Najpopularniejsze hasła w Polsce: ranking i co z nim zrobić

Wiesław, jeśli to czytasz, mam dla ciebie złą wiadomość. Twoje hasło jest w dwudziestce najpopularniejszych haseł w Polsce, gdzie siedzisz w jednym towarzystwie z kimś, kto zabezpiecza konta słowem wegiel13, i z kimś, kto wybrał Mandarynki4.

Pocieszę cię, że nie jesteś numerem jeden. Numer jeden jest gorszy od ciebie i od 123456, bo w wielu urządzeniach ustawia go fabryka, a otwiera sprzęt w firmach. Dojdziemy do niego.

Przejrzałem najnowszy ranking najczęściej używanych haseł, który NordPass opublikował w listopadzie 2025 roku, i wybrałem z niego to, co powinien zobaczyć każdy, kto prowadzi firmę albo odpowiada w niej za IT. Na początku będzie śmiesznie. Potem trochę mniej.

Ranking: najpopularniejsze hasła w Polsce w 2025 roku

Pierwsza piątka wygląda tak:

Miejsce	Hasło	Co to właściwie jest
1	`admin`	Fabryczny login i hasło w routerach, kamerach, drukarkach i panelach do zarządzania sprzętem
2	`123456`	Zeszłoroczny lider, który w końcu dostał konkurencję
3	`zaq1@WSX`	Dwie sąsiednie kolumny klawiatury, z Shiftem w drugiej
4	`12345678`	123456 dla stron, które wymagają ośmiu znaków
5	`zaq12wsx`	Trzecie miejsce, tylko bez Shifta

Dalej w dwudziestce są między innymi Mandarynki4, lol12345, Qweqwe123!, password, wegiel13, Kocham12, Polska123, wieslaw, haslo123 i qwerty123.

Ranking najpopularniejszych haseł za 2026 rok jeszcze się nie ukazał. NordPass publikował dwie poprzednie edycje w drugiej połowie listopada, więc po nowej edycji zaktualizuję ten tekst.

Skąd wiadomo, jakie hasła mają Polacy?

Ankieta „jakie masz hasło” nie miałaby sensu, bo każdy by skłamał. NordPass razem z firmą NordStellar bierze więc hasła z wycieków i z baz krążących w ciemnej części internetu, a potem liczy, które powtarzają się najczęściej. Edycja 2025 objęła dane z 44 krajów, zebrane od września 2024 do września 2025 roku.

Uczciwie: NordPass sprzedaje menedżer haseł, więc ma interes w tym, żebyśmy się trochę wystraszyli. My zresztą też, bo Teleaudyt jest partnerem Uniqkey i zarabia na wdrożeniach menedżera haseł, więc piszę to z tym samym konfliktem interesów. Same hasła pochodzą jednak z prawdziwych wycieków. Ktoś je kiedyś naprawdę ustawił, a ktoś inny je ukradł.

Imiona, miłość i mandarynki

Najsympatyczniejsza część listy to hasła wzięte z życia: Kocham12, Polska123, wieslaw, wegiel13 i Mandarynki4. Co stało się w trzynastym roku z węglem, nie wiem i chyba nie chcę wiedzieć. Mandarynki4 to z kolei hasło kogoś bardzo sumiennego, kto odhaczył wszystkie wymagania strony (wielka litera jest, cyfra jest, osiem znaków też) i poszedł zrobić sobie kawę z poczuciem dobrze wykonanego obowiązku.

Kłopot w tym, że program do łamania haseł nie zgaduje na ślepo. Dostaje słowniki imion, miast, klubów piłkarskich i popularnych słów, a do tego gotowe reguły w stylu „wielka litera na początku, cyfry na końcu”, więc Polska123 jest dla niego jednym z pierwszych strzałów, bo to dokładnie ten schemat, który wybiera większość ludzi, kiedy strona każe dopisać cyfrę.

Raport rozprawia się też z mitem, że słabe hasła to problem dziadków. Proste hasła mają wszystkie pokolenia, od osiemnastolatków po osiemdziesięciolatków. Zmienia się tylko materiał: starsi częściej wpisują imiona, młodsi modne słówka w stylu „skibidi”. Wiesław i skibidi grają w tej samej lidze.

zaq1@WSX, czyli hasło przebrane za silne

Trzecie miejsce w Polsce zajęło zaq1@WSX. Wygląda groźnie, bo ma małpę, wielką literę, cyfrę i osiem znaków. Teraz spójrz na klawiaturę.

Dwie sąsiednie kolumny klawiatury. Polityka haseł je przepuszcza, słownik hakera też.

Lewa krawędź klawiatury w górę, potem z Shiftem kolumna obok w dół. Piąte miejsce to ten sam ruch bez Shifta, a trochę niżej jest jeszcze Qweqwe123! z wykrzyknikiem dla kurażu. Programy do łamania haseł znają takie wzory od lat i sprawdzają je zaraz po słownikach.

Teraz zdanie, za które mogą mnie nie lubić administratorzy. Typowa firmowa polityka haseł brzmi: minimum osiem znaków, wielka litera, cyfra i znak specjalny. zaq1@WSX spełnia ją co do joty, czyli polityka haseł w twojej firmie mogła sama wyprodukować trzecie najpopularniejsze hasło w Polsce. Jeśli do tego każe zmieniać hasło co 90 dni, ludzie robią to, co zawsze: Mandarynki4, Mandarynki5, Mandarynki6, Mandarynki7.

Nie wymyśliłem tego z nudów. Amerykański NIST w wytycznych SP 800-63B (rewizja 4, sierpień 2025) mówi, żeby nie wymuszać okresowej zmiany haseł bez powodu i nie narzucać reguł w stylu „wielka litera plus znak specjalny”. Liczy się długość i sprawdzanie nowych haseł z listą tych, które już wyciekły. Jeśli hasło jest jedynym zabezpieczeniem konta, NIST wymaga co najmniej 15 znaków.

Jak stworzyć silne hasło, które da się zapamiętać

CERT Polska radzi postawić na długość i zwykłe słowa, które razem nie mają sensu. Ich przykład to zielonyParkingDla3malychSamolotow. Jest długie i absurdalne, a zapamiętasz je od razu, bo masz ten obrazek przed oczami. Akurat tego nie używaj, bo właśnie trafiło do internetu.

Hasła firmowe w Polsce: monika, alamakota i dupadupa

W 2024 roku NordPass zrobił osobną listę haseł z kont firmowych w Polsce, czyli tych, którymi ludzie logują się w pracy. Na górze są same cyfry i qwerty, ale niżej robi się ciekawie. Dziesiąte miejsce zajęła polska, dwunaste monika, trzynaste agnieszka, a osiemnaste alamakota, więc ktoś przyniósł do pracy pierwsze zdanie z elementarza.

Siedemnaste miejsce wśród haseł firmowych w Polsce zajęło dupadupa.

Gdzieś w Polsce jest system księgowy, do którego co rano ktoś wpisuje dupadupa, i trudno nie poczuć z tą osobą pewnej więzi. Tylko że przez takie konta idą faktury, umowy, przelewy i dane klientów, a hasło z rankingu ma w słowniku każdy, kto próbuje się do nich dostać.

Numer jeden: admin

W 2025 roku admin wyprzedził w Polsce 123456. Na świecie jest drugi, a w Stanach Zjednoczonych i w Holandii też wygrał.

Dlaczego to gorsze od 123456? Bo admin bardzo często nie jest hasłem, które ktoś sobie wymyślił. Ustawia je producent w routerach, kamerach, drukarkach i panelach do zarządzania sprzętem, a login i hasło są w instrukcji, którą każdy znajdzie w sieci. Ktoś montuje urządzenie, ono działa, więc nikt już do niego nie zagląda. I tak stoi latami z fabrycznym kontem.

Jak to się może skończyć, pokazał grudzień 2025. CERT Polska opisał ataki na polską energetykę, w tym na elektrociepłownię, do której sieci bramą był sterownik przemysłowy. Jego panel administracyjny był dostępny z prywatnej sieci APN, a atakujący wszedł domyślnymi danymi logowania konta admin.

Co zrobić z hasłami prywatnie

Prywatnie wystarczą dwie rzeczy. Pierwsza to menedżer haseł, który sam wymyśla długie hasła i sam je wpisuje, a do domu spokojnie wystarczy ten wbudowany w telefon albo w przeglądarkę. Pamiętasz wtedy jedno hasło główne i niech to będzie coś w stylu zielonego parkingu.

Druga to uwierzytelnianie dwuskładnikowe (2FA) na poczcie i w mediach społecznościowych. Nawet jeśli twoje hasło trafi do przyszłorocznego rankingu, sam login i hasło nie wystarczą, żeby ktoś wszedł na konto.

Menedżer haseł dla firm: co zmienia w praktyce

Materiał reklamowy · menedżer haseł Uniqkey · Teleaudyt jest partnerem Uniqkey

W firmie menedżer w przeglądarce przestaje wystarczać najpóźniej w dniu, w którym ktoś odchodzi. Szef nie wie, kto zna hasło do wspólnej skrzynki ani czy w księgowości ktoś nie loguje się przez dupadupa.

Wymuszana co 90 dni zmiana daje kolejną mandarynkę. Menedżer haseł losuje długie hasło i sam je wpisuje.

Dlatego w Teleaudyt zostaliśmy partnerem Uniqkey, duńskiej firmy, która robi firmowy menedżer haseł, i wdrażamy go u klientów. Menedżer haseł Uniqkey generuje silne hasła i sam wpisuje je przy logowaniu, a jeśli kod 2FA jest zapisany w Uniqkey, uzupełnia też ten kod. Administrator może udostępnić hasło tak, żeby pracownik się nim logował, ale go nie podglądał i nie kopiował. Wtedy nie ma jak zmienić go na Mandarynki5.

W panelu widać słabe i powtarzane hasła, osobno te, które pojawiły się w wyciekach, a do tego wynik bezpieczeństwa całej firmy i każdego pracownika. Gdy ktoś odchodzi, archiwizujesz go w panelu: traci dostęp do firmowych sejfów i udostępnionych haseł, a dane zostają w firmie. Producent nie ma dostępu do treści twoich haseł.

Uniqkey nie zaloguje się za ciebie do sterownika w serwerowni i nie zmieni mu fabrycznego admina, a konta w zewnętrznych usługach po odejściu pracownika trzeba zamknąć osobno. Tym zajmujemy się my jako zewnętrzny dział IT, jeśli to część uzgodnionej usługi: spisujemy sprzęt, zmieniamy fabryczne hasła, włączamy 2FA tam, gdzie go brakuje, i ustawiamy proces odejścia pracownika. Menedżer pilnuje potem, żeby za rok nie wróciły mandarynki.

Bezpłatne demo

Zobacz menedżer haseł Uniqkey na przykładach z twojej firmy

Pokażemy panel na żywo, odpowiemy na pytania twojego IT i policzymy wdrożenie. Demo jest bezpłatne, bez karty kredytowej.

Umów bezpłatne demo

A jeśli w tym tekście zobaczyłeś swoje hasło, nie przyznawaj się nikomu, tylko zmień je jeszcze dziś.

Wiesław, ciebie to też dotyczy.

Najczęstsze pytania o hasła

Jakie jest najpopularniejsze hasło w Polsce?

W rankingu NordPass z listopada 2025 roku pierwsze miejsce w Polsce zajęło admin. Wyprzedziło zeszłorocznego lidera 123456, a trzecie było zaq1@WSX.

Czy zaq1@WSX to bezpieczne hasło?

Nie. To wzór z dwóch sąsiednich kolumn klawiatury i trzecie najpopularniejsze hasło w Polsce, więc programy do łamania haseł sprawdzają je na samym początku, choć spełnia typową firmową politykę haseł.

Jak długie powinno być silne hasło?

Według wytycznych NIST SP 800-63B (rewizja 4) hasło, które jest jedynym zabezpieczeniem konta, powinno mieć co najmniej 15 znaków. Najłatwiej o takie hasło, łącząc kilka niepasujących do siebie słów, jak w przykładzie CERT Polska zielonyParkingDla3malychSamolotow.

Czy firmowy menedżer haseł jest bezpieczny?

W domyślnym trybie menedżera haseł Uniqkey klucze szyfrujące są chronione na telefonie pracownika, a dane sejfu są szyfrowane na urządzeniu. Producent nie ma dostępu do jawnej treści haseł.

Kiedy będzie ranking najpopularniejszych haseł 2026?

NordPass publikował edycje 2024 i 2025 w drugiej połowie listopada. Edycji 2026 należy się spodziewać w podobnym terminie, a ten artykuł zaktualizujemy po jej publikacji.

Najpopularniejsze hasła w Polsce. Wiesław, musimy pogadać