Cuando vemos un top 25 o top 100 de las contraseñas más comunes, ¿para qué porcentaje de usuarios cuenta?

Como ya dijo Max Coutinho, siempre es la cuestión de dónde provienen esas contraseñas en esas infames 25, 50, 100 … listas. De hecho, puede tratarse principalmente de bases de datos pirateadas, pero hay una advertencia: hay pirateos de ciertos sitios web y servicios que eventualmente (si sus contraseñas no están (correctamente) cifradas) se agregarán a las estadísticas de frecuencia de contraseña; Sin embargo, algunos de esos sitios tienen un problema: la gente no los toma en serio (o las cuentas que crearon allí). Si un sitio web lo obliga a crear una cuenta que sabe que va a usar solo una vez o no le importa o crea una cuenta falsa porque tiene curiosidad … ¿va a usar su contraseña “buena”? ¿El que usas en todas partes (mucha gente lo hace)? Probablemente no.

Hay un costo asociado con la creación de una contraseña buena Y segura: debe memorizarla (la mayoría de la gente no ha oído hablar de las herramientas de administración de contraseñas como keepass). Es por eso que todas esas estadísticas de frecuencia deben tomarse con un grano de sal. Ashley Madison, Adobe … obtiene muchas estadísticas de contraseñas, pero estoy bastante seguro de que la mayoría de las cuentas usaron contraseñas “basura” intencionalmente.

Para las contraseñas descifradas de Ashley Madison (solo es posible para aproximadamente 15 millones de cuentas, debido a los hashes viejos y rotos) y su frecuencia, consulte este sitio web: la lista de las 100 principales muestra que las contraseñas de Ashley Madison son tan débiles como el resto

A nivel mundial, sería una cifra difícil de alcanzar. ¿Por qué? Hay tantas contraseñas: las contraseñas de su sistema, las contraseñas de correo electrónico, las contraseñas bancarias, las contraseñas de teléfono, las contraseñas de enrutador, las contraseñas de hervidor de agua y lo que no. La lista es simplemente una versión modificada de las contraseñas que se han revelado en un hack. Esto es lo que normalmente llamamos un volcado de contraseña.

Sin embargo, es probable que haya un 50% de posibilidades de que realmente haya un caso en el que los mismos usuarios tengan las mismas contraseñas que protegen todas las contraseñas que deben proteger. Por lo tanto, puede considerar que aproximadamente el 50% de los usuarios tendrán las mismas contraseñas comunes débiles.

En general, a menos que los mineros de datos denuncien esa información, no hay información suficiente para responder la pregunta.

Solo como un ejemplo rápido y simple:

Si 25 grupos de 10 personas compartieran una contraseña cada uno (de modo que había 250 usuarios y 25 contraseñas distribuidas uniformemente), de una base total de usuarios de 1000, el porcentaje sería del 25%. Si las mismas 250 personas compartieran las mismas 10 contraseñas de un grupo de 100000, el porcentaje sería del 0.25%.

Para determinar el porcentaje de usuarios afectados, debe saber cuántos usuarios usaron contraseñas de la lista “Top X Passwords” y el número total Y de usuarios del servicio. Una vez que tienes eso, es X dividido por Y.