De Amerikaanse standaardenorganisatie NIST heeft haar richtlijnen voor wachtwoorden aangepast en stelt nu dat het gebruik van complexe wachtwoorden en het verplicht regelmatig wijzigen daarvan niet langer noodzakelijk is en zelfs risico's met zich mee kan brengen. Deze wijziging in het advies wijkt af van de traditionele benadering die jarenlang gehanteerd is bij het beveiligen van accounts.

Volgens het nieuwe NIST-advies kunnen ingewikkelde eisen voor wachtwoordcombinaties, zoals verplichte hoofdletters, cijfers en speciale tekens, juist leiden tot onzekerere wachtwoorden. Gebruikers proberen deze vaak te omzeilen door voorspelbare patronen te gebruiken of wachtwoorden op te schrijven, wat de veiligheid juist ondermijnt. Ook de regelmatige verandering van wachtwoorden, bijvoorbeeld elke 30 of 90 dagen, wordt als nadelig gezien omdat dit kan resulteren in zwakkere wachtwoorden en een verhoogde kans op hergebruik.

In plaats daarvan adviseert NIST om langere, makkelijkere wachtwoorden te gebruiken die gebruikers goed kunnen onthouden, en om extra beveiligingslagen toe te passen, zoals tweefactorauthenticatie, om accounts te beschermen. Het verwijderen van de regelmatige wijzigingsplicht moet volgens hen bijdragen aan een betere balans tussen beveiliging en gebruiksvriendelijkheid. Deze nieuwe aanpak sluit beter aan bij hoe mensen daadwerkelijk met wachtwoorden omgaan en is gebaseerd op onderzoek naar daadwerkelijke gebruikersgedragingen en bedreigingen.