'123456', 'admin' là mật khẩu được nhiều người Việt sử dụng nhất năm 2025

Sự thống trị của những dãy số "dễ dãi"

Theo số liệu từ nghiên cứu thường niên được NordPass - đơn vị cung cấp giải pháp quản lý mật khẩu hàng đầu thế giới - vừa công bố, danh sách những mật khẩu phổ biến nhất tại Việt Nam không có nhiều xáo trộn so với thập kỷ trước. "Nhà vua" của sự cẩu thả vẫn gọi tên dãy số kinh điển 123456.

Để đưa ra được kết luận này, các nhà nghiên cứu tại NordPass đã phân tích một lượng dữ liệu khổng lồ lên tới 2,5 TB từ các nguồn rò rỉ công khai trên toàn cầu, bao gồm cả thị trường Việt Nam. Kết quả thống kê chi tiết cho thấy có tới khoảng 1,9 triệu tài khoản tại Việt Nam đang được khóa bằng dãy số này. Nếu coi mỗi tài khoản là một ngôi nhà, thì chúng ta đang có một thành phố gần 2 triệu dân mà tất cả đều để chìa khóa ngay dưới tấm thảm chùi chân trước cửa.

Sự thống trị của "123456" không phải là cá biệt mà nó kéo theo cả một hệ sinh thái các dãy số tịnh tiến khác. Xếp vị trí thứ hai là dãy 123456789 với khoảng 858.000 lượt sử dụng, và vị trí thứ ba thuộc về 12345678 với hơn 600.000 tài khoản.

Các chuyên gia từ NordPass phân tích, tâm lý "đối phó" chính là nguyên nhân sâu xa của thực trạng này. Khi đăng ký các dịch vụ mà người dùng cho là kém quan trọng, não bộ có xu hướng tìm kiếm một chuỗi ký tự ít tốn năng lượng ghi nhớ nhất, và các phím số nằm liền kề nhau trên bàn phím luôn là lựa chọn hàng đầu. Đáng tiếc, sự tiện lợi nhất thời này lại chính là "miếng mồi" ngon nhất cho các công cụ quét tự động của tội phạm mạng.

Bên cạnh các con số khô khan, bức tranh mật khẩu năm 2025 tại Việt Nam được NordPass phác họa còn phản ánh những đặc trưng văn hóa thú vị nhưng đầy rủi ro. Lượng lớn mật khẩu nằm trong danh sách phổ biến liên quan trực tiếp đến định danh cá nhân.

Không ngạc nhiên khi từ khóa "nguyen" - họ phổ biến nhất Việt Nam - thường xuyên xuất hiện trong các cơ sở dữ liệu bị rò rỉ mà đơn vị này thu thập được. Thói quen kết hợp tên thật với ngày tháng năm sinh hoặc số điện thoại là một sai lầm phổ biến mà nhiều người mắc phải. Tin tặc ngày nay có thể dễ dàng thu thập các dữ liệu này từ trang cá nhân Facebook, Zalo hay LinkedIn để thực hiện các cuộc tấn công dò mật khẩu có định hướng.

Các chuyên gia an ninh mạng cảnh báo, hacker hiện nay không chỉ dò số ngẫu nhiên mà còn sử dụng các bộ từ điển (dictionary attack) được địa phương hóa. Một bộ từ điển tiếng Việt chứa các cụm từ thông dụng sẽ giúp các công cụ tự động bẻ khóa tài khoản chỉ trong tích tắc. Người dùng thường lầm tưởng những cụm từ này chỉ riêng mình biết, nhưng thực tế chúng nằm trong danh sách ưu tiên thử nghiệm đầu tiên của các phần mềm tấn công.

Rủi ro leo thang trong kỷ nguyên AI

Sự nguy hiểm của các mật khẩu đơn giản trong năm 2025 đã tăng lên gấp bội so với trước đây do sự hỗ trợ của trí tuệ nhân tạo (AI). Nếu như cách đây vài năm, hacker cần vài giờ để dò ra một mật khẩu 6 ký tự, thì hiện tại, thời gian này đã rút xuống dưới 1 giây.

NordPass xếp tất cả các mật khẩu như "123456", "qwerty" hay "password" vào nhóm "vùng đỏ", tức là bị bẻ khóa ngay lập tức khi công cụ quét lướt qua. Nguy hiểm hơn, tội phạm mạng hiện nay thường sử dụng chiến thuật "Credential Stuffing" (nhồi thông tin xác thực). Do người dùng có thói quen dùng chung một mật khẩu cho nhiều nền tảng, nên khi hacker tìm ra mật khẩu Facebook, chúng sẽ lập tức dùng chính chuỗi ký tự đó để thử đăng nhập vào Email và tài khoản ngân hàng.

Giải pháp tăng cường tính bảo mật cho tài khoản

Trước những rủi ro hiện hữu từ báo cáo trên, các chuyên gia khuyến cáo người dùng cần thay đổi tư duy bảo mật ngay lập tức. Thay vì cố gắng ghi nhớ những mật khẩu phức tạp, giải pháp tối ưu là sử dụng các trình quản lý mật khẩu (như giải pháp của chính NordPass hoặc các đơn vị uy tín khác) để tạo và lưu trữ các chuỗi ký tự ngẫu nhiên, riêng biệt cho từng dịch vụ.

Bên cạnh đó, xác thực 2 bước (2FA) được xem là lớp khiên chắn quan trọng nhất hiện nay. Dù mật khẩu có bị lộ, hacker vẫn không thể đăng nhập nếu thiếu mã OTP. Tuy nhiên, thay vì sử dụng SMS vốn tồn tại nhiều lỗ hổng, người dùng nên chuyển sang các ứng dụng tạo mã chuyên dụng hoặc khóa bảo mật vật lý.

Năm 2025 cũng đánh dấu sự lên ngôi của công nghệ Passkey (Mã khóa), cho phép đăng nhập không cần mật khẩu bằng vân tay hoặc khuôn mặt. Đây được xem là tương lai của ngành bảo mật, giúp loại bỏ hoàn toàn nguy cơ bị đánh cắp chuỗi ký tự như phương thức truyền thống.