Le top 100 des pires mots de passe utilisés sur Ashley Madison

La liste qui vient d'être révélée montre à quel point les mesures de sécurité prises par le site de rencontre extraconjugale Ashley Madison étaient légères en matière de mot de passe.

Quand le site de rencontre extraconjugale Ashley Madison s'est fait voler en juillet près de 100 Go de données sur ses utilisateurs, il semblait qu'une information restait encore protégée : les mots de passe. Ils étaient en effet chiffrés (via le protocole de hash bcrypt). Un groupe de chercheurs en sécurité (CynoSure Prime) est parvenu depuis à mettre au jour plus de 11,7 millions de mots de passe utilisés sur Ashley Madison. Ils ont fait appel dans cette optique à une méthode, baptisée cracking rig, consistant à partir d'une liste des mots de passe les plus probables, car les plus souvent choisis.

Ces experts ont publié une liste des 100 mots de passe les plus souvent utilisés sur le site (liste publiée par nos confrères d'Ars Technica).

La méthode retenue par les chercheurs et la liste publiée montrent à quel point les mesures d'Ashley Madison étaient légères en matière de mot de passe. Pour pouvoir les déchiffrer, il fallait par définition qu'ils soient faibles, c'est-à-dire ne pas être trop longs, ne pas contenir de caractères spéciaux, de date, de termes... 120 000 abonnés se connectaient avec le mot de passe "123456", près de 40 000 avec "password"... Seuls 4,6 millions de mots de passe découverts étaient uniques... Et au final, les chercheurs buttent encore que 3,7 millions qui n'ont pas encore été percés. Autant dire qu'au-delà du chiffrement le site n'avait aucune politique de mot de passe, laissant ouverte ainsi une faille potentiellement béante.