19 milliarder passord er lekket: - Færre enn 12 tegn gjør oss sårbare

Har du sterke og unike passord på alle kontoene dine? Både på jobb og privat er du i faresonen hvis du tar enkle snareveier her.

En ny studie fra Cybernews viser at over 19 milliarder passord ble lekket fra perioden april 2024 til april 2025.

– Passord i seg selv gir jo dårlig sikkerhet uansett hvor lange de er.

Hele 94 prosent av passordene er gjenbrukt eller dupliserte, og kun seks prosent av passordene var unike.

Dette gjør brukere svært sårbare for angrep, hvor hackere automatisk tester lekkede brukernavn og passord på tvers av ulike tjenester.

Les også: – Hæ! Har du egne passord for alle apper du bruker?

– Ikke overrasket

Elisabet Haugsbø, president i Tekna, er ikke overrasket over at de korte passordene blir hacket.

– At nesten halvparten av passordene er under 10 tegn, overrasker meg ikke. Mange tilbydere av ulike tjenester henger igjen i gamle og utdaterte standarder for bruk av passord.

– Det har lenge vært antatt at bruk av små og store bokstaver, tall og spesialtegn til sammen skaper et sterkt passord, men det stemmer ikke. Det er hovedsakelig lengden på passordet som avgjør om det er sterkt eller ikke.

– Og NIST (The National Institute of Standards and Technology) sine oppdaterte passordanbefalinger er gode her (selv om jeg skulle ønske de var enda strengere når det gjelder passordlengde).

Mange bruker «passord» som passord

Undersøkelsen viser at mest brukte passordene er fortsatt enkle og forutsigbare, som «123456», «password» og «admin», til tross for mange år med advarsler og opplæring.

Navn er også svært vanlige i passord.

Navn er også svært vanlige i passord, hvor «Ana» er det nest mest brukte. Andre populære komponenter inkluderer positive ord som «love», navn fra popkultur, banneord, byer, mat, og til og med ukedager og måneder.

Mange brukere velger passord som er lette å huske, men som også er lette å gjette for angripere.

Les også: Du er ikke trygg for angrep på hjemmekontoret: – Dette må du ta på alvor!

Nøkkelfunn fra studien:

• 42 prosent av passordene har 8–10 tegn, der åtte tegn er mest vanlig.
• 27 prosent består kun av små bokstaver og tall.
• Banneord og støtende ord er langt vanligere i passord enn man skulle tro.
• Standard-passord som «admin/admin» eller «1234», byttes ofte aldri ut, og resirkuleres til og med på andre tjenester.
• Studien peker på at svak passordpraksis utgjør en stor risiko for både enkeltpersoner og virksomheter. Når et passord først er kompromittert, kan det gi hackere tilgang til flere kontoer og systemer.
• Angripere bruker automatiserte verktøy for å teste millioner av brukernavn og passord på tvers av ulike plattformer, og selv en suksessrate på 0,2–2 prosent gir tusenvis av kompromitterte kontoer.

– Bruk alltid mer en 12 tegn

For at ingen skal få tak i din private- eller arbeidsplassens sensitive informasjon er det visse tiltak du burde bruke litt tid på.

– Jeg vil ikke anbefale folk å gå rundt og huske alle passordene sine, men det som er positivt med lange passord, er at man kan bruke setninger – og det er mye lettere å huske, sier Haugsbø.

– Til slutt vil jeg råde folk til å rydde opp i antall kontoer av og til.

– Bruk av svake passord, altså passord som er korte (jeg anbefaler alltid at passord er lengre enn 12 tegn), medfører en økt risiko for at kontoer kan bli kompromittert eller «tatt over». Ettersom de fleste av oss dessverre gjenbruker e-post- og passordkombinasjoner, også mellom jobb og privat, gjør det oss sårbare.

– Når jeg er ute og hjelper ulike bedrifter med digital sikkerhet, pleier jeg å minne dem på at det også er viktig å hjelpe ansatte med å være påpasselige med private kontoer – det bidrar til økt sikkerhet for hele virksomheten.

Hun forteller at et eksempel kan være at bedriften betaler for en passordmanager for den ansatte, både til jobb og privat bruk. Det er ofte en veldig liten prisforskjell, men det kan gjøre stor forskjell når det gjelder sikring av private kontoer.

– Passord i seg selv gir jo dårlig sikkerhet uansett hvor lange de er.

– Og siden det ofte er passord som brukes til å identifisere kontoeieren, er vi dessverre stuck med denne metoden en stund fremover. Det som i alle fall må gjøres, er å bruke MFA-metoder (Flerfaktor-autentisering) i tillegg til et langt passord. Her finnes det mange gode løsninger, og jeg vil slå et slag for bruk av biometriske metoder via en ekstern enhet – altså en annen enhet enn den du bruker til å logge inn på kontoen din.

Ellers gjelder de «gode gamle» rådene:

• Bruk lange passord – tenk setninger.
• Bruk MFA.
• Gjenbruk aldri passord.
• Bruk passordmanager (henger sammen med punktet over – ingen husker alle passordene sine hvis alle er unike).

– Til slutt vil jeg råde folk til å rydde opp i antall kontoer av og til. Hvis du ikke har brukt kontoen din på et år, trenger du den sannsynligvis ikke. Tenk gjennom egne sletterutiner.

– Jeg prøver også å unngå å opprette brukerkontoer på sider hvis jeg kan få tak i det jeg trenger uten å registrere meg – da gjør jeg heller det, sier hun.