każde powiadomienie MFA zużywa ją kawałek po kawałku. Kiedy pytań jest za dużo, przestajesz je analizować – zaczynasz klikać odruchowo. I wtedy zgoda, która miała Cię chronić, staje się tylko kolejnym kliknięciem w logu.

Mówi się o tym od lat. Już w 2011 roku badacze z NIST (Narodowego Instytutu Standaryzacji i Technologii w USA) przeprowadzili wywiady z 40 osobami w różnym wieku i zawodach — wyniki opublikowali w 2016 roku. U 62,5 procent badanych – w 25 z 40 przeprowadzonych wywiadów – pojawiło się zjawisko, które nazwali zmęczeniem bezpieczeństwem, i było ono jednym z najczęściej powtarzających się wątków całego badania.

Ludzie nie ignorowali ostrzeżeń z lenistwa – ich zmęczenie objawiało się konkretnie: unikaniem decyzji dotyczących bezpieczeństwa, wybieraniem najłatwiejszej dostępnej opcji, decyzjami podejmowanymi pod wpływem impulsu. Robili to, wiedząc, że ryzyko istnieje – to nie był brak wiedzy, tylko wyczerpanie. Część z nich porzucała zakupy, byle nie zakładać konta, i ignorowała komunikaty bezpieczeństwa – niektórzy uważali też, że nie są dość ważni, żeby ktoś ich zaatakował.

Badanie nie mierzyło, ile dokładnie zgód dziennie prowadzi do załamania czujności – po prostu nie znaleziono badania, które mierzyłoby to wprost. Ale uczestnicy opisywali, jak zarządzali 25-30 różnymi hasłami – i to już w 2011 roku, gdy wcześniej w pracy mieli zwykle jedno.

Co mówią badania?

Badanie NIST (wywiady z 2011 roku, publikacja z 2016) pokazuje, że zmęczenie bezpieczeństwem nie jest wymysłem. To realny problem, który wpływa na decyzje ludzi, nawet jeśli wiedzą, że powinni być ostrożni.

Autorzy badania rekomendują coś zaskakującego: zamiast dodawać kolejne warstwy zabezpieczeń, należy je odjąć. Ich zdaniem systemy powinny podejmować za użytkownika tyle decyzji o bezpieczeństwie, ile to możliwe. Ludzie nie są w stanie stale utrzymywać wysokiej czujności – i nie powinno się od nich tego oczekiwać.

Rynek zaczyna na to reagować. Według badania FIDO Alliance z września 2024 roku (na zlecenie dostawców rozwiązań passwordless – firm Axiad, HID i Thales), 87 procent firm w USA i Wielkiej Brytanii wdrożyło już passkeys – cyfrowe klucze, które zastępują tradycyjne hasła – albo jest w trakcie wdrażania. 77 procent z nich zgłasza mniej zgłoszeń do działów pomocy technicznej po zmianie. Warto pamiętać, że to deklaracje samych firm, a nie niezależny pomiar skutków.

Czego badania nie mówią?

Te dane nie są idealne. Badanie NIST było jakościowe – oparte na wywiadach, nie na pomiarach. Nie mówi, ile dokładnie zgód dziennie prowadzi do utraty czujności. Badanie FIDO to deklaracje samych firm, nie niezależny pomiar liczby incydentów czy strat – mówią, co firmy sądzą, że osiągnęły, a nie co faktycznie się zmieniło.

Gdy zgoda staje się rutyną

Każde pytanie „czy się zgadzasz”, „czy na pewno”, „wpisz hasło” zużywa ten sam zasób uwagi. Gdy pytań jest za dużo, przestajesz je czytać – a wtedy pytanie przestaje cokolwiek chronić, bo zgoda klikana odruchowo nie jest zgodą. Dokładnie na tym opiera się MFA fatigue: napastnik wysyła powiadomienie o logowaniu po powiadomieniu, aż zmęczony użytkownik zatwierdzi jedno, żeby mieć święty spokój.

To samo dotyczy asystentów AI. Jeśli agent pyta o zgodę przy każdej operacji, zaczynasz klikać „tak” bez czytania – i pierwsza naprawdę groźna operacja przechodzi tak samo gładko jak setka nieszkodliwych. Zgoda, która jest rutyną, nie jest zabezpieczeniem. Jest tylko zapisem w logu.

Co robić

  1. Zmniejsz liczbę decyzji zamiast zwiększać swoją czujność. Czujność się kończy, konfiguracja nie.
  2. Menedżer haseł nie służy do zapamiętywania haseł, tylko do tego, żeby hasło NIE wpisało się na fałszywej stronie – autouzupełnianie nie zadziała na domenie, której menedżer nie zna. To jest właściwy powód, dla którego warto go mieć.
  3. Nigdy nie wpisuj hasła ręcznie na stronie, na którą trafiłeś z linku w mailu albo SMS-ie. Wejdź z zakładki albo wpisz adres sam. Ręczne wpisywanie omija jedyną bramkę, która działa.
  4. Passkey albo klucz sprzętowy tam, gdzie się da (poczta, bank, konto Google). To jedyna metoda, której phishing nie obchodzi, bo nie ma czego przekazać oszustowi.
  5. Powiadomienie MFA, którego nie wywołałeś, to nie jest usterka. To znaczy, że ktoś ma już Twoje hasło. Odrzuć je i natychmiast zmień hasło – nie zatwierdzaj, żeby „przestało dzwonić”.
  6. Zgody w aplikacjach przeglądaj partiami, raz na jakiś czas, na spokojnie – zamiast decydować w biegu przy każdym oknie. Decyzja podjęta w biegu jest zawsze na „tak”.
  7. Przy asystentach AI i wtyczkach: nie zgadzaj się na dostęp, którego nie umiesz opisać jednym zdaniem. Jeśli nie wiesz, po co narzędziu Twoja poczta, to znaczy, że nie jest mu potrzebna.

Test na 5 minut

Otwórz historię przeglądarki i policz, ile razy w ostatnim tygodniu kliknąłeś „akceptuję” na banerze cookies albo w oknie zgody. Potem spróbuj przypomnieć sobie treść choćby jednej z tych zgód. Jeśli nie potrafisz – to jest właśnie ten moment, w którym Twoja zgoda przestała cokolwiek znaczyć.

Źródła

Ten artykuł jest częścią serii „Bezpieczne używanie AI” na barnabaai.com.

Ten tekst powstał przy udziale narzędzi AI. Treść merytoryczna została sprawdzona przez autora.

sofi - neutral