Hơn 90% mật khẩu người dùng vẫn yếu kém: "1234", "admin" phổ biến đến khó tin

Một nghiên cứu mới trên hơn 19 tỷ mật khẩu rò rỉ từ tháng 4/2024 đến 2025 cho thấy hơn 90% là yếu hoặc dễ đoán, với các chuỗi phổ biến như "1234", "admin" hay "password" vẫn được dùng rộng rãi, phản ánh thói quen bảo mật kém của người dùng.

Mật khẩu ngắn, dễ đoán và lặp lại phổ biến

Theo nhóm nghiên cứu từ Cybernews, phần lớn người dùng tạo mật khẩu có độ dài từ 8 đến 10 ký tự, vừa đủ để đáp ứng yêu cầu cơ bản của hầu hết các hệ thống trực tuyến. Tuy nhiên, trong số đó có tới 27% mật khẩu chỉ bao gồm chữ cái thường và số, rất dễ bị đoán ra bằng các công cụ tấn công phổ biến. Những lựa chọn phổ biến khác bao gồm tên riêng, từ chửi thề, tên thành phố, quốc gia, món ăn và động vật.

Đáng chú ý, chỉ 6% trong số hơn 19 tỷ mật khẩu được xác định là độc nhất, việc này cho thấy thói quen sử dụng lại mật khẩu cũ hoặc mặc định vẫn còn quá phổ biến.

"1234", "admin", "password" – những mật khẩu ai cũng dùng và tin tặc cũng biết

Trong quá trình phân tích, nhóm nghiên cứu phát hiện chuỗi "1234" xuất hiện trong hơn 727 triệu mật khẩu. Từ "password" được dùng 56 triệu lần và "admin" có mặt trong 53 triệu trường hợp. Những mật khẩu này không chỉ đơn giản mà còn là mục tiêu hàng đầu trong các danh sách từ khóa mà tin tặc sử dụng để dò mật khẩu.

Việc người dùng chọn những mật khẩu đơn giản xuất phát từ lý do quen thuộc: dễ nhớ. Việc tạo ra mật khẩu mạnh không khó, nhưng ghi nhớ hàng loạt mật khẩu riêng biệt cho mỗi tài khoản thì không phải ai cũng làm được,  nhất là khi không sử dụng các công cụ hỗ trợ.

Giải pháp vẫn có, nhưng thói quen vẫn là rào cản lớn nhất

Mặc dù các giải pháp bảo mật như trình quản lý mật khẩu (password manager) hay xác thực hai yếu tố (2FA) ngày càng phổ biến, nhưng nhiều người vẫn ngại áp dụng vì cho rằng mất thời gian và phiền phức. Nghiên cứu này cho thấy rõ ràng: bảo mật cá nhân không thiếu công cụ, chỉ thiếu sự nghiêm túc và ý thức từ chính người dùng.

Dữ liệu trong nghiên cứu được tổng hợp từ khoảng 200 sự cố an ninh mạng khác nhau, với tổng dung lượng lên đến 213 GB. Toàn bộ mật khẩu đều đã được lọc và ẩn danh để đảm bảo không vi phạm thông tin cá nhân của bất kỳ ai.