Rockyou.txt คืออะไร? ทำไมยังเป็นภัยคุกคามในปี 2025

หากคุณทำงานในสาย Cybersecurity ต้องเคยได้ยินชื่อของ "rockyou.txt" แน่นอน

ไฟล์นี้ไม่ได้เป็นเพียง password dictionary ธรรมดา ๆ แต่เป็นไฟล์สำคัญที่แฮ็กเกอร์ใช้ในการโจมตีแบบ brute-force มานานนับสิบปี โดยล่าสุดในปี 2024 ไฟล์ Rockyou ได้กลับมาเป็นกระแสอีกครั้งในชื่อ Rockyou2024 ซึ่งถือว่าเป็นหนึ่งในไฟล์รวบรวมรหัสผ่านที่ใหญ่ที่สุดในโลก

จุดเริ่มต้น: rockyou.txt ดั้งเดิม (ปี 2009)

ไฟล์ rockyou.txt เริ่มเป็นที่รู้จักหลังจาก เว็บไซต์ของ RockYou ถูกแฮ็กในปี 2009 ส่งผลให้รหัสผ่านกว่า 14 ล้านรายการจากผู้ใช้งานกว่า 32 ล้านรายการถูกเปิดเผย จุดเด่นของไฟล์นี้คือการรวบรวมรหัสผ่านจริงที่ผู้ใช้เคยใช้ ทำให้มันกลายเป็นทรัพยากรทองคำสำหรับนักทดสอบเจาะระบบ (Penetration Testers) และอาชญากรไซเบอร์

Rockyou2021: การรวมรหัสผ่านมหาศาล

กลางปี 2021 มีการเปิดเผยไฟล์ "rockyou2021.txt" ซึ่งอ้างว่าได้รวบรวมรหัสผ่านจากการรั่วไหลก่อนหน้านี้รวมแล้วกว่า 8.4 พันล้านรายการ แม้จะไม่ใช่ข้อมูลใหม่ทั้งหมด แต่การรวมไว้ในไฟล์เดียวทำให้แฮ็กเกอร์สามารถนำไปใช้งานได้ทันที

โดยพบว่าข้อมูลใน Rockyou2021 นั้นได้รับการรวบรวมและ normalize จากแหล่งต่อไปนี้:

• Collection #1–5: คลังรหัสผ่านจากหลาย breach ขนาดมหาศาล (เช่น LinkedIn, MySpace, Dropbox, Adobe)
• COMB (Compilation of Many Breaches) – กว่า 3.2 พันล้าน record จากหลายแหล่ง
• Breach forums dumps: ฐานข้อมูล dump ที่ถูกปล่อยในฟอรั่มต่าง ๆ
• Rockyou.txt เวอร์ชันดั้งเดิม ที่มีรหัสผ่านกว่า 14 ล้านชุด

Rockyou2024: เวอร์ชันปรับปรุงใหม่ที่ "ใหญ่กว่า"

ไฟล์ rockyou2024.txt ถูกปล่อยใน เดือนกรกฎาคม 2024 บน BreachForums โดยผู้ใช้งานที่ชื่อว่า "ObamaCare" ขนาดไฟล์ประมาณ 150 GB และประกอบด้วยรหัสผ่าน มากกว่าหมื่นล้านรายการ แต่จากการวิเคราะห์ของ Specops และ Cyberint พบว่าข้อมูลส่วนใหญ่ที่เพิ่มมาจะไม่มีประโยชน์เท่าที่ควร

รหัสผ่านจำนวนหมื่นล้านรายการจะสามารถนำมาใช้ได้จริงไหม??

ผลจากการคำนวณของ Cyberint พบว่าการที่จะนำไปใช้ในการทำ Bruteforce เอาแค่ให้ครบทั้ง List นี่ต้องใช้เวลาถึง 47.5 ปีเลยทีเดียว ซึ่งการนำไปใช้ตรง ๆ ไม่ Practical อย่างมาก

Rockyou 2024

ภาพรวมของ Rockyou ในแต่ละ Version

ระยะเวลาในการ crack ของ NVIDIA GeForce RTX 2060 ใน algorithm ntlm

Crack rate อัตราการ crack สำเร็จ ผลการทดสอบจาก weakpass

สามารถดูข้อมูลเพิ่มเติมได้ที่

• rockyou: https://weakpass.com/wordlists/rockyou.txt
• rockyou2021: https://weakpass.com/wordlists/rockyou2021.txt
• rockyou2024: https://weakpass.com/wordlists/rockyou2024.txt

สรุป

สุดท้ายแล้วเชื่อว่าเดี๋ยวก็จะมี Rockyou เวอร์ชันใหม่ออกมาเรื่อย ๆ หนีไม่พ้นกับการรวมรหัสจาก Breach Database ต่าง ๆ การเดารหัสผ่านแบบ Online ไม่น่ากลัว ถ้าระบบของเรามี การตั้ง Lockout policy และทำการ Monitoring เพื่อดูพฤติกรรมการ Authentication แบบแปลก ๆ แต่ทั้งนี้การมี Control ที่เพิ่มมาอาจจะต้องแลกกับอะไรบางอย่าง เช่น ถ้ามี Account Lockout ก็ต้องมีกระบวนการปลดล๊อค หรือ ในองค์กรขนาดใหญ่เรื่องประเด็นนี้ก็จะลุกลามไปถึงการทำ User Management, การออกแบบ Policy, Process, ระบบที่ใช้ทำ User Provisioning และ อื่น ๆ อีกมากมาย

Reference

• https://specopssoft.com/blog/rockyou2024-analysis-password-leak/
• https://cyberint.com/blog/research/how-big-is-too-big-of-a-password-list-an-analysis-of-the-rockyou2024-password-leak/