Elke maand worden meer dan 1,2 miljoen zakelijke Microsoft-accounts door criminelen gecompromitteerd, mede omdat mensen zwakke en hergebruikte wachtwoorden gebruiken. Dat liet Microsofts Alex Weinert tijdens de RSA Conferentie in San Francisco weten. "Dit is echt een enorm hoog getal als je erover nadenkt", merkte Weinert op. In het geval van een organisatie met 10.000 gebruikers worden er elke maand vijftig gecompromitteerd.

Microsoft verwerkt meer dan 30 miljard inlogpogingen per dag en heeft meer dan een miljard maandelijkse gebruikers. Ongeveer 0,5 procent van de accounts wordt gecompromitteerd. Wat opvalt aan de gecompromitteerde accounts is dat 99,99 procent geen gebruikmaakte van multifactorauthenticatie. "Multifactorauthenticatie had het grootste deel van die gecompromitteerde accounts voorkomen", aldus Weinert. Een populaire techniek die aanvallers toepassen is password spraying, waarbij een aanvaller veelgebruikte wachtwoorden probeert om op een account in te loggen.

Iets meer dan veertig procent van de 1,2 miljoen accounts per maand wordt op deze manier gecompromitteerd. Volgens Weinert heeft password spraying een succesratio van één procent. Van elke honderd aangevallen accounts weet een aanvaller op één account in te breken. De aanvallers gebruiken daarbij een verzameling van ongeveer vijftien wachtwoorden per account.

Naast password spraying maken aanvallers ook gebruik van gelekte wachtwoorden die bij websites zijn gestolen. Deze aanvallen werken alleen omdat gebruikers hetzelfde wachtwoord voor meerdere accounts gebruiken. Aanvallers weten via deze methode op iets minder dan veertig procent van de accounts in te breken. "Zestig procent van de gebruikers hergebruikt wachtwoorden", merkte Weinert op. Hij voegt dat veel mensen hun zakelijke accounts in niet-zakelijke omgeving hergebruiken. Om dergelijke aanvallen te voorkomen adviseert Microsoft het inschakelen van multifactorauthenticatie en het uitschakelen van legacy authenticatieprotocollen zoals IMAP, POP en SMTP.