После объявлений сервисов о взломе и утечке данных только треть пользователей меняют свои пароли. Об этом свидетельствуют результаты исследования учёных из Института безопасности и конфиденциальности Университета Карнеги-Меллона (CyLab).

Отчёт об исследовании был презентован на конференции IEEE 2020 в мае. Особенность этой работы в том, что она основана не на опросных данных, а на данных по актуальному браузерному трафику.

Учёные проанализировали веб-трафик, собранный с помощью университетской исследовательской группы Security Behavior Observatory (SBO), участники которой делятся полной историей своих перемещений в интернете для научных целей.

Набор данных включал информацию, собранную с домашних компьютеров 249 участников. Эти сведения охватывают период с января 2017 по декабрь 2018 года и включают не только данные по веб-трафику, но и пароли, используемые для входа на сайты и хранимые в браузере.

Анализ этих данных показал, что из 249 пользователей только 63 имели учётные записи в тех доменах, которые публично объявляли об утечках в отчётном периоде.

Из этих 63 пользователей только 21 (33%) посетили взломанные сайты, чтобы изменить свои пароли. И только 15 человек сделали это в течение трёх месяцев после объявления об утечке данных.

В целом в этих доменах было изменено 23 пароля.

Эксперты CyLab также проанализировали сложность новых паролей пользователей. Так, они выяснили, что из всех, кто сменил пароли (21 человек) только треть (9) начали использовать более сложный вариант. Остальные создали более слабые или такие же по сложности пароли, обычно используя те же последовательности символов, что и в предыдущих паролях, или пароли, похожие на те, что они используют в других аккаунтах.

Авторы исследования пришли к выводу, что пользователям по-прежнему не хватает знаний, необходимых для выбора более защищённых и уникальных паролей.

Исследователи также выступили с критикой в адрес взломанных сервисов, которые практически никогда не предлагают пользователям сбросить похожие или идентичные пароли, используемые в других аккаунтах.

Полная версия отчёта об исследовании CyLab доступна для скачивания в PDF-формате по ссылке.

источник