De meeste wachtwoorden zijn op woorden uit het woordenboek gebaseerd, gevolgd door namen en cijfers. Softwarearchitect Troy Hunt onderzocht de manier waarop internetgebruikers hun wachtwoorden kiezen. Hij deed dit op basis van verschillende gelekte databases met gebruikersnamen en wachtwoorden, waaronder die van Gawker, Sony en andere overzichten die LulzSec openbaarde.

Veertien procent van de wachtwoorden was gebaseerd op de naam van iemand. In meer dan de helft van deze gevallen wordt de naam zonder enige aanpassing gebruikt. Acht procent gebruikte de plaatsnaam als wachtwoord. Het populairst zijn echter woordenboekwoorden. In 64% ging het om een woord dat direct uit het woordenboek kwam. De meest gebruikte zijn 'password', 'monkey' en 'dragon'.

Wachtwoorden die alleen uit cijfers bestaan zijn met veertien procent ook erg geliefd. 48% kiest voor een cijferwachtwoord bestaande uit zes cijfers. 123456 is hierbij het populairst, gevolgd door 12345678 en 123456789.

Websites
Hunt concludeert dat wachtwoorden op woorden of persoonlijke of andere te onthouden patronen zijn gebaseerd. Pogingen om een wachtwoord te versterken gebruiken daarnaast vaak voorspelbare patronen en echt willekeurige wachtwoorden zijn zo goed als niet bestaand. Minder dan één procent van de gehele dataverzameling bestond uit echt willekeurige wachtwoorden.

"Een groot deel van het probleem is dat websites erg laks wachtwoordbeleid implementeren, of helemaal niet, gebaseerd op de gevallen met één karakter." Volgens Hunt moeten websites dan ook een robuust minimum als criteria aanhouden of zwakke wachtwoorden helemaal niet toestaan.