我们分析了10万条泄露密码，发现了这样的套路

中国企业数据治理联盟（www.chinaedg.com/）

进入》主数据管理    企业数据治理   信息资源规划   数据安全管理

上个月，某知名字母站的代码不幸“被开源”，同时泄露的还有部分用于测试的真实用户密码。然而在刚刚经历过铁路抢票平台470万个人信息泄露风波的人们看来，这些都不过是小风小浪。

在这个高呼“网络安全”的时代，网民却日渐没有了安全感，不管是订票出行账户还是酒店开房账户，都已经被历史证明，没有什么是不可能泄露的。

今年四月，英国国家网络安全中心与澳大利亚的网络安全专家特洛伊?亨特合作，基于数据库中存储的现实中曾经泄露出的551,509,767条密码数据集，统计出前10万条最为常用的密码公布，作为黑名单以提醒仍在使用这些密码的用户及时更换密码。

我们根据公布的10万条密码进一步分析，发现了诸多亮点。

键盘恐成最大背锅侠

人们常常用阿Q精神安慰自己一介草民，不会惊动黑客这种高智商犯罪团伙。调侃用着六位数的银行密码保护着三位数的银行存款，颇有点心累。

但是大多数人在拿到新银行卡的当天都会修改初始密码，以避免盗刷的风险。

细细想来，选个好记又不容易被猜到的密码还有点难度。

在这5亿多次密码泄露记录中，泄露次数最多的三种密码分别是“123456”“123456789”和“qwerty”，其中，最常被用作初始密码的“123456”已被泄露高达23,174,662次，堪称世界第一密码。

显然，这三种密码都呈现明显的键位特征，这在黑名单公布的10万种密码中也比较常见。

当绞劲脑汁也想不出合适的密码时，总有人放弃了抵抗，选择了最省事的方法，选取键盘中的一行连续敲了过去。

根据字母和符号作为分隔标志对密码进行分隔结果中，共出现3679次“123”字串、645次“1234”子串、331次“123456”子串和275次“12345”子串，而其他长数字串都没有出现如此高的频次。

值得一提的是，去除连续数字和相同数字的数字组合，剩下的“69”“14”“08”等数字组合也呈现出九宫格的键位特征。说明键位设置可能不同，但人的惰性总不会变。

另外，还有一些网站甚至要求必须在密码中包含符号，但大家想到最多的标点也会撞上。

最常用到的标点是“.”和“!”，分别出现600次左右。点号往往起着代替空格作为分割符的作用，而“!”则用于表达爱意的强度。

紧随其后的是“_”和“-”，分别出现229次和191次，而“$”“&”和“*”则较少出现，只有十几条常用密码片段使用它们。

密码里藏着爱

由于现代网站上常常会要求必须在密码中加入英文字母，以保证安全性，纯数字的密码已经逐渐成为上古记忆。为了凑上那几位字母，大家除了输入连续字母之外，往往会选择心里最想说出的某个词或某句话。

然而，“一千个观众心目中只有一个美猴王”在密码里也成立。

我们按照数字和符号作为分隔符，提取出英文子串，统计了最常出现的英文子串，发现频率最高的20个词中除了出现144次的“qwerty”呈现明显的键位特征之外，别的都能看出清晰的含义特征。

最常见的英文单词是“love”，将近是第二名“qwerty”的两倍。同时，带有love单词的长字段组合也有较高频次，比如“iloveyou”和变体“iloveu”分别出现81次和40次。看来能够击败人类选取密码时惰性的可能只有对某人私密的爱吧。

另一些人表达爱意的方式则更加露骨，直接将自己想说的某个词或人名作为密码。

密码中前20个英文常用词还有“angel”“football”“soccer”“myspace”“dragon”“baby”“life”和“money”等生活中常见的词，可见足球迷非常之多，此外也有一些常见的英文姓名。

在密码中最常出现的英文名是是“alex”，出现了一共116次。而日式英文名“naruto”在英文名字中显得格外瞩目，作为鸣人的英译名，可以看出这部漫画在世界范围内的影响力。

而“chris”“james”“michael”和“jordan”这些名或姓氏出现的原因，是用户为了记录自己或心爱人的名字，亦或纪念某位名人便不得而知了。

中文拼音密码也一样

由于泄露的密码主要来自西方国家网站，并没有完全显示国人密码特征，不过数读菌从这10万条密码中手动搜索了一些常用拼音，居然有意外收获。

根据密码中常用的英文单词，我们用对应的拼音进行了检索。

外国人爱用“password”作为密码，共出现139次，拼音对照方案就是“mima”作为密码，典型的有“wodemima”“meiyoumima”等。

中国人也爱用“爱”作为自己的密码，比如“woaini”“woaini521”“aini1314”之类的海誓山盟。

英文有“b****” ”f***” ”s***”等经典脏字，中国人也会在密码里输入“c**n*m*”之类的国骂表达对某人的愤恨。

除此之外，常用的拼音密码还有“baobei”“hai123”“tianshi”等。

同时，由于一些网站对数字长度往往会有8位以上的要求，而连续数字或相同数字也被禁用。很多人都会选择某个年月日来填充长数字串，以纪念账户主人某个特殊日子，可能是生日或结婚纪念日。

虽然世界各地年份表示规则各不相同，但国内外都爱把年份日期塞入密码里。

我们提取密码中含有正好8位数字且能匹配年月日数据的部分共计6978条，根据规则提取年月日信息，并进行汇总统计。

最终发现泄漏密码中的常见日期几乎全都出现在上世纪八九十年代，可能是这部分出生的用户是当前网民的主体部分的缘故。

月份在10月、12月、1月最多，均超过600次。密码日期数据分布较为均匀，数量最多的是20日，共出现289次，而其余日期基本都在240次左右。

如果综合考虑月份和日期的话，大家对一年的第一天情有独钟，在10万条最常用泄露密码中出现了53次，10月10日和12月12日紧随其后。

如今，随着各大网站对密码要求不断提高，有时甚至要求同时包括大小写和符号，这些泄露密码使用范围正在逐渐缩小。不过，不用弱口令，常换密码，不一码多用，永远都不会过时。

然而，最让人心酸的是，一波操作猛如虎，自认为费劲心机、巧妙构思的完美密码，最后仔细一看发现被网站用明文存储和传输着，被密码为“admin” 或“root”的猪队友管理员发布到了开源平台上。

附：

如何知道自己的密码有没有被泄露呢?外国有心的网络安全专家已经通过整合历次密码泄露事件构成的数据库，来供用户查询密码是否被泄露。

最著名的是“我被搞了吗”网站：https://haveibeenpwned.com/，用户可以查询自己邮箱是否被泄露，以及密码在历次泄露事件中出现的次数。

此外，火狐官方建立了一个网站：https://monitor.firefox.com/，用户可以输入电子邮箱查看其密码是否被泄露，以及是被哪家网站泄露的。

大家可以复制链接，用浏览器打开尝试。

编辑：hely   来源：网络大数据