Deze week lukte het een hacker om de website van de populaire forumsoftware phpBB.com te kraken en de accounts van zo'n 400.000 gebruikers te stelen, bestaande uit namen, e-mailadressen en gehashte wachtwoorden. Via een script wist hij meer dan 28.000 wachtwoorden te achterhalen, omdat die via een unsalted MD5 algoritme waren gehasht. Het incident heeft wat weg van de diefstal van 30.000 MySpace wachtwoorden, hoewel die een stuk complexer waren, zo merkt Robert Graham op.

Onderzoekers wisten via een phishingaanval van zo'n 30.000 MySpace gebruikers in 2006 de wachtwoorden te stelen. In tegenstelling tot phpBB vereist de sociale netwerksite dat wachtwoorden tussen de 6 en 10 karakters bevatten, waarvan tenminste één cijfer of leesteken. Bij phpBB was deze vereiste niet aanwezig, waardoor de wachtwoorden korter zijn en vaak alleen uit woorden bestaan.

Welkom
Graham downloadde het bestand, verkrijgbaar via The Piratebay, met de wachtwoorden en ontdekte dat 65% in een eenvoudig Engels woordenboek is terug te vinden. Gebruikt men een "hacker" woordenboek, dan geldt dit zelfs voor 94% van de wachtwoorden. Verder bleek dat 16% van de wachtwoorden overeenkomt met een voornaam, waarbij Joshua, Thomas, Michael en Charlie het populairst zijn. Veertien procent zijn toetsenbord patronen, zoals "1234", "qwerty" en "asdf". Variaties van het woord "password" waren goed voor vier procent, denk aan "drowssap", "passw0rd" en "password1".

Een ander deel, vijf procent van de gebruikers, haalt inspiratie voor wachtwoorden uit bekende films, televisieseries en muziek. 4% kijkt voor het verzinnen van een wachtwoord naar dingen in de buurt, zoals "samsung", "dell" en "apple". Hieronder de lijst van de Top20 wachtwoorden. Ook Nederlandse gebruikers zijn in de grote lijst terug te herkennen, zo gebruiken sommigen het wachtwoord "wachtwoord" of "welkom".

1. "123456" (3.03%)
   
2. "password" (2.13%)
   
3. "phpbb" (1.45%)
   
4. "qwerty" (0.91%)
   
5. "12345" (0.82%)
   
6. "12345678" (0.59%)
   
7. "letmein" (0.58%)
   
8. "1234" (0.53%)
   
9. "test" (0.50%)
   
10. "123" (0.43%)
    
11. "trustno1" (0.36%)
    
12. "dragon" (0.33%)
    
13. "abc123" (0.31%)
    
14. "123456789" (0.31%)
    
15. "111111" (0.31%)
    
16. "hello" (0.30%)
    
17. "monkey" (0.30%)
    
18. "master" (0.28%)
    
19. "killer" (0.22%)
    
20. "123123" (0.22%)