SpyCloud揭示了在整个2019年恢复的640起独特的数据泄露事件，恢复了9,050,064,764份凭据，包括带有明文密码和与用户名关联的电子邮件地址。这意味着平均而言，每次数据库泄露都会为犯罪分子提供超过1400万组登录凭据。由于人们经常在多个帐户（包括个人帐户和工作帐户）中重复使用密码，因此每组登录凭据都可用于访问数十个或更多帐户，网络犯罪分子可利用这些帐户进行欺诈。凭据泄露报告去年，近三分之一受数据泄露影响的互联网用户以某种形式重置了密码。在回收密码的人中，94%重复使用了完全相同的密码，而另外6%的人进行了细微的更改，例如将首字母大写或在其常用密码末尾添加数字。这些策略很容易被测试常见细微变化的工具所挫败。在组织安全方面的一个令人担忧的趋势是，越来越多的犯罪分子正在共享和销售来自配置错误或不安全的服务器的数据。组织也可能采取不完整的步骤来保护密码。犯罪分子使用2012年已被盗的密码研究人员发现，超过一半(53.7%)的恢复密码最初是使用过时的哈希算法SHA-1和MD5进行保护的。安全专家从2005年左右开始建议不要使用SHA-1，从1996年开始建议不要使用MD5，因为网络犯罪分子可以轻松快速地破解使用这些函数散列的密码并恢复纯文本密码。“我们的数据显示，消费者仍然没有改变他们使用密码的坏习惯，但我们知道他们已经授权安全组织为他们的安全负责，”SpyCloud首席产品官DavidEndell说。“如今，犯罪分子仍在使用他们在2012年窃取的相同密码来攻击和接管帐户。公司需要指导用户在创建帐户时设置更好的密码，并且每当他们的凭据在世界任何地方遭到破坏时，他们都需要帮助用户维护更强的密码。”大约1.25亿个账户被世界上最流行的密码暴露。最流行的密码几乎没有改变。在去年收集的超过90亿个账户中，前三名是“123456”、“123456789”和“qwerty”，它们是用于保护大约1.25亿个帐户。越来越多的组织必须遵守NIST的密码指南，该指南建议用户了解以前违规行为集中最容易暴露的弱密码，以及常用或容易猜到的密码，这样他们就可以避免使用它们。
