Szybka odpowiedź
Żeby zabezpieczyć router, zmień hasło do panelu administratora, ustaw długie hasło do Wi-Fi (co najmniej 16 znaków) z szyfrowaniem WPA3 albo WPA2-AES, wyłącz WPS i zdalne zarządzanie, włącz aktualizacje oprogramowania i wydziel osobną sieć dla gości. Jeśli router nie dostaje już aktualizacji od producenta, wymień go. FBI w maju 2025 roku ostrzegło, że właśnie takie stare routery są masowo przejmowane przez przestępców.
Router od operatora (Orange, Play, T-Mobile, UPC) często ma część tych ustawień zrobioną fabrycznie. Warto to sprawdzić, a nie zakładać.
Po co w ogóle zabezpieczać router
Router to brama między Twoim domem a internetem. Jeśli ktoś go przejmie, nie musi włamywać się do każdego telefonu z osobna. Może podejrzeć, dokąd łączą się Twoje urządzenia, przekierować Cię na fałszywą stronę banku albo po cichu użyć Twojego łącza do własnych przestępstw.
To nie jest teoria. 7 maja 2025 roku FBI opublikowało ostrzeżenie o przestępcach, którzy przejmują stare routery złośliwym oprogramowaniem TheMoon i sprzedają dostęp do nich jako tzw. proxy, czyli pośrednika w sieci. Kto kupi taki dostęp, dokonuje oszustw z Twojego adresu IP, więc ślady prowadzą do Ciebie, nie do niego. TheMoon nie potrzebuje nawet hasła: skanuje internet w poszukiwaniu routerów z włączonym zdalnym zarządzaniem i znaną, niezałataną luką.
Dwa hasła, które ludzie mylą
Kiedy ktoś pyta o „hasło do routera”, zwykle ma na myśli jedno z dwóch zupełnie różnych haseł. To pierwsza rzecz do uporządkowania, bo od niej zależy reszta poradnika.
Hasło do Wi-Fi wpisujesz w telefonie, żeby połączyć się z siecią. Znają je domownicy i goście, a fabryczne jest zwykle na naklejce pod routerem jako „klucz sieci”, „WPA key” albo „hasło Wi-Fi”. Hasło administratora wpisujesz w panelu routera, żeby zmieniać ustawienia. Powinieneś je znać tylko Ty i to ważniejsze z tych dwóch haseł.
Jak wejść do panelu routera
- Połącz się z domową siecią (przez Wi-Fi albo kablem).
- Sprawdź naklejkę na spodzie routera. Znajdziesz tam adres panelu (często 192.168.0.1 albo 192.168.1.1) i fabryczne dane logowania. Część operatorów zamiast panelu w przeglądarce daje aplikację, na przykład Orange w aplikacji Mój Orange.
- Wpisz ten adres w pasku przeglądarki, nie w wyszukiwarce Google, i zaloguj się danymi z naklejki.
7 kroków, żeby zabezpieczyć router
Nazwy opcji różnią się między producentami, ale każdy router ma te same funkcje. Podaję najczęstsze nazwy, żebyś wiedział, czego szukać w menu.
1. Zmień hasło administratora
Szukaj w menu opcji w stylu „System”, „Administracja” albo „Zarządzanie”. Starsze routery miały fabrycznie hasła typu „admin” albo „1234”, identyczne dla tysięcy egzemplarzy i łatwe do znalezienia w internecie. Nowsze mają unikalne hasło na naklejce, ale i tak warto je zmienić: naklejkę widzi każdy, kto odwiedzi Twoje mieszkanie.
Użyj długiego hasła, którego nie masz nigdzie indziej, i zapisz je w menedżerze haseł. Nie będziesz go używać codziennie, więc bez zapisu na pewno go zapomnisz.
2. Ustaw długie hasło do Wi-Fi
FBI zaleca hasła od 16 do 64 znaków, a CERT Orange Polska co najmniej 16 znaków dla sieci Wi-Fi. Najłatwiej osiągnąć to frazą z kilku przypadkowych słów, na przykład czterech-pięciu wyrazów, które nie tworzą znanego cytatu. Takie hasło łatwo podyktować gościowi, a trudno odgadnąć. Siłę swojej propozycji sprawdzisz w naszym kalkulatorze siły hasła.
Przy okazji zmień nazwę sieci (SSID), jeśli zawiera Twoje nazwisko albo numer mieszkania. CERT Orange Polska zaleca nazwę, której nie da się powiązać z właścicielem.
3. Wybierz szyfrowanie WPA3 albo WPA2-AES
Szyfrowanie decyduje o tym, czy ktoś w zasięgu Twojej sieci może odczytać przesyłane dane. Szukaj opcji „Zabezpieczenia”, „Tryb zabezpieczeń” albo „Security mode” w ustawieniach sieci bezprzewodowej.
- WPA3 to najnowszy standard. Wi-Fi Alliance, organizacja certyfikująca sprzęt Wi-Fi, ogłosiła go w 2018 roku, a od 1 lipca 2020 roku jest obowiązkowy dla urządzeń z logo Wi-Fi CERTIFIED. Wybierz go, jeśli router go ma.
- WPA2/WPA3 (tryb mieszany) to dobre wyjście, jeśli masz w domu starsze urządzenia, które WPA3 nie obsługują.
- WPA2 z AES to minimum, które nadal jest akceptowalne.
- WEP, WPA (bez cyfry) i sieć otwarta to ustawienia, których nie wolno zostawiać. Jeśli router nie oferuje nic lepszego niż WEP, to znak, że czas go wymienić.
4. Wyłącz WPS
WPS to funkcja, która pozwala podłączyć urządzenie przyciskiem albo 8-cyfrowym PIN-em zamiast hasła. Brzmi wygodnie, ale PIN ma błąd w samym projekcie. Router zdradza, czy pierwsza połowa PIN-u jest poprawna, zanim sprawdzi drugą, a ostatnia cyfra to tylko suma kontrolna. Zamiast 10 milionów kombinacji zostaje więc około 11 000. Według amerykańskiego CERT/CC darmowe narzędzia odgadują taki PIN w 4 do 10 godzin, a po jego odgadnięciu atakujący dostaje Twoje hasło do Wi-Fi, choćby było bardzo długie.
Szukaj opcji „WPS”, „Wi-Fi Protected Setup” albo „PIN routera” i ją wyłącz. Jeśli kiedyś będziesz potrzebować szybkiego podłączenia, wpisanie hasła zajmie minutę dłużej.
5. Wyłącz zdalne zarządzanie i UPnP
Zdalne zarządzanie (opcje „Zdalny dostęp”, „Remote management”, „Dostęp z WAN”) pozwala wejść do panelu routera z dowolnego miejsca w internecie. W domu prawie nikt tego nie potrzebuje, a to dokładnie ta furtka, którą według FBI wykorzystywało TheMoon. FBI zaleca: wyłącz, zapisz zmiany, uruchom router ponownie.
UPnP to funkcja, dzięki której konsole, kamery i inne urządzenia same otwierają sobie „drzwi” w routerze do internetu, bez pytania Cię o zgodę. Amerykańska agencja CISA zaleca wyłączenie UPnP, jeśli go nie potrzebujesz. Jeśli po wyłączeniu przestanie działać na przykład gra sieciowa na konsoli, możesz wrócić do tej opcji świadomie.
6. Włącz aktualizacje, a stary router wymień
Router to mały komputer z własnym oprogramowaniem (firmware), w którym co jakiś czas znajdowane są luki. Producent łata je aktualizacjami. Sprawdź w panelu opcję „Aktualizacja oprogramowania” albo „Firmware” i włącz automatyczne aktualizacje, jeśli są dostępne. Routery od operatorów zwykle aktualizuje sam operator.
Gorzej, gdy producent przestał wspierać model. FBI nazywa to końcem cyklu życia (ang. end of life): producent nie sprzedaje już urządzenia i nie wydaje do niego poprawek bezpieczeństwa. Wśród routerów przejmowanych przez TheMoon FBI wymienia między innymi starsze modele Linksys z serii E (np. E1000, E1200, E2500, E4200) i WRT (np. WRT310N, WRT610N). Według FBI routery z 2010 roku i starsze najpewniej nie dostają już żadnych aktualizacji. Jeśli Twój router ma ponad 5-6 lat, wpisz jego model w wyszukiwarkę razem ze słowami „end of life” albo sprawdź stronę wsparcia producenta. Brak aktualizacji od kilku lat oznacza, że czas na wymianę.
7. Wydziel sieć dla gości i urządzeń smart
Większość routerów pozwala utworzyć drugą sieć, zwykle w opcji „Sieć dla gości” albo „Guest network”. Urządzenia w niej mają internet, ale nie widzą Twoich komputerów i telefonów. CERT Orange Polska zaleca osobne sieci z oddzielnymi hasłami dla gości i dla urządzeń tzw. internetu rzeczy (IoT), czyli telewizora, kamerek, inteligentnych żarówek czy odkurzacza.
Powód jest prosty: tanie urządzenia smart rzadko dostają aktualizacje. Jeśli ktoś przejmie kamerkę za kilkadziesiąt złotych, w osobnej sieci nie dostanie się z niej do laptopa z dokumentami.
Jak sprawdzić, kto jest podłączony do Twojego Wi-Fi
Panel routera ma listę podłączonych urządzeń, zwykle w zakładce „Urządzenia”, „Klienci” albo „DHCP”. CERT Orange Polska radzi regularnie ją przeglądać, nadawać zaufanym urządzeniom czytelne nazwy (np. „Telefon Ani”) i blokować te, których nie rozpoznajesz.
Najprostszy sposób: policz urządzenia w domu, które korzystają z Wi-Fi, i porównaj z listą. Pamiętaj o mniej oczywistych, jak telewizor, konsola, drukarka, zegarek czy głośnik. Jeśli na liście jest coś nieznanego, zmień hasło do Wi-Fi (krok 2). Wszyscy, łącznie z intruzem, zostaną wtedy rozłączeni.
Co nie chroni tak, jak się wydaje
- Ukrycie nazwy sieci (SSID). Sieć znika z listy w telefonie sąsiada, ale urządzenia i tak przesyłają jej nazwę przy łączeniu, więc proste narzędzia do analizy Wi-Fi ją widzą. Utrudnia to życie głównie domownikom.
- Filtrowanie adresów MAC. Router wpuszcza tylko urządzenia z listy, ale adres MAC da się podejrzeć w ruchu sieci i podrobić. Do tego nowe telefony domyślnie używają prywatnego adresu MAC, innego dla każdej sieci, co utrudnia prowadzenie takiej listy.
- VPN na routerze jako ochrona domu. VPN ukrywa Twój adres IP przed stronami i szyfruje ruch do serwera VPN, ale nie łata luk w routerze i nie wyłącza WPS. Przydaje się przede wszystkim poza domem, o czym piszę w poradniku o publicznym Wi-Fi.
Automatyczna kontrola sieci
Ręczne przeglądanie panelu routera raz na kilka miesięcy wystarczy większości domów. Jeśli wolisz, żeby ktoś robił to za Ciebie, część antywirusów ma funkcję skanowania sieci domowej. Sprawdza router pod kątem słabego hasła, nieaktualnego oprogramowania i otwartych portów, pokazuje listę podłączonych urządzeń i ostrzega, gdy pojawi się nowe.
ESET HOME Security
ESET ma funkcję Network Inspector (Inspektor sieci), która testuje router pod kątem słabego hasła i nieaktualnego oprogramowania, pokazuje wszystkie podłączone urządzenia i powiadamia o nowych. Do tego chroni komputer i telefon przed złośliwym oprogramowaniem i fałszywymi stronami, czego żadne ustawienie routera nie zrobi. Network Inspector jest w pakietach z zaporą sieciową, nie w podstawowym antywirusie. Sprawdź aktualną ofertę u producenta.
link partnerskiDarmową alternatywą jest Network Inspector w Avast Free i AVG Free, który również skanuje sieć domową. Pełne porównanie programów ochronnych znajdziesz w naszym rankingu antywirusów.