Objavljeno 31. svibnja 2026.Aron Balog

Jedna lozinka za sve je najgora stvar koju radite online — zašto vam treba password manager

Analiza 19 milijardi kompromitiranih lozinki pokazala je da je 94% reused. Što je credential stuffing, zašto browser nije dovoljan i koji alat odabrati.

Ruke koriste TAN generator pokraj laptopa za sigurno online bankarstvo

Između travnja 2024. i travnja 2025. istraživači su analizirali 19 milijardi lozinki koje su procurile u raznim napadima. Zaključak je bio zabrinjavajuć: 94% lozinki je reused — ista lozinka ili neznatna varijacija pojavljuje se na više servisa. Gotovo svaka od 19 milijardi.

Taj broj nije apstraktan. On objašnjava zašto hakerima često nije ni potrebno pogađati vaše lozinke. Dovoljno je pronaći jednu kompromitiranu i iskušati je na svugdje drugdje.

Što je credential stuffing i zašto je to danas najveća prijetnja

Credential stuffing nije napad koji zahtijeva sofisticiranu tehnologiju. Napadač preuzme bazu podataka procurelih parova "email + lozinka" s jednog servisa — recimo s nekog foruma koji je bio hakiran 2019. — i automatiziranim alatima tu listu iskuša na stotinama drugih servisa: Gmail, LinkedIn, online bankarstvo, Netflix.

Prema Verizon Data Breach Investigations Reportu za 2025., 88% svih hakerskih napada koji su rezultirali provalom uključuje ukradene ili brute-forced kredencijale. Credential stuffing je odgovoran za 22% svih provala — više od phishinga. Svaki mjesec se dogodi oko 26 milijardi credential stuffing pokušaja — broj koji je u 18 mjeseci porastao za 50%.

Roku je 2024. pretrpio dva odvojena credential stuffing napada koji su kompromitirali 591.000 korisničkih računa. Korisnici nisu pogriješili na Rokuu — pogriješili su godinama ranije, kad su iste email/lozinka kombinacije koristili na drugim servisima koji su procurili.

Zašto "jaka lozinka" nije dovoljna ako je ista svugdje

Postoji raširen mit da je lozinka sigurna ako je "dovoljno kompleksna" — mix slova, brojeva i simbola. To je istinito samo u jednom scenariju: ako napadač pokušava pogoditi vašu lozinku metodom brute force, bez ikakvog predznanja.

Ali credential stuffing ne pogađa. On provjerava. Napadač zna vašu lozinku jer ju je već negdje nabavio. Kompleksnost u tom kontekstu ne pomaže nimalo. Jedino što pomaže je jedinstvenost — svaki servis mora imati drugu, nasumično generiranu lozinku.

Problem je što ljudski mozak ne može zapamtiti 50 do 200 jedinstvenih, nasumičnih lozinki. Može zapamtiti 5 do 10, uz varijacije koje su predvidljive (Pa$$w0rd1, Pa$$w0rd2...). Napadači znaju za te varijacije i imaju rječnike koji ih testiraju u sekundama.

26 milijardi credential stuffing pokusaja svaki mjesec (2025.)

Zašto browserov "zapamti lozinku" nije dovoljan

Gotovo svi moderni browseri nude spremanje lozinki, i to nije loše rješenje — ali ima strukturnih ograničenja koja ga čine inferiornim u usporedbi s namjenskim password managerom.

Prvo: lozinke su vezane uz browser. Ako koristite Chrome na poslu i Safari na telefonu, vaše lozinke nisu sinkronizirane — osim ako koristite iste Google ili Apple račune, što uvodi drugu ovisnost.

Drugo: browser ne generira zaista nasumične lozinke konzistentno. Neke generira, neke ne — ovisno o kontekstu i servisu. Korisnici koji se oslanjaju na browser često završe s mješavinom generiranih i ručno unesenih (čitaj: slabih) lozinki.

Treće i najvažnije: browser pohrana nije enkriptirana na isti način kao namjenski password manager. Malware koji se instalira na računalo može izvući lozinke iz Chrome-ove lokalne pohrane puno lakše nego iz dobro enkriptiranog password managera s master lozinkom.

Koji password manager odabrati

Tržište je pregledno i postoji nekoliko jasnih pobjednika koji pokrivaju različite potrebe:

Bitwarden je zlatni standard za ljude koji žele besplatnu, open-source opciju s punom funkcionalnošću. Kod je javno dostupan za audit, podržava sve platforme, a besplatni plan uključuje neograničen broj lozinki i sinkronizaciju. Premium je 10 dolara godišnje.

1Password je premium opcija s najboljim UX-om i naprednim timskim mogućnostima. Košta 2,99 do 4,99 dolara mjesečno. Popularan u tvrtkama i obiteljima zbog sharing vaultova.

Dashlane i Keeper su solidni komercijalni konkurenti s dodatnim sigurnosnim značajkama (dark web monitoring, VPN u sklopu pretplate).

Za prosječnog korisnika koji želi samo "nešto što radi": Bitwarden. Besplatan, pouzdan, open-source.

Praktični savjeti za prelazak

Prelazak na password manager zvuči kao projekt koji zahtijeva cijeli vikend. U stvarnosti nije. Preporučeni pristup: instalirajte Bitwarden, uvezite lozinke iz browsera (Export settings → passwords → CSV → uvoz u Bitwarden), zatim postepeno mijenjajte lozinke servis po servis kad ih sljedeći put koristite.

Važno: master lozinka password managera mora biti jedina lozinka koju zaista pamtite i koja mora biti dugačka i jaka. Preporuka: passphrase od 4 do 6 nasumičnih riječi (npr. "jagoda-oblak-kamen-rijeka") je lakša za pamćenje od "P@$$w0rd123!" i kriptografski jača.

Dodajte MFA (multi-faktor autentikacija) gdje god možete — posebno na email, bankarstvo i sam password manager. Authenticator aplikacija (Google Authenticator, Authy) je bolja od SMS koda jer SIM swapping napadi postaju sve češći.

Ninety-four posto. Taj broj se ne mijenja ako ništa ne promijenite u svom pristupu lozinkama. A jedini alat koji realno može promijeniti situaciju za prosječnog korisnika — bez tehničkog predznanja — je upravo password manager.

Izvori i dodatno čitanje

Više članaka

← Nazad na blog