Dit zijn de slechtste wachtwoorden aller tijden

Ik wist het niet. Ik dacht aan een totaal van dertig tot veertig accounts voor belangrijke zaken (e-mailen en bankieren) en minder belangrijke zaken (gadgets bestellen bij Coolblue). Daar horen dan dertig tot veertig wachtwoorden bij, die wachtwoordbeheerder 1 Password voor mij onthoudt.

Gemiddeld 191 wachtwoorden

Maar mijn gedachte van dertig tot veertig wachtwoorden blijkt een wel heel conservatieve schatting. Uit onderzoek van een andere wachtwoordbeheerder, LastPass, komt naar voren dat een gemiddeld personeelslid maar liefst 191 wachtwoorden(!) heeft om toegang te verkrijgen tot allerlei accounts. Het aantal unieke wachtwoorden ligt lager: 61% procent van de medewerkers gebruikt voor meerdere accounts (een variant op) hetzelfde wachtwoord. Maar dan nog gaat een gemiddeld personeelslid over mijn geschatte dertig tot veertig wachtwoorden heen.

Als je zoveel wachtwoorden moet onthouden (en geen wachtwoordbeheerder gebruikt) is het niet gek dat er medewerkers zijn die voor eenvoudige opties kiezen. Of voor ronduit slechte opties. Technologiebedrijf SplashData publiceert ieder jaar een lijst met de 100 meest voorkomende wachtwoorden ter wereld. Daarop staan altijd een paar klassiekers, maar er komen ook ieder jaar nieuwe slechte wachtwoorden bij. De top 25 van vorig jaar zag er zo uit:

• 123456
• Password
• 12345678
• qwerty
• 12345
• 123456789
• letmein
• 1234567
• football
• iloveyou
• admin
• welcome
• monkey
• login
• abc123
• starwars
• 123123
• dragon
• passw0rd
• maste
• hello
• freedom
• whatever
• qazwsx
• trustno1

Welke er met stip binnenkwamen? De zogenaamd slimme wachtwoorden ‘letmein’ (‘let me in’) en ‘trustno1’. Maar ook ‘starwars’ was nieuw, net als 123456789.

Tijd voor verandering

Om dit soort veelgebruikte en veel te makkelijke wachtwoorden uit de wereld te helpen riep techwebsite Tweakers in 2014 een Nationale Verander Je Wachtwoorden Dag in het leven. Op 24 november is het weer zover. Ik raad IT-afdelingen aan om deze dag binnen hun organisaties te promoten. Personeelsleden moeten weliswaar met enige regelmaat het wachtwoord van hun Windows-account wijzigen, maar al die andere wachtwoorden gaan soms jarenlang mee. Dat vergroot het risico op hacks en datalekken.

Uit onderzoek van Verizon blijkt dat 81 procent van de hacks en datalekken is te wijten aan gestolen en/of zwakke wachtwoorden. IT’ers kunnen in aanloop naar 24 november ook zelf checken hoe sterk of zwak de wachtwoorden zijn die in hun organisatie gebruikt worden. Een middel daarvoor is de gratis Weak Password Test die we bij KnowBe4 ontwikkeld hebben.

Biometrie + wachtwoord/pincode

U en ik kunnen ons ook afvragen of we niet beter helemaal van wachtwoorden af moeten stappen. Ik denk dat het antwoord ‘ja’ is, en dat we daar als sector de komende jaren naartoe zullen bewegen. Biometrische toegangsmethoden worden al volop toegepast, maar zijn nog niet geperfectioneerd (Face ID op de iPhone X en de irisscanner op de Samsung Galaxy S9 zijn geen doorslaand succes). Combinaties van biometrische toegangsmethoden en wachtwoorden/pincodes zullen daarom in mijn optiek een eerste stap zijn naar betere beveiliging.