Dans l’une des plus grandes études sur la réutilisation de mots de passe de ce type, une analyse de plus d’un milliard d’informations d’identification divulguées a révélé qu’un mot de passe sur 142 est la chaîne classique « 123456 ».
L’étude, réalisée le mois dernier par l’étudiant en génie informatique Ata Hakçıl, a analysé les combinaisons de nom d’utilisateur et de mot de passe qui ont fuité en ligne après des vols de données dans diverses entreprises.
Ces « dump de données » existent depuis plus d’une demi-décennie et s’accumulent à mesure que de nouvelles entreprises se font pirater.
Ces données sont facilement disponibles en ligne, sur des sites comme GitHub ou GitLab, ou librement distribuées via des forums de piratage et des portails de partage de fichiers.
Au fil des années, les entreprises technologiques ont collecté ces données volées. Par exemple, Google, Microsoft et Apple ont collecté des identifiants ayant fait l’objet d’une fuite pour créer des systèmes d’alerte internes qui avertissent les utilisateurs lorsqu’ils utilisent un mot de passe « faible » ou « commun ».
En outre, le service en ligne « Have I Been Pwned » fonctionne également en se basant sur ces données volées.
Résultats de l’étude
Le mois dernier, Ata Hakçıl, un étudiant turc étudiant dans une université de Chypre, a téléchargé et analysé plus d’un milliard d’identifiants volés. La découverte principale a été que l’ensemble de données de 1 000 000 000 + d’informations d’identification ne comprenait que 168 919 919 mots de passe uniques, dont plus de 7 millions étaient la chaîne « 123456 ».
Cela signifie qu’un mot de passe sur 142 inclus dans l’échantillon analysé par Ata Hakçıl était le mot de passe le plus faible connu à ce jour : la chaîne « 123456 » étant le mot de passe le plus souvent réutilisé en ligne au cours des cinq dernières années consécutives.
L’étudiant a également découvert que la longueur moyenne des mots de passe est généralement de 9,48 caractères. La plupart des experts en sécurité recommandent d’utiliser des mots de passe aussi longs que possible, et généralement de 16 à 24 caractères ou plus.
Mais la longueur du mot de passe n’était pas le seul problème découvert par Ata Hakçıl. Le chercheur turc a déclaré que la complexité des mots de passe était également un problème, avec seulement 12 % des mots de passe contenant un caractère spécial.
Dans la plupart des cas, les utilisateurs ont choisi des mots de passe simples utilisant uniquement des lettres (29 %) ou des chiffres (13 %). Cela signifiait qu’environ 42 % de tous les mots de passe inclus dans le milliard de données étaient vulnérables aux attaques de dictionnaire qui permettraient aux acteurs malveillants d’accéder aux comptes sans aucun effort.
Les résultats complets de l’étude sont disponibles sur GitHub, avec un bref résumé ci-dessous :
- A partir de 1 000 000 000 + entrées issues des dumps de données, 257 669 588 ont été filtrées comme données corrompues (dans un format incorrect) ou comptes de test.
- 1 milliard d’identifiants se divisent à 168 919 919 mots de passe uniques et 393 386 953 noms d’utilisateur uniques.
- Le mot de passe le plus courant est « 123456 ». Il couvre environ 0,722 % de tous les mots de passe.
- Les 1 000 mots de passe les plus courants couvrent 6,607 % de tous les mots de passe.
- La longueur moyenne du mot de passe est de 9,4822 caractères.
- 12,04 % des mots de passe contiennent des caractères spéciaux.
- 28,79 % des mots de passe sont uniquement composés de lettres.
- 26,16 % des mots de passe sont en minuscule uniquement.
- 13,37 % des mots de passe sont uniquement des nombres.
- 34,41 % de tous les mots de passe se terminent par des chiffres, mais seulement.
- 4,522 % de tous les mots de passe commencent par des chiffres.
Source : ZDNet.com
