Zestigduizend medewerkers van de West-Australische gebruiken een zwak wachtwoord, waarbij Password123 het populairst is. Dat blijkt uit onderzoek van de Western Australian Auditor General (pdf). De Auditor bekeek 234.000 accounts van 17 overheidsinstellingen en 23 Active Directory-omgevingen.

Van deze accounts had 26 procent (60.000) een zwak of veelgebruikt wachtwoord. "Zwakke wachtwoorden vergroten het risico op succesvolle cyberaanvallen waarbij aanvallers ongeautoriseerde toegang tot systemen en informatie verkrijgen", aldus de Auditor. Er werd gebruikgemaakt van woordenboekaanvallen om te kijken of overheidsmedewerkers voor hun accounts zwakke wachtwoorden hadden ingesteld.

Voor 1464 accounts was het wachtwoord "Password123" ingesteld. Ook waren er ruim 5.000 accounts met een wachtwoord waarin het woord password voorkwam. Ook variaties van datums en seizoenen werden vaak (12.700) gebruikt. De Auditor stelt in het rapport dat wachtwoordlengte een belangrijke maatregel is om een wachtwoord veiliger te maken. Acht karakters blijkt echter de meestgebruikte wachtwoordlengte te zijn.

Alle gecontroleerde overheidsinstanties bleken vereisten voor accounts te hebben opgesteld, alleen werden die niet altijd nageleefd. Zo werden al actieve accounts niet altijd verplicht om hun wachtwoord te vernieuwen en werden complexiteitsregels alleen gehandhaafd als wachtwoorden werden aangemaakt of veranderd. Daardoor waren er ook nog accounts met zwakke wachtwoorden die waren aangemaakt voordat de regels van kracht werden.

Volgens de Auditor hebben overheidsinstellingen geen technische controls om goede wachtwoorden voor netwerkapplicaties af te dwingen en missen er richtlijnen voor goed wachtwoordbeheer. In het rapport worden dan ook verschillende aanbevelingen gegeven, zoals het blacklisten van zwakke wachtwoorden, het aanpassen van wachtwoordeisen voor elk account en ervoor zorgen dat overheidsmedewerkers over een manier beschikken om wachtwoorden op een veilige manier op te slaan.