Εκατομμύρια χρήστες του διαδικτύου εξακολουθούν να επιλέγουν εξαιρετικά απλούς κωδικούς πρόσβασης, εκθέτοντας τους προσωπικούς τους λογαριασμούς σε σοβαρούς κινδύνους παραβίασης.
Νέα ανάλυση αποκαλύπτει ότι συνδυασμοί όπως το «123456», η λέξη «password» και ονόματα ποδοσφαιρικών ομάδων εμφανίζονται εκατομμύρια φορές σε βάσεις δεδομένων που έχουν διαρρεύσει, προσφέροντας στους κυβερνοεγκληματίες ένα εύκολα αξιοποιήσιμο εργαλείο.
Σύμφωνα με την έρευνα της ασφαλιστικής εταιρείας Alan Boswell Group, που παρουσιάζει η βρετανική εφημερίδα The Sun, ο κωδικός «123456» έχει εντοπιστεί σχεδόν 210 εκατομμύρια φορές σε γνωστές διαρροές δεδομένων, ενώ η λέξη «password» έχει εμφανιστεί περισσότερες από 52 εκατομμύρια φορές. Ακόμη και η λέξη «computer» έχει καταγραφεί περίπου 2,5 εκατομμύρια φορές.
Η ανάλυση βασίζεται σε στοιχεία της υπηρεσίας Have I Been Pwned, η οποία συγκεντρώνει πληροφορίες για κωδικούς πρόσβασης που έχουν εκτεθεί σε περιστατικά παραβίασης δεδομένων διεθνώς.
Πρέπει να διευκρινιστεί ότι οι αριθμοί αυτοί αφορούν τις καταγεγραμμένες εμφανίσεις των κωδικών σε διαρροές και όχι απαραίτητα ισάριθμους διαφορετικούς χρήστες. Ένας κωδικός μπορεί να εμφανίζεται πολλές φορές, μεταξύ άλλων επειδή έχει χρησιμοποιηθεί σε περισσότερες από μία υπηρεσίες.
Οι κωδικοί που εμφανίζονται συχνότερα σε διαρροές
Η έρευνα δείχνει ότι οι αριθμητικοί συνδυασμοί παραμένουν ιδιαίτερα δημοφιλείς, παρά τις επανειλημμένες προειδοποιήσεις των ειδικών κυβερνοασφάλειας.
Μεταξύ των κωδικών που εμφανίζονται συχνότερα σε διαρροές περιλαμβάνονται:
123456 – περίπου 210 εκατομμύρια εμφανίσεις
123456789 – περίπου 80,9 εκατομμύρια εμφανίσεις
12345678 – περίπου 70,4 εκατομμύρια εμφανίσεις
password – περίπου 52,3 εκατομμύρια εμφανίσεις
admin – περίπου 42,1 εκατομμύρια εμφανίσεις
12345 – περίπου 31 εκατομμύρια εμφανίσεις
qwerty – περίπου 30,8 εκατομμύρια εμφανίσεις
Η χρήση τόσο προβλέψιμων συνδυασμών διευκολύνει τους επιτιθέμενους, οι οποίοι μπορούν να αξιοποιήσουν αυτοματοποιημένα εργαλεία για να δοκιμάσουν γνωστούς κωδικούς σε μεγάλο αριθμό λογαριασμών.
Ιδιαίτερο ενδιαφέρον παρουσιάζει και η χρήση ονομάτων από τον αθλητισμό και τη μουσική. Ο κωδικός «Chelsea», που παραπέμπει στη γνωστή αγγλική ποδοσφαιρική ομάδα, έχει εμφανιστεί 1.218.040 φορές σε διαρροές δεδομένων. Παράλληλα, το όνομα του συγκροτήματος Metallica έχει καταγραφεί περισσότερες από ένα εκατομμύριο φορές.
Ανάλογους κινδύνους παρουσιάζουν οι κωδικοί που βασίζονται σε συνηθισμένα ονόματα, χρονολογίες γέννησης ή άλλες εύκολα προβλέψιμες προσωπικές πληροφορίες.
Γιατί είναι επικίνδυνοι ακόμη και οι παλιοί κωδικοί
Ο Heath Alexander-Bew, εκπρόσωπος της Alan Boswell Group, προειδοποιεί ότι η χρήση αδύναμων κωδικών μπορεί να προκαλέσει σημαντικά προβλήματα τόσο σε ιδιώτες όσο και σε επιχειρήσεις.
Στην περίπτωση των ιδιωτών, η παραβίαση ενός λογαριασμού μπορεί να επιτρέψει την πρόσβαση σε ηλεκτρονικά καταστήματα, τραπεζικές εφαρμογές ή μέσα κοινωνικής δικτύωσης. Για τις επιχειρήσεις, οι συνέπειες μπορεί να επεκταθούν σε οικονομικά έγγραφα, στοιχεία πελατών και εσωτερικά αρχεία.
Ο σημαντικότερος κίνδυνος προκύπτει όταν ο ίδιος κωδικός χρησιμοποιείται σε πολλές διαφορετικές υπηρεσίες. Εάν ένας κωδικός διαρρεύσει από μία πλατφόρμα, οι επιτιθέμενοι μπορούν να δοκιμάσουν τον ίδιο συνδυασμό σε άλλους λογαριασμούς του χρήστη.
Η πρακτική αυτή, γνωστή ως credential stuffing, βασίζεται στην αυτοματοποιημένη δοκιμή διαρρεύσαντων στοιχείων σύνδεσης. Δεν απαιτεί απαραίτητα την παραβίαση ενός νέου συστήματος, καθώς αξιοποιεί πληροφορίες που έχουν ήδη εκτεθεί.
Πώς θα ελέγξετε αν έχει διαρρεύσει ο κωδικός σας
Οι χρήστες μπορούν να επισκεφθούν την υπηρεσία Have I Been Pwned, στη διεύθυνση https://haveibeenpwned.com, προκειμένου να ελέγξουν αν η ηλεκτρονική τους διεύθυνση έχει εμφανιστεί σε γνωστή παραβίαση δεδομένων.
Παράλληλα, μέσω της ειδικής υπηρεσίας Pwned Passwords, στη διεύθυνση https://haveibeenpwned.com/Passwords, μπορούν να ελέγξουν αν ένας συγκεκριμένος κωδικός έχει καταγραφεί στο παρελθόν σε διαρροή.
Εάν ένας κωδικός εμφανίζεται στη συγκεκριμένη βάση, αυτό δεν σημαίνει απαραίτητα ότι έχει παραβιαστεί ο προσωπικός λογαριασμός του χρήστη. Σημαίνει, όμως, ότι ο συνδυασμός είναι ήδη γνωστός από προηγούμενες διαρροές και δεν θεωρείται πλέον ασφαλής.
Οι ειδικοί συνιστούν τη δημιουργία διαφορετικού και ισχυρού κωδικού για κάθε υπηρεσία, τη χρήση διαχειριστή κωδικών πρόσβασης και την ενεργοποίηση ελέγχου ταυτότητας δύο παραγόντων, όπου αυτός είναι διαθέσιμος.
Το βασικό μήνυμα της έρευνας είναι ότι η ασφάλεια ενός λογαριασμού δεν εξαρτάται μόνο από την προστασία της πλατφόρμας που χρησιμοποιούμε, αλλά και από τις δικές μας επιλογές. Ένας εύκολος ή επαναχρησιμοποιημένος κωδικός μπορεί να αποτελέσει την αφετηρία μιας σοβαρής παραβίασης προσωπικών ή επαγγελματικών δεδομένων.
