Čtyřmístné kódy, které lidé používají k zabezpečení účtů, zařízení nebo platebních karet, často nejsou zdaleka tak náhodné, jak by se mohlo zdát. Analýza téměř 3,4 milionu uniklých čtyřmístných kódů, kterou v roce 2012 zveřejnil datový analytik Nick Berry z DataGenetics, ukázala výrazné vzorce v tom, jaké kombinace lidé volí.
Výsledky ale nelze přímo považovat za statistiku současných PINů platebních karet. Berry analyzoval kódy z uniklých databází a použil je jako vzorek pro zkoumání lidského chování při volbě číselných kombinací. Přesto analýza ukazuje, že některé kódy jsou výrazně oblíbenější než jiné.
1234 používá více než desetina analyzovaných kódů
Z deseti tisíc možných čtyřmístných kombinací se v analyzovaném souboru nejčastěji objevoval kód 1234. Tvořil přibližně 10,7 procenta všech analyzovaných kombinací.
Na druhém místě skončilo 1111 s podílem přibližně 6,0 procenta a třetí bylo 0000, které představovalo zhruba 1,9 procenta. Tyto tři kombinace dohromady tvořily přibližně 18,6 procenta analyzovaného souboru.
Mezi další často používané kombinace patřily například 1212, 7777, 1004, 2000, 4444 nebo 2222. Prvních dvacet kombinací z tabulky pokrývalo podle Berryho analýzy přibližně 26,8 procenta všech záznamů.
Výsledky ukazují především na tendenci lidí používat snadno zapamatovatelné číselné vzorce namísto náhodně zvolených kombinací.
Časté jsou opakující se číslice i jednoduché vzory
Mezi oblíbené kódy patří kombinace tvořené čtyřmi stejnými číslicemi, například 1111, 7777 nebo 4444. Časté jsou také vzorce založené na opakování dvojic, například 1212 nebo 1122.
Výrazně zastoupené jsou také číselné řady. Kód 1234 je v analyzovaném souboru vůbec nejčastější, zatímco jeho obrácená varianta 4321 se rovněž objevila mezi výrazně používanými kombinacemi.
Lidé při volbě kódu využívají také čísla, která mají pro ně nějaký význam. Může jít například o rok narození, datum narození nebo jiný snadno zapamatovatelný údaj. V analýze se objevovaly také kombinace spojené s kulturou a popkulturou, například 0007 jako odkaz na Jamese Bonda nebo 1984 podle názvu románu George Orwella.
Výrazným příkladem je také kombinace 2580, která se v Berryho analýze umístila na 22. místě. Na standardní numerické klávesnici totiž tvoří svislou řadu.
Statistiky nelze přímo přenést na platební karty
Čísla z původní analýzy je ale nutné interpretovat opatrně. Nejde o databázi PINů skutečných platebních karet. Berry pracoval s uniklými čtyřmístnými kódy a výsledky použil k analýze toho, jak lidé volí číselná hesla.
Nelze proto tvrdit, že člověk, který ztratí platební kartu, má například při třech pokusech téměř dvacetiprocentní pravděpodobnost, že útočník jeho PIN uhodne. Takový závěr by přenášel výsledky historického souboru uniklých hesel přímo na bankovní karty, což data neumožňují.
U platebních karet navíc existují bezpečnostní mechanismy omezující počet chybných pokusů. Banky zároveň doporučují PIN chránit před odpozorováním a nepoužívat snadno zjistitelné kombinace.
PIN by neměl souviset s osobními údaji
Bezpečnostní doporučení bank se shodují v tom, že PIN by neměl být snadno odvoditelný. Nevhodnou volbou je například rok narození, datum narození nebo několik stejných číslic.
Důvod je jednoduchý. Pokud někdo získá platební kartu společně s dalšími osobními údaji jejího majitele, může se pokusit právě takové kombinace vyzkoušet. Riziko představují také kódy založené na jednoduchých sekvencích nebo vizuálních vzorcích.
Při zadávání PINu je zároveň vhodné zakrýt klávesnici rukou, aby čísla nemohl někdo odpozorovat. Ochrana PINu je důležitá nejen u bankomatů, ale také při placení kartou na terminálu.
Neexistuje jeden „nejbezpečnější“ PIN
Původní analýza uvádí také kombinace, které se v souboru objevovaly jen velmi zřídka. Nejčastěji se v této skupině uvádí například 8068.
Nízká četnost v historické databázi ale neznamená, že jde o bezpečný PIN. Jakmile je konkrétní kombinace veřejně označena jako „nejméně používaná“, ztrácí smysl ji považovat za tajnou nebo mimořádně bezpečnou.
Bezpečnější je proto zvolit náhodnou kombinaci, která není spojena s osobními údaji a nevytváří snadno rozpoznatelný vzorec. Stejně důležité je samotný PIN nikomu nesdělovat a při jeho zadávání zabránit tomu, aby jej někdo mohl odpozorovat.
Analýza Nicka Berryho tak ani po letech neukazuje konkrétní „zázračně bezpečný“ PIN. Ukazuje především to, že lidé při výběru číselných kódů často dávají přednost jednoduchosti a zapamatovatelnosti před náhodností. Právě předvídatelné kombinace proto patří mezi ty, kterým je vhodné se při zabezpečení vyhnout.