خلاصه و معرفی
در سال 2025 در آلمان مجموعهای از گذرواژههای بسیار ساده و تکراری بیش از همه نشت پیدا کردند؛ نمونهٔ بارز آن «123456» بود که حدود 23 میلیون بار در مجموعه دادههای نشتشده دیده شد. پس از آن مواردی مانند «123456789»، «565656»، «12345678»، «hallo123»، «kaffeetasse»، «passwort» و «lol123» نیز از جملهٔ رایجترین رمزهای لو رفته بودند. این الگوها نشاندهندهٔ خوشباوری کاربران به ترکیبهای ساده، نامها یا اعداد متوالی است که در برابر حملات گسترده بسیار آسیبپذیرند.
فهرست گذرواژههای پرتکرار
- 123456 — حدود 23 میلیون وقوع در نشتها
- 123456789
- 565656
- 12345678
- hallo123
- kaffeetasse
- passwort
- lol123
چرا این رمزها خطرناکاند
این رمزهای ساده و تکراری برای حملات «credential stuffing» بسیار مناسباند: وقتی یک سرویس هک میشود و دادههای ورود منتشر میشوند، مجرمان همان ترکیب نامکاربری و رمز را روی سرویسها و حسابهای دیگر هم امتحان میکنند. از سوی دیگر بدافزارهای سرقت اطلاعات (infostealer) میلیونها شناسه و رمز را از سیستم کاربران میدزدند و این اطلاعات بهصورت گسترده در بازارهای غیرقانونی پخش میشود.
- بازپخش گذرواژه در سرویسهای مختلف (reuse): یک نشت میتواند به دسترسی به همهٔ حسابهای یک کاربر منجر شود.
- ابزارهای یادگیری ماشین: مدلها و ابزارهای خودکار قادرند در مدت کوتاهی الگوهای متداول را حدس بزنند.
- بدافزارها: نمونههایی وجود دارند که دهها میلیون اعتبار سرقت میکنند و آنها را در چرخهٔ حملات قرار میدهند.
- اندازهٔ بزرگ نشتها: گزارشهایی از میلیاردها حساب نشتشده وجود دارد که دامنهٔ حملات را بسیار وسیع میکند.
همچنین یک کارشناس تحقیقاتی هشدار داده است: «اگر یک سرویس هک شود و اطلاعات ورود درز کند — که بهصورت میلیاردمبارت اتفاق میافتد — مجرمان این اطلاعات را در همهجا امتحان میکنند.» این واقعیت نشان میدهد که انتخاب یک رمز ساده یا استفادهٔ مجدد از آن، ریسک بسیار بالایی برای امنیت دیجیتال فرد ایجاد میکند.
آمار و روندهای کلیدی
تحلیلهای مختلف نشان میدهد که نشتها بسیار بزرگ و متنوعاند: گزارشهایی از چند میلیارد حساب کاربری نشتشده منتشر شده و برخی بدافزارها بیش از 60 میلیون اعتبار را سرقت کردهاند. استفاده از احراز هویت دومرحلهای (2FA) نیز کاهش یافته و در برخی مطالعات حدود 34 درصد اعلام شده که به معنای ضعف در پذیرش این لایهٔ حفاظتی است. گذرواژههای هشتکاراکتری بهویژه آسیبپذیر توصیف شدهاند.
| موضوع | مقدار/یادداشت |
|---|---|
| پرتکرارترین گذرواژه | 123456 (~23 میلیون وقوع در مجموعه دادهها) |
| حجم نشتهای گزارششده | میلیاردها حساب (گزارشهای مختلف) |
| نمونهٔ سرقتدهندهٔ اطلاعات | بیش از 60 میلیون اعتبار سرقتشده توسط بدافزارهای شناختهشده |
| نرخ استفاده از 2FA | حدود 34٪ در برخی مطالعات |
| آسیبپذیری گذرواژه | گذرواژههای کوتاه و هشتکاراکتری بهویژه در خطرند |
| نتیجه | تکرار و سادگی گذرواژهها ریسک گستردهای ایجاد میکند |
راهکارهای توصیهشده برای محافظت
رمزهای طولانی و منحصربهفرد
تحقیقات و نهادهای امنیتی بر ایجاد گذرواژههای طولانی و یکتا تأکید دارند. گذرواژههای حداقل 15 کاراکتر شامل حروف بزرگ و کوچک، اعداد و نمادها و پرهیز از واژگان دیکشنری یا اسمهای رایج، بهطور چشمگیری مقاومت در برابر حدس و حملات خودکار را افزایش میدهند.
- از ترکیبات تصادفی طولانی (حداقل 15 کاراکتر) استفاده کنید.
- از کلمات معنادار یا نامها بهتنهایی پرهیز کنید.
- جهت به خاطر سپردن، از ترکیب چند کلمهٔ نامرتبط یا الگوهای طولانی استفاده کنید.
مدیریت گذرواژه و احراز هویت دومرحلهای
مدیران گذرواژه ابزار مؤثری برای تولید و ذخیرهٔ ایمن رمزهای طولانی و یکتا هستند؛ همچنین فعالسازی احراز هویت دومرحلهای (2FA) هر جا ممکن است، لایهٔ محافظتی مهمی میافزاید. با این حال، تعویض مکرر رمزها میتواند کاربران را به ایجاد نسخههای ضعیفتر تشویق کند، بنابراین توصیه میشود بهجای تغییرهای دورهای اجباری، روی طول و یکتایی رمزها و استفاده از 2FA تمرکز شود.
- از مدیر گذرواژه برای تولید و ذخیرهٔ رمزهای یکتا استفاده کنید.
- 2FA را برای سرویسهای حساس فعال کنید، اما بهجای تعویض مداوم رمز، روی کیفیت رمزها تمرکز نمایید.
- در صورت مشاهده نشت یا اطلاعرسانی، بلافاصله رمز مربوطه را تغییر دهید.
عبارات گذرواژه و راهکارهای آینده
برخی منابع پیشنهاد میکنند از passphrase (ترکیب چند کلمه) به طول 12 تا 20 کاراکتر استفاده شود که هم بهیادماندنی و هم امن است. همچنین تکنولوژیهای جدید بدون کلمهعبور مانند passkeys که مبتنی بر رمزنگاری و احراز هویت بیومتریک یا PIN محلیاند، نویدبخش کاهش وابستگی به گذرواژههای سنتی و جلوگیری از سرقت رمزها هستند.
نکات عملی و گامبهگام برای کاربران
چند اقدام ساده اما مؤثر که هر کاربر میتواند همین امروز انجام دهد تا ریسک نشت اطلاعات کاهش یابد:
- رمزهای تکراری را متوقف کنید: برای هر سرویس یک رمز یکتا داشته باشید.
- از مدیر گذرواژه استفاده کنید تا رمزهای طولانی و تصادفی بسازید و ذخیره کنید.
- 2FA را فعال کنید و در صورت امکان از روشهای مبتنی بر کلید یا برنامههای احراز هویت استفاده کنید.
- از تغییر اجباری و مداوم رمزها پرهیز کنید مگر دلیل امنیتی وجود داشته باشد؛ بهجای آن، رمزهای باکیفیت بسازید.
- از واژگان رایج، نامها و تاریخهای تولد در رمزها اجتناب کنید.
- در برابر وسوسهٔ استفاده از ابزارهای خودکار یا مدلهای پیشبینی برای تولید رمز ضعیف، محتاط باشید و در صورت استفاده، رمزها را چک کنید.
- در صورت دریافت اطلاعیهٔ نشت، فوراً رمز و 2FA را تغییر دهید و وضعیت حسابهای مرتبط را بررسی کنید.
جمعبندی
استفاده از رمزهای ساده و تکراری در برابر حملات مدرن و بدافزارهای سرقت اطلاعات تقریباً هیچ مقاومتی ایجاد نمیکند و یک نشت کوچک میتواند به شکستی گسترده در حریم خصوصی منجر شود. با اتخاذ روشهای ساده اما مؤثر—رمزهای طولانی و یکتا، مدیر گذرواژه، احراز هویت دومرحلهای و در آیندهٔ نزدیک پذیرش راهحلهای بدون رمز مانند passkeys—میتوان این خطرات را بهطور چشمگیری کاهش داد. تغییر رفتار کاربران و ارتقای ابزارها در کنار راهکارهای فناورانه میتواند گام مهمی در جلوگیری از تکرار چنین نشتهایی باشد.