پرکاربردترین رمز عبور جهان؛ چرا «123456» هنوز خطرناک است؟

۱۲۳۴۵۶ همچنان یکی از ضعیف‌ترین و پرکاربردترین رمزهای عبور جهان است. بر اساس گزارش سال ۲۰۲۵ شرکت NordPass، این رمز بار دیگر در رتبه اول فهرست جهانی قرار گرفته است. دلیل اصلی خطرناک بودن آن، کوتاهی طول رشته، داشتن الگوی عددی کاملاً قابل پیش‌بینی و قرار گرفتن در صدر فهرست واژه‌نامه‌هایی است که مهاجمان در حملات خودکار سایبری برای نفوذ به حساب‌ها استفاده می‌کنند.

آیا 123456 هنوز پرکاربردترین رمز عبور جهان است؟

بر اساس جدیدترین داده‌های منتشرشده در گزارش سال ۲۰۲۵ شرکت NordPass، که بر پایه تحلیل اطلاعات استخراج‌شده از نشت‌های داده عمومی و مخازن دارک‌وب در بازه زمانی سپتامبر ۲۰۲۴ تا سپتامبر ۲۰۲۵ تدوین شده است، رمز عبور 123456 برای ششمین بار در هفت سال گذشته، رتبه اول را در سطح جهانی به خود اختصاص داده است.

این آمار نشان می‌دهد که انتخاب رمزهای عبور رایج ریشه در تمایل شناختی انسان به حفظ آسان اطلاعات دارد، نه ناآگاهی مطلق از خطرات. در جدول زیر، ۱۰ مورد از پرکاربردترین رمزهای عبور سال ۲۰۲۵ و دلیل آسیب‌پذیری آن‌ها را مشاهده می‌کنید:

چرا 123456 یک رمز عبور ضعیف است؟

برای درک علت ضعف این پسورد، باید آن را از منظر اصول رمزنگاری و امنیت اطلاعات بررسی کرد. ضعف یک رمز عبور تنها به سادگی ظاهری آن محدود نمی‌شود، بلکه به میزان مقاومت آن در برابر الگوریتم‌های کشف رمز بستگی دارد. دلایل اصلی ضعف این رمز عبارتند از:

کوتاهی طول رشته

در مباحث مربوط به امنیت رمز عبور، طول رشته ارتباط مستقیمی با فضای جستجو دارد. یک رمز عبور ۶ کاراکتری که تنها از اعداد تشکیل شده باشد، تنها یک میلیون حالت ممکن (۱۰ به توان ۶) دارد. کامپیوترهای امروزی و پردازنده‌های گرافیکی (GPU) می‌توانند این تعداد حالت را در کسری از میلی‌ثانیه محاسبه و آزمایش کنند.

الگوی عددی کاملاً قابل پیش‌بینی

انسان‌ها در تولید اعداد تصادفی بسیار ضعیف عمل می‌کنند. انتخاب توالی متوالی «۱ تا ۶» فاقد هرگونه تصادفی بودن است. الگوریتم‌های حدس رمز عبور برای شناسایی الگوهای خطی، صعودی و نزولی بهینه‌سازی شده‌اند و توالی‌های عددی متوالی اولین مقادیری هستند که در اسکریپت‌های نفوذ آزمایش می‌شوند.

رایج بودن

وقتی یک رشته متنی تبدیل به پرکاربردترین رمز عبور می‌شود، ارزش آن به عنوان یک کلید امنیتی از بین می‌رود. سیستم‌های احراز هویت بر این اصل استوارند که فاکتور دانش باید منحصر به کاربر باشد. اشتراک یک کلید یکسان میان میلیون‌ها کاربر، ماهیت امنیتی آن را باطل می‌کند.

حضور قطعی در داده‌های افشاشده

پایگاه‌های داده بزرگی از رمزهای عبور لو رفته در اینترنت وجود دارد (مانند RockYou.txt یا مجموعه Collection #1). رمز 123456 در صدر تمام این فایل‌های متنی قرار دارد. بنابراین، مهاجمان نیازی به انجام محاسبات پیچیده ندارند؛ آن‌ها صرفاً اولین خط از فایل واژه‌نامه خود را فراخوانی می‌کنند.

استفاده از رمزهای عبور رایج مانند «123456» امنیت حساب را به‌شدت کاهش می‌دهد؛ به همین دلیل توصیه می‌شود هنگام انتخاب رمز، از رمزهای رایج و افشاشده استفاده نکنید و یک رمز طولانی و منحصربه‌فرد انتخاب کنید. “راهنمای NIST درباره انتخاب رمز عبور امن“.

هکرها چگونه رمزهایی مثل 123456 را هدف قرار می‌دهند؟

بسیاری از کاربران تصور می‌کنند که هک از طریق رمز عبور به صورت دستی و توسط یک فرد پشت کیبورد انجام می‌شود. در واقعیت، این پروسه کاملاً خودکار، مقیاس‌پذیر و مبتنی بر الگوریتم‌های ریاضی و توزیع‌شده است. مهاجمان از متدهای زیر برای سوءاستفاده از ضعیف‌ ترین رمزهای عبور بهره می‌برند:

حمله دیکشنری

در این روش، مهاجم نرم‌افزار نفوذگر را به یک فایل متنی عظیم (دیکشنری) متصل می‌کند که حاوی میلیون‌ها رمز عبور رایج، کلمات فرهنگ لغات و الگوهای متداول است. از آنجا که 123456 همیشه در خطوط اولیه این فایل‌ها قرار دارد، سیستم‌هایی که از این رمز استفاده می‌کنند در ثانیه‌های نخست حمله تسلیم می‌شوند.

حمله جستجوی فراگیر

حمله Brute Force به معنای آزمایش تمام ترکیبات ممکن از حروف، اعداد و نمادها تا رسیدن به نتیجه صحیح است. اگر رمز عبور فقط شامل ۶ رقم باشد، یک نرم‌افزار Brute Force ساده در کمترین زمان ممکن تمام ۱,۰۰۰,۰۰۰ حالت را بررسی می‌کند و به سرعت به 123456 می‌رسد.

افشاندن رمز عبور

در سازمان‌ها و شبکه‌های بزرگ که حساب‌های کاربری پس از چندبار تلاش ناموفق مسدود می‌شوند، مهاجمان از Password Spraying استفاده می‌کنند. آن‌ها به جای تست هزاران رمز روی یک حساب، یک رمز عبور قابل هک و بسیار رایج مانند 123456 را انتخاب کرده و آن را روی هزاران نام کاربری مختلف به صورت همزمان تست می‌کنند. به این ترتیب، بدون فعال شدن مکانیزم‌های مسدودسازی، به حساب کاربرانی که از این رمز ضعیف استفاده کرده‌اند نفوذ می‌کنند.

تزریق اعتبارنامه

یکی از مخرب‌ترین روش‌های نفوذ، مبتنی بر رفتار اشتباه استفاده مجدد از رمز عبور است. زمانی که یک وب‌سایت هک می‌شود و رمز 123456 شما به همراه ایمیلتان افشا می‌گردد، مهاجمان این زوج ایمیل/پسورد را در ابزارهای خودکار وارد می‌کنند تا ورود به حساب‌های شما در صدها سایت دیگر (بانک‌ها، شبکه‌های اجتماعی و فروشگاه‌ها) را بررسی کنند. یک رمز عبور ضعیف در یک سایت کم‌اهمیت، می‌تواند منجر به سقوط امنیتی تمام حساب‌های آنلاین شما شود.

آیا 123456 واقعاً قابل هک است؟

پاسخ علمی به این سوال این است که 123456 اصولاً نیازی به «هک شدن» به معنای شکستن الگوریتم‌های رمزنگاری پیشرفته ندارد؛ این رمز صرفاً «حدس زده می‌شود». زمان لازم برای کشف یک رمز به عواملی نظیر روش حمله، وجود محدودیت در تعداد تلاش‌ها ، نوع تابع درهم‌ساز و اعمال Salt در سمت سرور بستگی دارد.

با این حال، در سناریوی نشت اطلاعات پایگاه داده ، اگر سرور رمزها را به صورت Hashing ضعیف (مانند MD5 یا SHA-1 بدون Salt) ذخیره کرده باشد، هکرها با استفاده از جداول از پیش محاسبه‌ شده می‌توانند هش مربوط به 123456 را در کسری از ثانیه با مقدار اصلی تطبیق دهند. به دلیل فقدان پیچیدگی، این مقدار هیچ‌گونه مقاومتی در برابر تکنیک‌های مدرن شکستن رمز عبور از خود نشان نمی‌دهد.

آیا 123456! یا P@ssw0rd123 امن است؟

یکی از تصورات اشتباه و رایج در میان کاربران این است که اضافه کردن یک نماد ویژه یا تغییرات جزئی، یک رمز عبور خطرناک را ایمن می‌کند. تغییراتی مانند:

• 123456!
• 12345678@
• P@ssw0rd123
• Adm!n2025

سازمان ملی امنیت سایبری بریتانیا (NCSC) صراحتاً در مستندات خود اشاره می‌کند که مهاجمان از فرآیندی به نام Password Mutation و Predictable Substitution آگاه هستند. ابزارهای مدرن هک (مانند Hashcat یا John the Ripper) به طور خودکار قوانینی را اعمال می‌کنند که حروف بزرگ را به کوچک، عدد صفر را به جای حرف O و علامت تعجب را به انتهای تمام پسوردهای موجود در واژه‌نامه اضافه می‌کنند. بنابراین، چنین تغییرات ظاهری و قابل پیش‌بینی، رمز عبور را به شکل معناداری در برابر حملات محافظت نمی‌کند.

ضعیف‌ترین الگوهای رمز عبور کدام‌اند؟

علاوه بر توالی‌های عددی ساده، رفتار انسان‌ها در انتخاب رمز عبور الگوهای به‌شدت آسیب‌پذیری ایجاد می‌کند. ضعیف‌ترین رمزهای عبور معمولاً در یکی از دسته‌بندی‌های زیر قرار می‌گیرند:

• الگوهای کیبورد: مانند qwerty، qazwsx یا asdfghjkl. این الگوها به اندازه توالی‌های عددی برای هکرها شناخته‌شده هستند.
• استفاده از اطلاعات هویتی و شخصی: قرار دادن تاریخ تولد، سال ازدواج، نام فرزند یا کد ملی. این اطلاعات از طریق مهندسی اجتماعی یا بررسی شبکه‌های اجتماعی کاربر به سادگی قابل استخراج هستند.
• نام تیم‌های ورزشی و برندها: استفاده از کلماتی مانند استقلال، پرسپولیس، arsenal یا نام خودروهای معروف.
• اسامی حیوانات خانگی: یکی از رایج‌ترین اشتباهات امنیتی که مستقیماً حساب کاربری را هدف قرار می‌دهد.
• کلمه پایه به علاوه عدد: الگوی (Name + Year) مانند Tehran2025 یا Maryam1370 که به راحتی توسط اسکریپت‌های تولید دیکشنری ساخته و تست می‌شوند.

طول رمز عبور مهم‌تر است یا پیچیدگی؟

در سال‌های اخیر، پارادایم امنیت اطلاعات در زمینه انتخاب رمز عبور تغییرات بنیادینی داشته است. موسسه ملی استاندارد و فناوری آمریکا (NIST) در نسخه جدید استاندارد هویت دیجیتال خود (NIST SP 800-63B)، رویکرد سنتی «اجبار به پیچیدگی» را منسوخ دانسته است.

الزامات سنتی پیچیدگی که کاربر را مجبور به استفاده همزمان از حروف بزرگ، کوچک، اعداد و نمادها می‌کنند، معمولاً به ایجاد رمزهای قابل پیش‌بینی (مثل افزودن یک عدد ۱ و علامت ! در انتهای کلمه) منجر می‌شوند. NIST تاکید می‌کند که طول رشته بسیار مهم‌تر از ترکیب کاراکترها است. یک رمز عبور طولانی (حداقل ۱۵ کاراکتر) فضای جستجو را به شدت گسترش می‌دهد. همچنین، استاندارد NIST توسعه‌دهندگان سیستم‌ها را ملزم می‌کند به جای تمرکز بر پیچیدگی ظاهری، رمزهای رایج و افشاشده را از طریق ایجاد لیست مسدودی غیرقابل استفاده کنند تا کاربران نتوانند پسوردهایی مانند 123456 را انتخاب نمایند.

رمز عبور امن چه ویژگی‌هایی دارد؟

بر اساس استانداردهای مدرن امنیت سایبری، یک رمز عبور قدرتمند باید دارای چهار ویژگی اساسی باشد:

• طولانی بودن : هرچه تعداد کاراکترها بیشتر باشد، مقاومت در برابر حملات آفلاین به صورت تصاعدی افزایش می‌یابد.
• یکتایی : برای هر سرویس آنلاین باید یک رمز کاملاً مستقل و اختصاصی استفاده شود تا در صورت نشت اطلاعات یک سایت، سایر حساب‌ها مصون بمانند.
• تصادفی بودن : نباید شامل کلمات مرتبط با زندگی شخصی کاربر باشد. در همین راستا، سازمان NCSC رویکرد استفاده از “سه کلمه تصادفی” را پیشنهاد می‌دهد. ترکیب سه واژه بی‌ربط مانند «میز-آسمان-صخره» یا «TableBlueCoffee» طول کافی و آنتروپی مناسبی ایجاد می‌کند و در عین حال به راحتی در حافظه انسان ثبت می‌شود.
• عدم افشا در گذشته : رمز عبور نباید در هیچ پایگاه داده لورفته‌ای وجود داشته باشد.

Password Manager چه کمکی می‌کند؟

توقع اینکه یک کاربر بتواند ده‌ها رمز عبور طولانی، یکتا و تصادفی را برای سرویس‌های مختلف به خاطر بسپارد، با واقعیت توانایی‌های شناختی انسان مغایرت دارد. نرم‌افزارهای مدیریت رمز عبور به عنوان استاندارد طلایی و راهکار اصلی این مشکل شناخته می‌شوند.

این نرم‌افزارها پسوردهای بسیار قدرتمند و غیرقابل پیش‌بینی تولید می‌کنند، آن‌ها را در یک پایگاه داده رمزنگاری‌شده ذخیره می‌نمایند و به صورت خودکار در فرم‌های ورود سایت‌ها جایگذاری می‌کنند. با استفاده از Password Manager، تنها رمز عبوری که کاربر باید به خاطر بسپارد، رمز عبور اصلی نرم‌افزار مدیریت پسورد است که باید بسیار قوی و طولانی باشد.

آیا MFA و Passkey جای رمز عبور را می‌گیرند؟

امنیت حساب‌های کاربری دیگر نباید صرفاً متکی به یک فاکتور باشد. حتی قدرتمندترین رمزهای عبور نیز می‌توانند در حملات فیشینگ یا بدافزارهای Keylogger سرقت شوند.

استفاده از احراز هویت چندعاملی (MFA) یک لایه امنیتی حیاتی اضافه می‌کند. با فعال‌سازی MFA، حتی اگر مهاجم رمز عبور ۱۲۳۴۵۶ شما را در اختیار داشته باشد، بدون دسترسی به فاکتور دوم (مانند کد ارسال شده به نرم‌افزار Authenticator یا توکن سخت‌افزاری) امکان ورود نخواهد داشت.

علاوه بر این، فناوری Passkey که بر پایه استانداردهای FIDO2 توسعه یافته است، در حال جایگزینی کامل رمزهای عبور است. Passkey با استفاده از کلیدهای رمزنگاری نامتقارن و سنسورهای بیومتریک دستگاه کاربر (اثر انگشت یا تشخیص چهره)، احراز هویت را انجام می‌دهد. این فناوری در برابر حملات فیشینگ و حدس رمز عبور کاملاً مصون است و آینده امنیت آنلاین را شکل می‌دهد.

اگر رمز عبورم 123456 است چه کار کنم؟

اگر در هر یک از حساب‌های کاربری خود از پسوردهای ضعیف استفاده می‌کنید، باید بلافاصله چرخه امنیتی زیر را اجرا کنید:

• حسابرسی حساب‌ها: تمامی پلتفرم‌هایی که از رمز مشترک یا ضعیف در آن‌ها استفاده کرده‌اید را شناسایی کنید.
• استفاده از مدیر رمز عبور: یک Password Manager معتبر نصب و راه‌اندازی کنید.
• تغییر سیستماتیک: رمز عبور حساب‌های حساس (ایمیل اصلی، بانکداری، شبکه‌های اجتماعی) را به رمزهای تصادفی تولیدشده توسط مدیر رمز عبور تغییر دهید.
• فعال‌سازی MFA: احراز هویت دومرحله‌ای (ترجیحاً از طریق اپلیکیشن‌های Authenticator نه پیامک) را برای تمام حساب‌های مهم فعال کنید.
• بررسی نشت اطلاعات: از ابزارهایی مانند Have I Been Pwned استفاده کنید تا متوجه شوید آیا ایمیل و رمزهای قبلی شما در دیتابیس‌های هک شده قرار دارند یا خیر.

سوالات متداول شما عزیزان