Theo nghiên cứu của công ty an ninh mạng Hive Systems (Mỹ), mật khẩu dễ bị giải mã nhất thường chỉ gồm toàn chữ số, hoặc ít ký tự phức tạp.

Cụ thể, nếu người dùng đặt mật khẩu chỉ toàn các số, việc giải mã sẽ được thực hiện ngay lập tức, nhất là khi mật khẩu chỉ gồm 4-11 chữ số. Nhưng kể cả khi đặt với 18 số, hacker cũng chỉ mất khoảng ba tuần để giải mã.

Trong khi đó, mật khẩu mạnh nhất được đặt gồm số, chữ thường, chữ in hoa và các ký tự đặc biệt. Hacker có thể giải mã dễ dàng loại mật khẩu này khi chúng từ 4-6 ký tự. Nhưng nếu đặt dài hơn, hacker có thể phải cần từ vài chục phút tới hàng tỷ năm.

Theo các chuyên gia, mật khẩu ở ngưỡng an toàn nên từ 9 ký tự, gồm số, chữ thường, chữ in hoa và ký tự đặc biệt. Ở mức này, cần khoảng ít nhất hai ngày để giải mã.

Để xác định thời gian bẻ khóa một mật khẩu, Hive Systems sử dụng dữ liệu từ công cụ HowSecureIsMyPassword của Security.org. Trên blog, nhóm này giải thích rằng đã bắt đầu với cái gọi là "băm" (hashing) - quy trình được điều khiển theo thuật toán mà hầu hết website ngày nay sử dụng để ngụy trang mật khẩu được lưu trữ.

Ví dụ, nếu người dùng đặt mật khẩu cho tài khoản của mình là "password" vào một phần mềm băm thông dụng là MD5, họ sẽ nhận được một chuỗi ký tự là 5f4dcc3b5aa765d61d8327deb882cf99. Khi đột nhập vào các website, hacker cũng chỉ thấy những ký tự này.

Mật khẩu dạng băm không thay đổi được và cũng không giải mã ngược lại được do dùng thuật toán một chiều. Tuy nhiên, hacker có thể lập danh sách mọi tổ hợp ký tự có thể có trên bàn phím, sau đó tự băm các tổ hợp đó bằng phần mềm thông dụng. Cuối cùng, chúng chỉ cần sử dụng danh sách này, dùng phần mềm chuyên dụng để đối chiếu với tài khoản đánh cắp được, so sánh sự trùng khớp để tìm ra mật khẩu. Thời gian thực hiện quá trình này tuỳ thuộc vào độ phức tạp của mật khẩu.

Như vậy, hacker có thể lập tức tìm ra mật khẩu nếu người dùng đặt theo những dạng phổ biến như "123456", "password", "111111"... Thực tế, đây cũng là các mật khẩu phổ biến nhất trong nhiều năm, bị các chuyên gia bảo mật khuyến cáo không nên sử dụng để tránh bị hacker tấn công.