De geheime vragen die gebruikers voor het resetten van hun wachtwoord gebruiken, zijn veel te eenvoudig te raden, zo blijkt uit onderzoek van Microsoft en de Carnegie Mellon Universiteit. De onderzoekers ontdekten dat bekenden van de 130 proefpersonen in 28% van de gevallen de geheime vraag succesvol wisten te raden. Buitenstaanders haalden een succespercentage van 17%. Dat niet iedereen van de zwakte van het wachtwoord reset mechanisme op de hoogte is, werd vorig jaar duidelijk, toen een hacker het Yahoo account van Sarah Palin wist te resetten. Onlangs werd ook het e-mailaccount van actrice Salma Hayek op dezelfde manier gekraakt.

De onderzoekers stellen dan ook dat geheime vragen als "backup authenticatie" niet veilig genoeg zijn. De makkelijkste geheime vragen zijn zelfs zonder kennis over het slachtoffer te raden, zoals favoriete stad en sportclub. Bij deze vragen werd het antwoord in respectievelijk 30% en 57% van de gevallen geraden. Daarnaast is het niet alleen lastig om een wachtwoord te onthouden, ook het antwoord op de geheime vraag vervaagt na verloop van tijd. Zestien procent van de gebruikers wist binnen 3 tot 6 maanden het antwoord niet meer. En twintig procent vergat uiteindelijk de antwoorden op al hun geheime vragen.

Kosten
De reden dat websites en bedrijven toch de geheime vragen blijven gebruiken is om het ondersteunen van klanten zo goedkoop mogelijk te houden. "Het rare is dat het backup systeem om je wachtwoord te resetten onveiliger is dan het systeem dat het zou moeten ondersteunen", aldus beveiligingsgoeroe Bruce Schneier. De onderzoekers zijn dan ook van mening dat er een compleet nieuw mechanisme als backup authenticatie moet komen, aangezien geheime vragen gewoon niet goed genoeg zijn. "We zien graag dat de geheime vragen verdwijnen", aldus één van de onderzoekers.