I december 2009 førte et sikkerhedslæk på websitet rockyou.com til, at 32 millioner passwords blev tilgængelige på internettet.
En hacker havde fundet ud af, at passwords blev gemt ukrypteret og fik fat i dem via et SQL Injection-sikkerhedshul.
Derefter blev de 32 millioner passwords uden anden identificerbar information lagt på nettet. Nu har sikkerhedsfirmaet Imperva analyseret de 32 millioner passwords i rapporten Consumer Password Worst Practices.
"123456" det mest anvendte password
Det er ikke opmuntrende læsning, hvis man bekymrer sig om, hvorvidt brugere vælger sikre password.
Ifølge rapporten er de mest gængse passwords af den type, som hackere forsøger sig med som noget af det første.
Øverst på listen over de mest anvendte passwords på rockyou.com finder vi det meget lidt originale password "123456".
Det følges på andenpladsen over de mest benyttede passwords af "12345".
På tredjepladsen finder vi et password, hvor en del rockyou.com-brugere virkelig har strammet sig an.
Her finder vi den fulde talrække "123456789".
Det er først på fjerdepladsen, at vi finder et password med bogstaver. Det er det meget lidt originale "password".
Selvom de fleste brugere jævnligt hører om vigtigheden af stærke passwords, så ændrer det tilsyneladende ikke på valg af passwords.
Der er ikke sket meget på 20 år
I rapporten skriver Imperva, at der ikke er sket den store udvikling i brugernes valg af sikre passwords.
I 1990 blev der eksempelvis foretaget en undersøgelse af sikkerheden af password på Unix-systemer. Den undersøgelse har mange ligheder med Impervas analyse af de 32 millioner rockyou-passwords.
Og sidste år viste en analyse af 10.000 stjålne Hotmail-passwords stort set samme resultater.
Tving dine brugere til stærke passwords
Det får Imperva til at konkludere:
"Det betyder, at brugere, hvis de får lov til det, vælger svage passwords, selv til websites der indeholder meget private data."
Imperva anbefaler derfor, at systemadministratorer sørger for, at brugerne tvinges til at vælge stærke password.
Hackerne bliver nemlig også bedre og anvender automatiserede værktøjer, der meget nemt kan gætte de svage passwords.
