ההמלצות שהסיסמא תכיל מספר תווים ארוך ככל האפשר, הכוללים אותיות גדולות וקטנות, מספרים וסימנים מוכרות לרובנו. אך ישנן מספר המלצות חשובות נוספות:

• כאמור, שימו לב לכמות התווים בסיסמא – עדיף שסיסמתכם תהיה ארוכה ככל האפשר, גם אם היא קצת פחות מורכבת.
• הימנעו משימוש בפרטים אישיים שקל לגלות עליכם בסיסמא. לדוגמא: תאריכים חשובים (ימי הולדת, יום נישואין וכו'), שמות (השם שלכם, של הילדים וכו').
• כאשר אתם משנים את הסיסמא, אל תיצרו רצף מספרי שיקל על האקרים לנחש את הסיסמא שלכם. למשל Bl0cK1 ואז Bl0cK2 וכן הלאה.
• השתמשו במנהל סיסמאות! מנהל סיסמאות יאפשר לכם להגדיר סיסמא טובה ושונה לכל שירות ואתר בו אתם משתמשים, בלי שתצטרכו לזכור/לכתוב את הסיסמא. להלן השוואה מאתר חיצוני על מנהלי סיסמאות מומלצים.

• אל תחלקו את הסיסמא שלכם עם אף אחד. אם אתם חייבים, או סומכים על מישהו באופן מלא – הימנעו מלשלוח את הסיסמא שלכם ב-SMS, Whatsapp וכו'. אל תעשו חיים קלים להאקר שהשיג גישה לטלפון הנייד שלכם.
• אל תכתבו סיסמאות על פתקים/ביומן/במחברת/בסמארטפון. בדיוק בשביל זה יש מנהלי סיסמאות.
• אם כבר אתם כותבים את הסיסמאות שלכם, אל תשמרו אותן ליד המחשב או בארנק. אנו שוב מדגישים – אל תעשו לפושע חיים קלים.

• בכל שירות המאפשר זאת, השתמשו באימות דו-שלבי.
• אימות דו-שלבי (Two-Step Verification/Two-Factor Authenticaion) מאפשר אימות של המשתמש בשני שלבים: משהו שרק המשתמש יודע (כמו יוזר+סיסמא), ומשהו שרק למשתמש יש (כמו למשל One Time Password שנשלח לטלפון הנייד).
• שימוש ב-2FA מעלה את רמת האבטחה, בכך שעל מנת להתחבר לאתר, הסיסמא הרגילה איננה מספיקה.
• במרבית המקרים, זה עובד בצורה הבאה:
  • המשתמש צריך להפעיל את השימוש ב-2FA בשירות מסוים.
  • לאחר הקלדת יוזר וסיסמא (או פרטים מזהים אחרים, בתלות בשירות), המשתמש מקבל הודעה המכילה סיסמא חד פעמית לטלפון הנייד (לעיתים קיימת אפשרות של קבלת הסיסמא למייל/בשיחת טלפון), אשר רק באמצעותה ניתן להיכנס לחשבון.
• לדוגמא, כדי להפעיל 2FA ב-Google, היכנסו ל-google.com -> "אבטחה", והפעילו את האימות הדו-שלבי.
  
• שימו לב – במקרה בו הסיסמא שלכם נגנבה, אימות דו-שלבי הוא מה שיגן על החשבון שלכם. השתמשו בו!

• מכירים את הקטע המעצבן שבכל כמה חודשים אתרים מבקשים מאיתנו להחליף את הסיסמא?
• לכאורה, זהו דבר חשוב – אולי הסיסמא שלנו נחשפה, והאקרים עושים שימוש לרעה בחשבון שלנו?
• אך במרבית המקרים, למשתמש הפרטי אין סיבה להחליף סיסמא, אלא אם האתר מחייב אתכם לעשות זאת (שימו לב שההמלצות הן שונות עבור ארגונים ועסקים – עליהם לפעול לפי מדיניות אבטחת המידע שלהם).
• כבר בשנת 2010 מחקר של מיקרוסופט הראה שאין בכך צורך, ומומחי אבטחה רבים מסכימים על כך.
• ישנן מספר רב של סיבות לכך, וביניהן:
  • החלפה תדירה של סיסמא גורמת למשתמש לסגל התנהגויות בעייתיות, ולדוגמא: על מנת לזכור את הסיסמאות החדשות המשתמש יוצר סיסמאות גרועות, או כותב אותן על דף כדי לזכור.
  • במידה וכבר יש האקר שהדביק בנוזקה את המחשב/סמארטפון, אך עדיין אין בידיו את הסיסמא לחשבון הבנק של המשתמש – במידה והמשתמש מחליף את הסיסמא לחשבון הבנק וההאקר "מקליט" את הקלדות המשתמש, המשתמש למעשה מגלה להאקר את הסיסמא.
  • שימו לב – כמעט תמיד, כאשר האקר פורץ לחשבון/מחשב, הוא לא יחכה, אלא יבצע פעולה זדונית עליה המשתמש יגלה. לכן, אין היגיון בהחלפה עיתית של הסיסמא, כי הנזק ככל הנראה כבר נעשה מיד לאחר שסיסמתכם נגנבה.
• אז מתי כן להחליף את הסיסמא? ישנם כמה מצבים בהם חשוב מאוד להחליף את סיסמתכם:
  • כאשר גיליתם פעילות חשודה בחשבון.
  • כאשר אתם יודעים שהאקר פרץ למחשב/סמארטפון שלכם (כמובן, לאחר שהאיום הוסר וגיליתם את הפירצה).
  • משתמש המעוניין להחמיר עם עצמו ולשנות סיסמאות לשירותים ואתרים חשובים, כגון אתר הבנק.
  • כאשר פרטי החשבון והסיסמא שלכם הודלפו במסגרת פריצה למאגר נתונים. אנו ממליצים להיכנס לאתר Firefox Monitor ולבדוק זאת באופן אקטיבי:
• שימו לב שאם תשתמשו ב-2FA, גם אם סיסמתכם תיגנב – עדיין תהיו בטוחים!

• השתמשו בסיסמא שונה לכל שירות או אתר בו אתם גולשים. שימוש במנהל סיסמאות יעזור לכם לעשות זאת בקלות (כאמור, תוכלו למצוא כאן השוואה מאתר חיצוני על מנהלי סיסמאות מומלצים)..
• היזהרו מפישינג! פעמים רבות פישינג יתחיל בהודעה בסגנון: "חשבונכם נפרץ, שנו בהקדם את הסיסמא כדי לשמור עליו!". מוזמנים לקרוא את המדריך שלנו על פישינג (Phishing).
• אנו ממליצים שלא לשמור סיסמאות בדפדפן. אמנם דבר זה נראה מאוד נוח, אך האקר עם גישה למחשב ולסיסמת המחשב יוכל לצפות בסיסמאות שלכם. שימוש במנהל סיסמאות עם סיסמא ספציפית אליו הינו בטוח יותר.
• היזהרו מ-Shoulder Surfing – הצצה למסך שלכם במקום ציבורי על מנת לגנוב את הסיסמא שלכם. היו עירניים לסביבתכם, ונסו להסתיר סיסמאות כאשר אתם מקלידים אותן במקום ציבורי.
• עקבו אחר חשבונותיכם והפעילות בהם ושימו לב לכל פעילות חשודה. זיהיתם פעילות חשודה? זהו זמן טוב להחליף את הסיסמא.
• בסמארטפון – העדיפו להשתמש בטביעת אצבע או Face ID (במכשירים תומכים).

בהצלחה!