Gần một nửa mật khẩu trong nghiên cứu của Kaspersky bị bẻ khoá trong 1 phút, chỉ có 2/10 người đặt mật khẩu mạnh.
Các chuyên gia của Kaspersky thu thập 193 triệu mật khẩu được rao bán trên darknet và tiến hành thử nghiệm bẻ khoá bằng cách dự đoán mật khẩu, nói theo ngôn ngữ chuyên môn là hình thức tấn công dự đoán thông minh (smart guessing attacks) và brute force.
Kết quả, 45% trên tổng 87 triệu mật khẩu có thể bị bẻ khóa thành công trong vòng một phút. Những mật khẩu khó hơn sẽ mất tới một năm mới bẻ khoá thành công bằng phương pháp nói trên, và chỉ có 23% (tức 44 triệu) mật khẩu đáp ứng tiêu chí này.
Cụ thể, nghiên cứu tháng 6/2024 của Kaspersky chỉ ra tốc độ bẻ khoá 193 triệu mật khẩu như sau:
- 45% (87 triệu) trong vòng chưa đầy 1 phút.
- 14% (27 triệu) – Từ 1 phút đến 1 tiếng.
- 8% (15 triệu) – Từ 1 tiếng đến 1 ngày.
- 6% (12 triệu) – Từ 1 ngày đến 1 tháng.
- 4% (8 triệu) – Từ 1 tháng đến 1 năm.
Bên cạnh đó, đa phần các mật khẩu (57%) đều chứa một từ dễ dàng tìm thấy trong từ điển, điều này làm giảm đáng kể độ mạnh của mật khẩu. Trong số các chuỗi từ vựng phổ biến nhất, Kaspersky phân thành một số nhóm mật khẩu:
- Tên: “ahmed”, “nguyen”, “kumar”, “kevin”, “daniel”.
- Từ phổ biến: “forever”, “love”, “google”, “hacker”, “gamer”.
- Mật khẩu tiêu chuẩn: “password”, “qwerty12345”, “admin”, “12345”, “team”.
Các mật khẩu mạnh của người dùng thường hội đủ các yếu tố sau:
- Một từ không có trong từ điển
- Bao gồm chữ thường và chữ in hoa
- Có cả số và ký hiệu
Theo phương pháp trên, tôi có thể ví dụ một mật khẩu mạnh như sau: $fwfoftt4y90.
Theo Kaspersky, các kẻ tấn công không cần sở hữu kiến thức chuyên môn hay thiết bị tân tiến để bẻ khóa mật khẩu. Ví dụ, bộ xử lý máy tính xách tay chuyên dụng có thể tìm ra chính xác tổ hợp mật khẩu gồm 8 chữ cái hoặc chữ số viết thường bằng brute force chỉ trong 7 phút. Ngoài ra, card đồ họa tích hợp sẽ xử lý tác vụ tương tự trong 17 giây. Bên cạnh đó, các thuật toán đoán mật khẩu thông minh còn có xu hướng thay thế các ký tự (“e” thành “3”, “1” thành “!” hoặc “a” thành “@”) và các chuỗi phổ biến (“qwerty”, “12345”, “asdfg”).
Cách đặt mật khẩu mạnh
“Một cách vô thức, con người thường đặt mật khẩu rất đơn giản, thường là các từ trong từ điển bằng tiếng mẹ đẻ, như tên riêng và số…”, bà Yuliya Novikova, Trưởng phòng Digital Footprint Intelligence tại Kaspersky cho hay.
Bà Yuliya cho rằng ngay cả những tổ hợp mật khẩu mạnh cũng hiếm khi được đặt khác với xu hướng trên, vì vậy chúng hoàn toàn có thể bị thuật toán đoán được. Do đó, giải pháp đáng tin cậy nhất là tạo ra một mật khẩu hoàn toàn ngẫu nhiên bằng các trình quản lý mật khẩu hiện đại và đáng tin cậy.
Mọi người có thể áp dụng một số phương pháp sau để có mật khẩu mạnh hơn:
- Nên dùng phần mềm quản lý mật khẩu để lưu trữ mật khẩu.
- Sử dụng mật khẩu khác nhau cho các dịch vụ khác nhau.
- Không nên sử dụng các thông tin cá nhân, như ngày sinh nhật, tên thành viên trong gia đình, thú cưng hoặc tên riêng để đặt mật khẩu. Đây thường là những lựa chọn đầu tiên kẻ tấn công sẽ thử khi bẻ khóa mật khẩu.
Xem thêm: Kaspersky cảnh báo về các hình thức tấn công giả mạo để vượt xác thực hai yếu tố
