Ang tanong na “paano binabasag ng mga hacker ang password” ay hindi lang tungkol sa pag-guess ng random na letra at numero. Kadalasan, kombinasyon ito ng teknikal na paraan at panlilinlang—at madalas ang pinaka-mahina ay hindi ang server, kundi ang gawi natin sa pag-login. Sa gabay na ito, tatalakayin ang 6 na pinakakaraniwang metodo: mula brute force hanggang phishing at keylogger, kasama ang praktikal na depensa para mapababa ang tsansang ma-compromise ang account mo.
Bakit madaling mabasag ang password?
Madaling mabasag ang password kapag predictable, inuulit sa maraming site, o madaling makuha sa social engineering. Kahit hindi “mahina” ang isang password, puwede pa ring manalo ang attacker kapag nakuha nila ito sa maling paraan—halimbawa, sa phishing o malware. Kaya hindi lang lakas ng password ang usapan; proseso at disiplina rin.
Karaniwang dahilan kung bakit nagiging vulnerable ang account:
- Reused passwords (pareho sa email, social, bank, atbp.)
- Maikling password o may pattern (hal. pangalan+taon)
- Walang multi-factor authentication (MFA/2FA)
- Pag-login sa hindi trusted na device o network
- Pag-click sa link o pag-download mula sa hindi kilalang source
1) Brute force: paulit-ulit na hula hanggang tumama
Sa brute force, sinusubukan ng attacker ang napakaraming kombinasyon hanggang may tumama—kaya tumatagal o bumibilis depende sa haba at complexity ng password at sa mga limitasyon ng login (rate limits, lockouts). Kung walang proteksiyon ang system laban sa paulit-ulit na attempts, mas lumalaki ang tsansa nilang makapasok.
Paano ito karaniwang nangyayari
- Automated tools na sumusubok ng maraming kombinasyon
- Target ang mga account na walang lockout o may mahinang rate limiting
- Madalas inuuna ang simple at common patterns bago random strings
Paano mo babawasan ang risk
- Gumamit ng mahahabang passphrase (hindi lang “complex,” kundi “mahaba”)
- I-enable ang MFA/2FA kung available
- Iwasan ang predictable patterns (hal.
Summer2026!)
2) Dictionary attack: “karaniwang salita” ang target
Ang dictionary attack ay parang brute force pero mas “matalino”: inuuna nito ang mga salitang madalas gamitin—mga common words, pangalan, paboritong team, pelikula—kasama ang mga variant tulad ng capital letters at simpleng substitutions. Kaya kahit may simbolo, kung base word ay common, puwedeng mahulaan pa rin.
Mga palatandaan ng “dictionary-friendly” na password
- Isang salita lang (hal.
password,dragon) - Pangalan ng tao/lugar + numero
- Simple leetspeak (hal.
P@ssw0rd)
Mas ligtas na alternatibo
- Gumamit ng passphrase na maraming salita na hindi halata ang kombinasyon
- Iwasan ang quotes/lyrics na madaling i-search o hulaan
- Mas mainam ang random-generated password sa password manager
3) Credential stuffing: gamit ang dati nang na-leak na login
Kung iniisip mo pa rin kung paano binabasag ng mga hacker ang password nang hindi nila “hinuhulaan,” ito ang sagot: credential stuffing. Kapag may lumang leak sa ibang serbisyo, sinusubukan ng attackers ang parehong email/username at password sa iba’t ibang site. Epektibo ito dahil maraming tao ang nagre-reuse ng password.
Bakit ito gumagana
- Maraming gumagamit ng iisang password sa maraming account
- Automated ang pagsubok sa maraming platform
- Kahit malakas ang password, talo ka kung recycled ito
Depensa na may pinakamalaking impact
- Unique password kada account (lalo na sa email)
- Password manager para hindi mo kailangang kabisaduhin lahat
- MFA/2FA para kahit tama ang password, may second step pa
4) Phishing: ikaw ang pinapahula, hindi ang system
Phishing ang isa sa pinaka-karaniwang sagot sa “paano binabasag ng mga hacker ang password” dahil hindi nila kailangang basagin ang encryption o mag-brute force—kinukuha nila mismo sa’yo ang password. Ginagawa ito sa pamamagitan ng pekeng login page, email, SMS, o chat na mukhang lehitimo.
Karaniwang anyo ng phishing
- “Account locked, click here to verify”
- “May suspicious login, reset password now”
- Pekeng invoice/delivery notice na may link
- Impersonation ng IT/admin sa chat
Paano umiwas (praktikal, mabilis)
- Huwag mag-login mula sa link sa email/SMS; i-type mismo ang URL o gumamit ng official app
- I-check ang domain at spelling (madalas dito madulas)
- Kapag minamadali ka o tinatakot, mag-pause at mag-verify
5) Malware at keylogger: kinokopya ang tinatype mo
Kapag may malware o keylogger ang device, puwedeng makuha ang password kahit tama ang pag-iingat mo sa “pagbuo” ng password. Ang keylogger ay software (minsan browser extension) na nagre-record ng keystrokes o kinukuha ang laman ng form fields, habang ang ibang malware naman ay kumukuha ng saved passwords o session cookies.
Paano ito nakakarating sa device
- Pirated software o “cracks”
- Fake installers at suspicious attachments
- Malisyosong browser extensions
- Drive-by downloads mula sa sketchy sites
Paano mag-hardening ng device
- Mag-install ng apps/extensions mula sa pinagkakatiwalaang sources lang
- I-update ang OS at browser regularly
- Gumamit ng MFA at mag-review ng active sessions ng accounts
6) Social engineering: impormasyon ang susi
Social engineering ang pag-manipula sa tao para ibigay ang access—hindi kailangang “i-crack” ang password kung kaya kang mapilit magbigay ng OTP, recovery code, o mag-reset ng password. Madalas itong pinagsasama sa phishing at impersonation: kunwari support, bank, delivery, o kaibigan mo.
Saan sila kumukuha ng “pambukas”
- Public na detalye sa social media (birthday, pet name, school)
- Mga screenshot na may email/username
- Over-shared security question answers
Proteksiyon laban dito
- Ituring na sensitive ang recovery codes at OTP—hindi ito kailanman dapat ipinapadala
- Limitahan ang public info na puwedeng gawing security question clues
- Gumamit ng authenticator app o hardware key kung supported
Quick checklist: paano magpatibay ng password at account security
Ang pinakamabilis na paraan para bumaba ang risk ay pagsamahin ang unique passwords, MFA, at mas maingat na login habits. Kahit hindi mo kontrolado ang seguridad ng bawat website, kontrolado mo ang “blast radius” kapag may leak: kung unique ang password, isang account lang ang tama.
Checklist (copy/paste friendly)
- [ ] Unique password kada account (lalo na email at financial)
- [ ] Password manager para sa random, mahahabang passwords
- [ ] MFA/2FA enabled (authenticator app kung possible)
- [ ] Iwas click-to-login links; direct URL/app login
- [ ] Regular OS/browser updates
- [ ] Review: devices, sessions, at recovery options ng critical accounts
Table: Metodo vs. pinaka-epektibong depensa
| Paraan | Ano ang target | Pinaka-epektibong depensa |
|---|---|---|
| Brute force | Login form na puwedeng ulit-ulitin | Mahabang passphrase + MFA |
| Dictionary attack | Common words/patterns | Random/unique password o passphrase na hindi predictable |
| Credential stuffing | Reused credentials | Unique passwords + MFA |
| Phishing | User behavior | Domain checking + no link-login habit + MFA |
| Malware/keylogger | Device inputs/saved data | Trusted installs + updates + MFA |
| Social engineering | Trust at impormasyon | Verification habits + privacy + secure recovery |
Mga madalas itanong
Paano ko malalaman kung na-compromise ang password ko?
Makikita ito sa mga senyales tulad ng biglaang logout, password reset na hindi ikaw ang nag-request, o login alerts mula sa hindi kilalang device. Unahin ang pagpapalit ng password (unique), i-enable ang MFA, at i-revoke ang unknown sessions/devices sa account settings.
Sapat na ba ang “malakas na password” kung wala akong MFA?
Hindi palagi. Kahit malakas ang password, puwede pa rin itong makuha sa phishing o malware, o magamit sa credential stuffing kung reused. Ang MFA ang second barrier kapag nakuha ang password—kaya malaking dagdag-proteksiyon ito para sa email at critical accounts.
Gaano kadalas dapat magpalit ng password?
Mas mahalaga ang magpalit kapag may indikasyon ng compromise, may leak, o reused ang password kaysa sa “palit nang palit” na nauuwi sa predictable patterns. Kung magpapalit, siguraduhing unique at hindi variant lang ng dating password.
Ano ang pinakamabilis na first step kung pinaghihinalaan kong na-phish ako?
Palitan agad ang password mula sa official app/website (huwag mula sa link), i-enable o i-reset ang MFA, at i-check ang recovery email/phone at active sessions. Kung pareho ang password sa ibang account, palitan din ang mga iyon, starting sa email.
Konklusyon
Kung iniisip mo kung paano binabasag ng mga hacker ang password, ang practical na sagot ay: kadalasan hindi nila “binabasag” sa pure math—kinukuha nila ito sa reuse (credential stuffing), panlilinlang (phishing/social engineering), o kompromisong device (malware). Gumawa ng unique passwords, mag-MFA, at ayusin ang login habits para lumiit ang tsansa at impact ng pag-atake.
I-audit ang 10 pinaka-importanteng account mo ngayon (email, social, work, finance): gawing unique ang password at i-on ang MFA bago pa kailanganin.
