从123456霸榜12年看全球最常用密码背后的数字惰性

连续12年霸榜全球最常用密码的“123456”，折射出大众普遍存在的数字惰性，这类简单易记的密码，虽省去了记忆成本，却暗藏极大安全隐患，极易被破解，导致个人信息、财产面临风险，数字惰性的存在，本质是人们在便捷与安全的权衡中，常倾向于选择前者，忽视了弱密码可能带来的严重后果，也反映出公众网络安全意识仍有提升空间，需警惕图一时方便换来的信息泄露风险。

上周看到2024年全球密码管理机构NordPass发布的最新年度报告时,我盯着榜首的“123456”愣了三秒——这个我小学三年级玩QQ时随手敲的密码，居然已经连续12年蝉联“全球最常用密码”榜首，根据报告统计，这个6位数字密码目前在全球范围内的使用量超过1亿次，黑客破解它只需要不到1秒，而有超过2300万用户，正用这个“形同虚设”的组合，锁着自己的网银、社交账号甚至公司内网。

那些年我们一起用过的“全球通用密码”

如果把历年“全球最常用密码”榜单拉出来看，你会发现上面的名字熟悉得像陪了自己十几年的老邻居：排在“123456”后面的，是万年老二“password”（密码），紧接着是“123456789”“guest”（访客）“12345”“12345678”“qwerty”（键盘第一排字母顺序），前十位里有8个是长度不足8位的简单字符组合。

不同地区的常用密码还带着鲜明的本土特色：欧洲人最爱用当地球队名字当密码，比如英国榜单里常年飘着“liverpool”“arsenal”；东南亚用户偏爱“iloveyou”加生日的组合；而在中国榜单里，除了熟面孔“123456”，“woaini1314”（我爱你一生一世）“wang123456”（王姓是中国第一大姓）“000000”的出镜率一直居高不下，甚至连解锁共享单车时常用的“000000”，都有近300万人用来保护自己的支付账号。

更有意思的是时间带来的密码变化：十年前榜单里的“qwerty”现在正在慢慢下滑，取而代之的是“admin”“123123”这类和办公场景绑定的密码——毕竟现在大家平均要记27个账号密码，比起绞尽脑汁想复杂组合，输入公司系统默认的admin，确实省事儿多了。

为什么我们总爱用“一猜就中”的密码？

很多人看到榜单第一反应是“怎么会有人这么傻”，但真轮到自己设密码时，大多数人还是会不自觉向“好记”妥协。 认知心理学里有个概念叫“认知负荷理论”：我们的短期记忆容量非常有限，当一个人需要同时记住工作、生活、社交、金融等几十组不同的账号密码时，大脑会本能地选择“最省力”的方式——要么用最简单的数字序列，要么所有账号共用同一个密码，要么只在原密码后面加个123、感叹号当作“更新”，去年国内某安全平台做过调研，超过65%的用户全网共用3组以内的密码，其中有18%的人所有账号都用同一个密码，很多人的密码从高中用到工作，七八年都没换过。 这种“惰性”甚至会盖过安全焦虑：你明明知道用“123456”很危险，但当你第8次被平台提示“密码需包含大小写字母、数字、特殊符号，长度不少于10位”时，你还是会顺手把“123456”改成“Abc123456!”，觉得“加了个大写和感叹号，总安全了吧”——但黑客的密码本里，早就把这类“换汤不换药”的组合排在了破解列表的最前面，破解速度甚至比纯数字的“123456”慢不了半秒。

最常用密码的背后，是藏在每个人身边的安全暗雷

2023年国内某网安团队处理过一起典型的诈骗案：浙江的陈先生发现自己的银行卡半夜被转走了8万元，溯源后才发现，他所有社交、支付、购物账号都用的是“chen123456”，骗子最先破解了他多年未登录的某旧论坛账号，顺着这个密码撞库攻破了他的支付软件，甚至解开了他的云相册，用他的身份证照片通过了支付验证。 NordPass的报告里算了一笔账：排在全球最常用密码前20位的组合，平均破解时间都不超过1秒，这些密码对应的账号，在暗网上的售价平均每个不到0.5美元——也就是说，你觉得“方便又好记”的密码，在黑灰产眼里就是随手就能捡的零钱。 更值得警惕的是，很多人对“复杂密码”的认知还停留在十几年前：有人觉得用自己名字加生日“别人猜不到”，但现在你点进任何人的社交主页，翻10条动态基本就能找到他的生日、姓氏甚至宠物名字；有人觉得“我又不是有钱人，谁会来盗我的号”，但骗子盗号根本不是为了你钱包里的几百块，而是用你的身份去骗你的亲友、用你的账号发诈骗信息，甚至拿你的实名信息去注册违规账号，最后承担后果的还是你自己。

比起“更复杂的密码”，我们更需要“不用记密码”的安全感

其实这些年盯着“全球最常用密码”榜单的，除了安全专家，还有无数想让大家“少费脑子”的技术开发者：现在越来越多平台开始普及生物识别——指纹、人脸、声纹解锁，从根源上省去了记密码的麻烦；两步验证、动态验证码正在成为账号登录的标配，就算密码泄露，没有你手机上的验证码，别人也登不进你的账号；官方推荐的密码管理器，能帮你给每个账号生成随机的16位复杂密码，你只需要记住一个主密码就行。 但说到底，所有技术都抵不过“多上一点心”：别再把“123456”当万能钥匙，别在所有平台用同一组密码，别把自己的生日、手机号、名字当密码的核心部分，每隔半年给重要账号换一次密码——毕竟你锁家门的时候都知道要换个安全点的锁，总不能对着装着你全部社交关系、资金、隐私的账号，挂个一扯就开的塑料锁吧？ 今年的榜单出来时，有网友开玩笑说“123456能霸榜这么多年，说明全世界的人在‘懒’这件事上真的达成了共识”，玩笑归玩笑，下次你再随手输入那串用了好几年的密码时不妨想想：你省了10秒钟记密码的功夫，可能给未来的自己留了个要花几个月甚至几年去填的坑，毕竟在数字世界里，最防不住的从来不是高明的黑客，而是我们总觉得“不会轮到我”的侥幸。