We verdrinken in digitale identiteiten. De meesten van ons beheren tientallen, soms honderden, online accounts. Het enorme volume is vermoeiend. Dus nemen we snelkoppelingen. We kiezen gemakkelijk te raden wachtwoorden omdat gemak het keer op keer wint van veiligheid. Of erger nog, we recyclen dezelfde zwakke string over meerdere locaties. Dit creëert een enorme kwetsbaarheid. Als één site wordt gehackt, valt al het andere uit elkaar.
Om de omvang van dit probleem te begrijpen, moeten we naar de gegevens kijken. Cybersecuritybedrijf NordPass houdt deze fouten jaarlijks in de gaten. Ze analyseren datalekken in 44 landen. Hun rapport uit 2024 belicht de meest voorkomende wachtwoorden die nog steeds worden gebruikt. De lijst is voorspelbaar. En gevaarlijk.
De top 25 zwakke wachtwoorden
NordPass rangschikte deze op frequentie. Sommige hiervan zijn meer dan een miljoen keer gebruikt bij bekende inbreuken. Dit is wat er daadwerkelijk is:
- 123456 – 1,2 miljoen exemplaren
- 123456789 – 693.000 exemplaren
- 12345678 – 365.000 exemplaren
- geheim – 339.000 exemplaren
- wachtwoord – 196.000 exemplaren
- qwerty123 – 144.000 exemplaren
- qwerty1 – 138.000 exemplaren
- 111111 – 106.000 exemplaren
- 123123 – 102.000 exemplaren
- 1234567890 – 93.000 exemplaren
- qwerty – 92.000 exemplaren
- 1234567 – 86.000 exemplaren
- 11111111 – 80.000 exemplaren
- abc123 – 58.000 exemplaren
- iloveyou – 54.000 exemplaren
- 123123123 – 51.000 exemplaren
- 000000 – 46.000 exemplaren
- 00000000 – 45.000 exemplaren
- a123456 – 42.000 exemplaren
- wachtwoord1 – 41.000 exemplaren
- 654321 – 41.000 exemplaren
- qwer4321 – 36.000 exemplaren
- 1q2w3e4r5t – 35.000 exemplaren
- 123456a – 35.000 exemplaren
- q1w2e3r4t5y6 – 34.000 exemplaren
Toetsenbordpatronen zijn de beste vriend van hackers
Kijk goed naar de bovenste inzendingen. Het patroon is duidelijk. Gebruikers typen van links naar rechts en van boven naar beneden. Of gewoon optellen. qwerty -varianten domineren. 123456 regeert oppermachtig.
Dit is lui. En het is fataal.
Hackers gebruiken geautomatiseerde scripts voor brute-force-aanvallen. Deze scripts proberen eerst de meest voorkomende wachtwoorden. Ze raden Xy7!mP niet. Ze raden ‘wachtwoord1’. Ze proberen deze combinaties binnen enkele seconden. Als u een toetsenbordpatroon gebruikt, geeft u uw sleutels over aan een script. Het duurt milliseconden om te kraken.
Persoonlijke gegevens en gewone zelfstandige naamwoorden
De lijst laat ook zien wat mensen als ‘uniek’ beschouwen. Namen als ‘ashley’ en ‘michael’ worden in kleine letters weergegeven. Dieren als ‘aap’, ‘draak’ en ‘eenhoorn’ draaien nog steeds. Sporttermen als ‘honkbal’, ‘voetbal’ en ‘voetbal’ ronden de zwakke reeks af.
Waarom doen mensen dit? We denken dat het gebruik van onze geboortedatum of woonplaats de veiligheid vergroot. Dat is niet het geval. Oplichters kunnen deze informatie phishen. Vrienden kunnen het raden. Familieleden kennen deze details vaak. Door identificerende informatie te gebruiken, bent u een gemakkelijk doelwit. Het verandert uw persoonlijke geschiedenis in een hack-spiekbriefje.
Hoe je kunt stoppen een statistiek te zijn
De les uit de gegevens van 2024 is duidelijk. Stop met het gebruik van opeenvolgende tekens. Stop met het gebruik van toetsenbordrijen. Stop met het gebruik van gewone woorden die alleen in kleine letters voorkomen.
Bij sterke wachtwoorden gaat het niet om slim zijn. Ze gaan over willekeurig en lang zijn. Vermijd elke string die in uw dagelijks leven voorkomt. Vermijd elk patroon dat een machine kan voorspellen. Als het voorkomt in een lijst met veelgebruikte wachtwoorden, is het geen wachtwoord. Het is een bekentenis.
Als het in de top 25 staat, is het geen geheim. Het is een openbaar record.
Het gemak van 123456 kost je alles. De inspanning van een complexe, unieke snaar kost je slechts twee seconden. Kies verstandig. De rest van het verhaal gaat over hoe je daadwerkelijk iets kunt bouwen dat blijft hangen. Maar eerst moet je toegeven dat ‘iloveyou’ geen beveiligingsstrategie is. Het is een schreeuw om hulp.
En eerlijk? Je verdient beter dan een getallenreeks om je leven te beschermen.
Je weet waarschijnlijk al dat “Password123” een slecht idee is. Maar simpele complexiteit is niet meer genoeg. De echte oplossing is willekeur. Mensen zijn verschrikkelijk in het genereren van willekeurige reeksen. We worden aangetrokken door patronen. Een computer niet.
Webbrowsers zoals Chrome kunnen deze lelijke, niet te onthouden tekenreeksen voor u genereren. Ze zijn effectief onhackbaar met brute force-methoden. De wisselwerking is het geheugen. Je kunt een reeks symbolen van veertig tekens niet onthouden. Je moet het dus opslaan.
De noodzaak van twee factoren
Voor alles wat met geld of gevoelige persoonlijke gegevens te maken heeft, is tweefactorauthenticatie (2FA) niet onderhandelbaar. Het voegt een laag toe die alleen een gestolen wachtwoord niet kan omzeilen.
De tweede factor komt meestal via een sms, een e-mail of een speciale app. Een hacker heeft mogelijk uw wachtwoord. Ze hebben ook uw telefoon of toegang tot uw e-mailinbox nodig. Dit verkleint het aanvalsoppervlak drastisch.
Ja, het inloggen duurt drie seconden langer. Dat is een kleine prijs.
De dreiging van het vullen van referenties
Het gebruik van één wachtwoord voor meerdere accounts is de slechtste gewoonte die je kunt hebben. Als een site wordt gehackt, komt dat wachtwoord op het dark web terecht. Aanvallers gebruiken vervolgens scripts om diezelfde combinatie van e-mail en wachtwoord op honderden andere sites te proberen. Dit is credential stuffing.
Het klinkt vervelend voor de aanvaller. Het werkt omdat mensen lui zijn. Als u voor elk account een uniek wachtwoord gebruikt, heeft deze specifieke aanvalsvector een succespercentage van nul.
Alleen lokale wachtwoordbeheerders
Als je unieke, complexe wachtwoorden nodig hebt, heb je een manager nodig. De meeste browsers hebben ingebouwde browsers. Ze zijn handig. Ze vullen automatisch aan. Ze synchroniseren op verschillende apparaten.
Maar gemak heeft een prijs. Als u prioriteit geeft aan maximale beveiliging, vermijd dan wachtwoordbeheerders die met de cloud synchroniseren. Cloudopslag is een doelwit. De veiligste aanpak is een lokale beheerder. Het slaat gegevens op uw harde schijf op. Geen server. Geen internetverbinding.
Sommige hardwareapparaten functioneren als kluizen ter grootte van een rekenmachine. Ze houden uw gegevens offline.
Er is hier sprake van één cruciaal risico. U heeft één hoofdwachtwoord nodig. Als u het vergeet, zijn uw gegevens verdwenen. Voor altijd.
Overweeg om het op te schrijven. Niet op een plakbriefje op uw monitor. Op papier. Opgeslagen in een fysieke lockbox of een kluis. Ergens weg van uw computer.
De eeuwenoude wortels van encryptie
Dit is niet nieuw. Mensen verbergen al duizenden jaren berichten.
Het vroegste geregistreerde voorbeeld dateert uit ongeveer 300 v.G.T. in India. De Arthashastra, een oude hindoetekst, beschrijft hoe soldaten en spionnen gecodeerde berichten gebruikten. Het doel was altijd hetzelfde. Vermijd ontdekking. Houd de informatie veilig voor vijanden.
Wij doen nog steeds hetzelfde. De tools zijn gewoon sneller.
