De mest almindelige adgangskoder i 2025: Jo mere tingene ændrer sig, jo mere forbliver de de samme

2025-udgaven af rapporten „De 200 mest almindelige adgangskoder“ fra NordPass er nu tilgængelig. Svage, forudsigelige adgangskoder er stadig i brug overalt, og de samme velkendte mønstre dukker op igen og igen.

Om rapporten

Årets rapport bygger på en fælles indsats fra NordPass og NordStellar, udarbejdet sammen med uafhængige forskere i cybersikkerhedshændelser. De analyserede nye offentlige databrud og lagre på det mørke net fra september 2024 til september 2025 og organiserede derefter resultaterne fra 44 lande. For første gang så de også på adgangskodevaner efter generation og brugte tilgængelige metadata til at knytte adgangskoder til aldersgrupper.

Top 10

„123456“ ligger endnu en gang øverst på den globale liste over de mest almindelige adgangskoder. Den har haft den tvivlsomme ære i seks af de seneste syv år. Resten af top 10 er:

1. admin
2. 12345678
3. 123456789
4. 12345
5. password
6. Aa123455
7. 1234567890
8. pass@123
9. admin123

De mønstre, der bliver ved med at dukke op

Der skal ikke et hold af analytikere til for at se, at bestemte mønstre og temaer springer i øjnene:

• At tælle op: 12345, 123456, 12345678, 1234567890
• Almindelige ord og varianter: „password“, „pass“
• Navne plus tal: kombinationer i stil med „fornavn + 123“
• „Falsk kompleksitet“: at bytte bogstaver ud med symboler på forudsigelige måder (f.eks. „P@ssw0rd“)

Dårlige adgangskoder kender ingen alder

Et af de mest interessante fund i rapporten er, hvor ens adgangskodevalgene er på tværs af aldersgrupper. Forskerne fandt, at dårlige adgangskodevalg er almindelige i alle generationer, og at „12345“ og „123456“ ligger i eller nær toppen i hver gruppe.

Med det in mente er det oplysende at se på generationsforskellene, fordi de antyder, hvorfor svage adgangskoder består:

• Generation Z er mest tilbøjelig til at hente adgangskoder fra popkultur og online-slang (f.eks. „skibidi“).
• Millennials og generation X er ikke lige så afslappede som generation Z, men de hælder stadig til en forudsigelig struktur og søger ofte at opfylde adgangskoderegler med mindst mulig indsats (f.eks. „Aa123455“ eller „pass@123“).
• Babyboomere og ældre brugere bruger oftere velkendte ord, navne eller enkle talrækker. Det kan afspejle, at tryghed og det, der er til at huske, vejer tungere end kompleksitet.

Pointen er ikke, at én generation er „værre“ end en anden, når det gælder adgangskodevalg og -vaner. Den er, at hver generation har sin egen version af den samme mestringsstrategi: Folk vælger generelt det, de kan huske, og de vælger det på måder, der er nemme at gætte. Den tilgang holder ikke stand mod moderne gætteangreb — især ikke når angribere hurtigt kan afprøve enorme mængder sandsynlige adgangskoder og derefter genbruge det, der virker, via credential stuffing på andre websteder.

Vejen frem

Som mange IT-professionelle ved af omfattende (og trist) erfaring: Hvis løsningen på det udbredte problem afhænger af, at slutbrugerne pludselig og dramatisk forbedrer deres adgangskodevaner, slår den fejl. Slutbrugere har været, er og vil altid være det svageste led i sikkerhedskæden, og adgangskoder er stadig den mest sårbare vektor på angrebsfladen. At forvente, at det ændrer sig, er ikke bedste praksis — det er ønsketænkning.

Derfor bør fokus være på politikker og værktøjer, der forhindrer de værste valg, gør gode valg og vaner så nemme som muligt og begrænser skaden, når angribere uundgåeligt slipper igennem. Her er seks strategier, der lukker hullet og mindsker risikoen:

1. Gør stærke legitimationsoplysninger nemme i selve designet

Tillad lange adgangskoder og adgangsfraser, og undgå stive kompleksitetsregler, der skubber folk mod forudsigelige mønstre (som „pass@123“ eller „Aa123455“). Kombinér det med tydelig vejledning som „brug en kort sætning, du kan huske“, så du opmuntrer til stærkere adgangskoder med mindre frustration.

2. Bloker kendte dårlige adgangskoder, før de overhovedet bliver sat

Tilføj kontroller for forbudte adgangskoder, der afviser de mest almindelige og kompromitterede adgangskoder, herunder varianter. Det stopper „123456“, „password“ og „admin123“ ved døren og forhindrer brugerne i at vælge noget, som angribere allerede gætter først.

3. Håndhæv entydighed, og mindsk genbrug med en adgangskodeadministrator

Gør unikke adgangskoder ufravigelige, og støt det med en adgangskodeadministrator, så brugerne ikke skal huske snesevis af loginoplysninger. Det er en af de mest effektive måder at stoppe credential stuffing på.

4. Indfør flerfaktor-godkendelse (MFA)

Hvis det er for stort et projekt at indføre MFA overalt lige nu, så prioritér først administrative konti, økonomisystemer, HR-platforme og fjernadgang. Det er typisk de konti, angribere går efter for at gøre størst mulig skade.

5. Opdag og ryd op i eksponering hurtigt

Udskift kendte svage eller genbrugte legitimationsoplysninger hurtigt — især for privilegerede konti og konti med stor påvirkning (som nævnt i punkt 4). Kombinér det med overvågning af lækkede legitimationsoplysninger og advarsler, når en genbrugt adgangskode dukker op i lækagedata, så de kan nulstilles, før angribere udnytter dem.

6. Skær ned på adgangskoder over tid med phishing-resistent login

Hvor det giver mening, bør du gå over til adgangsnøgler. Det fjerner den genbrugelige hemmelighed fra ligningen og gør det meget sværere for angribere at stjæle noget, de kan bruge et andet sted.

Det sidste ord

NordPass’ seneste liste over de mest almindelige adgangskoder er ikke bekymrende, fordi den er overraskende. Den er alarmerende, fordi den er velkendt. Når organisationer fokuserer på at fjerne friktion, standardisere de rigtige kontroller og lægge beskyttelse i lag som MFA og adgangsnøgler, holder de op med at satse på perfekt brugeradfærd og begynder at bygge reel robusthed.