Je hebt tientallen accounts. Misschien honderden. Het controleren ervan vergt een mentale last die de meeste mensen niet willen dragen. Het resultaat? Je valt terug op de weg van de minste weerstand. Je kiest een wachtwoord dat gemakkelijk te onthouden is. U hergebruikt dezelfde tekenreeks op vijf verschillende sites. Het voelt handig.
Het is ook een veiligheidsnachtmerrie.
Cybersecuritybedrijf NordPass volgt dit gedrag jaarlijks. Hun gegevens uit 2024, afkomstig van inbreuken in 44 landen, laten zien hoe slecht de gewoonte is geworden. De lijst met meest voorkomende wachtwoorden is een kerkhof van digitale veiligheid. Hier ziet u hoe de grootste overtreders eruit zien en waarom u onmiddellijk moet stoppen met het gebruik ervan.
De top 25 meest voorkomende wachtwoorden van 2024
Dit zijn niet zomaar willekeurige gissingen. Ze vertegenwoordigen de luie standaard van miljoenen gebruikers. NordPass heeft deze strings gevonden bij datalekken, waarbij de gebruiksfrequentie is geregistreerd.
- 123456 : 1,2 miljoen keer
- 123456789 : 693.000 gebeurtenissen
- 12345678 : 365.000 voorvallen
- geheim : 339.000 gebeurtenissen
- wachtwoord : 196.000 keer voorkomend
- qwerty123 : 144.000 exemplaren
- qwerty1 : 138.000 exemplaren
- 111111 : 106.000 gebeurtenissen
- 123123 : 102.000 gebeurtenissen
- 1234567890 : 93.000 voorvallen
- qwerty : 92.000 exemplaren
- 1234567 : 86.000 voorvallen
- 11111111 : 80.000 voorvallen
- abc123 : 58.000 keer
- iloveyou : 54.000 keer voorkomend
- 123123123 : 51.000 gebeurtenissen
- 000000 : 46.000 gebeurtenissen
- 00000000 : 45.000 voorvallen
- a123456 : 42.000 keer
- wachtwoord1 : 41.000 keer voorkomend
- 654321 : 41.000 voorvallen
- qwer4321 : 36.000 exemplaren
- 1q2w3e4r5t : 35.000 keer
- 123456a : 35.000 voorvallen
- q1w2e3r4t5y6 : 34.000 keer
Kijk naar de top vijf. Simpele cijfers. Het woord “wachtwoord” zelf. Het klinkt absurd, maar gemak wint het keer op keer van waakzaamheid.
Waarom toetsenbordpatronen een ramp zijn
Blader door die lijst en er komt een patroon naar voren. Het is niet willekeurig. Het merendeel van deze tekenreeksen volgt de fysieke indeling van uw toetsenbord. QWERTY-toetsen. Opeenvolgende nummers.
Dit is een catastrofaal veiligheidsfalen.
Hackers hebben geen geavanceerde kunstmatige intelligentie nodig om deze te doorbreken. Ze gebruiken geautomatiseerde scripts. Deze scripts voeren brute-force-aanvallen uit met behulp van de meest voorkomende wachtwoordlijsten. Ze testen deze strings binnen enkele seconden op uw account. Als u qwerty123 of 123456 gebruikt, is uw account waarschijnlijk gehackt voordat de aanval zelfs maar als waarschuwing wordt geregistreerd.
Zelfs ‘gewone zelfstandige naamwoorden’ zoals ‘geheim’ of ‘iloveyou’ zijn zwak. Het zijn de eerste woorden die bij elke woordenboekaanval worden geprobeerd. Ze vormen geen echte barrière voor geautomatiseerde tools.
De persoonlijke gegevensval
Naast het stampen op het toetsenbord is er nog een andere categorie van kwetsbaarheden. Het gaat om persoonlijke informatie.
Uit de trendanalyse blijkt dat mensen dierennamen gebruiken (aap, draak, eenhoorn). Ze gebruiken sporten (honkbal, voetbal, voetbal). Ze gebruiken hun eigen voornaam, zoals ‘ashley’ of ‘michael’, vaak in kleine letters.
Erger nog, mensen integreren identificerende gegevens in hun inloggegevens. Delen van hun naam. De stad waarin ze zijn geboren. Hun geboortejaar.
Waarom is dit gevaarlijk? Omdat deze gegevens openbaar zijn. Het staat op sociale media. Het gaat om oude datalekken. Oplichters kunnen dit binnen enkele minuten in elkaar puzzelen. Iemand die je kent, kan het raden als hij maar een idee heeft van je leven.
Belangrijkste inzicht : elk wachtwoord dat persoonlijke identificatiegegevens of veelgebruikte zinnen bevat, is zwak. Het kan worden gephished of geraden door bekenden.
Hoe u een sterkere verdediging kunt opbouwen
De les uit de gegevens van 2024 is duidelijk. De methoden die mensen gebruiken om sterke wachtwoorden te maken, maken ze actief zwakker.
Vermijd tekenreeksen in numerieke of alfabetische volgorde. Vermijd toetsenbordwandelingen. Vermijd gewone zelfstandige naamwoorden. En cruciaal: vermijd persoonlijke informatie.
Een sterk wachtwoord lijkt in niets op de top 25-lijst. Het moet willekeurig zijn. Het zou lang moeten zijn. Het zou in geen enkel woordenboek mogen voorkomen.
Belangrijkste inzicht : stop met het toevoegen van “1” of “!” naar een zwak woord. Het helpt niet. Het
De meeste mensen beschouwen hun digitale leven als een open huis. Ze laten de deuren ontgrendeld en de lichten aan. Als u uw gegevens daadwerkelijk wilt beschermen, moet u stoppen met denken als een gebruiker en gaan denken als een doelwit. Het goede nieuws is dat de tools gratis zijn. Het slechte nieuws is dat de meeste mensen ze negeren totdat het te laat is.
1. Vertrouw uw hersenen niet langer met wachtwoorden
De grootste fout die mensen maken, is slim omgaan met hun wachtwoorden. Je kent de oefening. “Wachtwoord123” is lui. “Zomer2024!” is voorspelbaar. Zelfs als je het jaartal verwisselt of een symbool toevoegt, is het nog steeds een patroon. Een menselijk brein is verschrikkelijk in willekeur. Het hunkert naar structuur. Hackers houden van structuur omdat deze gemakkelijk te doorbreken is.
Het enige echt veilige wachtwoord is een wachtwoord dat u niet kent.
Webbrowsers zoals Chrome kunnen deze tekenreeksen voor u genereren. Ze creëren lange, chaotische combinaties van hoofdletters, kleine letters, cijfers en interpunctie. Een brute force-aanval (waarbij software elke mogelijke combinatie probeert) wordt wiskundig onmogelijk als deze voldoende lang en complex is.
De vangst? Je kunt het je niet herinneren.
Dus schrijf je het op. Of je bewaart het. Dit leidt tot het volgende punt.
2. Waarom tweefactorauthenticatie niet onderhandelbaar is
Tweefactorauthenticatie (2FA) voegt een tweede verificatielaag toe. Het is niet alleen ‘leuk om te hebben’. Het is het verschil tussen een kapot slot en een open deur.
Hier is hoe het werkt. Zelfs als een hacker uw wachtwoord steelt via een datalek of phishing, kan hij of zij niet inloggen zonder de tweede factor. Dit kan een sms-bericht op uw telefoon zijn, een e-mailcode of een tijdgevoelig token van een app zoals Google Authenticator.
De wiskunde is eenvoudig. Om binnen te komen, hebben ze zowel uw wachtwoord als uw fysieke apparaat nodig. Als ze het ene wel hebben, maar het andere niet, worden ze buitengesloten.
“Tweefactorauthenticatie verhoogt de beveiligingsfactor exponentieel, want zelfs als een hacker dat wachtwoord had gestolen, zou hij of zij niet kunnen inloggen tenzij hij ook dat tweede e-mailaccount had gehackt of fysieke toegang tot je smartphone had verkregen.”
Ja, het voegt een paar seconden toe aan uw inlogproces. Je tikt op een extra knop. Je gaat je telefoon controleren. Doe het. De tijd die wordt bespaard bij het voorkomen van identiteitsdiefstal is oneindig.
3. De inloggegevensvulval
Het gebruik van hetzelfde wachtwoord voor elk account is de snelste manier om alles kwijt te raken.
Stel je voor dat je “Mijn HondIsMax1” gebruikt voor je e-mail, je bank en je winkelsite. Eén van die sites wordt gehackt. De aanvallers dumpen de database op het dark web. Ze geven niets om uw e-mail. Ze geven om uw geld.
Ze gebruiken een script. Dit script neemt dat ene wachtwoord en probeert het op honderden andere grote sites. Dit heet credential stuffing. Het kost hen weinig moeite en een hoge beloning.
Als u voor elk account een uniek wachtwoord gebruikt, daalt het slagingspercentage van deze aanval tot nul. Eén inbreuk brengt slechts één account in gevaar. De rest blijft veilig. Zo simpel is het.
4. Het dilemma van de wachtwoordbeheerder
U hebt complexe, unieke wachtwoorden nodig. Je kunt ze niet onthouden. Je hebt een hulpmiddel nodig.
Voer de wachtwoordbeheerder in. Deze applicaties slaan uw inloggegevens op in een gecodeerde kluis. U hoeft slechts één hoofdwachtwoord te onthouden. De software vult de rest in. De meeste moderne browsers hebben dit ingebouwd. Het is handig. Het synchroniseert op verschillende apparaten.
Maar er is een risico.
Als u een cloudgebaseerde wachtwoordbeheerder gebruikt, bevindt uw kluis zich op een server. Als die server wordt gehackt, worden uw sleutels blootgesteld. Als u uw hoofdwachtwoord verliest, bent u voor altijd buitengesloten, tenzij u een herstelplan heeft.
Zoek voor maximale veiligheid naar offline oplossingen. Sommige wachtwoordbeheerders slaan gegevens alleen op uw lokale computer op. Geen cloudsynchronisatie. Geen externe server. Er zijn zelfs hardwareapparaten die op USB-drives of rekenmachines lijken. Ze hebben geen internetverbinding. Ze zijn door hun ontwerp voorzien van luchtopeningen.
“De veiligste beheerders slaan de wachtwoorden alleen op uw lokale computer op en niet op een server.”
Als u de offline route kiest, moet u uw hoofdwachtwoord onthouden. Schrijf het op papier. Verberg het in een kluis. Plaats het niet naast uw computer. Sla het niet op in een tekstbestand op uw bureaublad. Fysieke veiligheid is van belang als digitale veiligheid lokaal is.
Oude wortels van moderne geheimen
Wij zijn niet de eersten die zich zorgen maken over spionnen en geheimen. Encryptie is geen moderne uitvinding. Het dateert van duizenden jaren geleden.
Het vroegst bekende voorbeeld verschijnt rond 300 v.G.T. in het oude India. De Arthashastra, een hindoetekst over staatsmanschap, beschrijft soldaten en spionnen die gecodeerde berichten gebruiken. Ze moesten informatie doorgeven zonder dat vijanden het konden lezen. Ze gebruikten vervangende cijfers. Ze veranderden de betekenis van de letters.
Tegenwoordig gebruiken we dezelfde logica. We gebruiken alleen snellere computers en complexere wiskunde. Het principe blijft hetzelfde. Verberg de betekenis. Bescherm de sleutel.
U kunt hetzelfde wachtwoord blijven gebruiken als in 2015. Of u kunt een willekeurige reeks, tweefactorauthenticatie en een unieke kluis gebruiken. De keuze is aan jou. De hackers wachten.
