A razão pela qual isso NÃO é feito é facilmente revelada, observando o que pode acontecer em um site onde isso é feito.
Uma vez eu fui obrigado a melhorar a força de hash da senha de um site que registrava senhas ruins (por que motivo possível eles fizeram isso, não consigo imaginar). Para minimizar a inconveniência do usuário, primeiro fiz com que ele convertesse automaticamente os usuários enquanto eles faziam login, mas como aqueles que não faziam login há algum tempo também precisavam da proteção aprimorada, tentei quebrá-los, convertendo todas as senhas adivinhadas no padrão de hashing mais alto .
Depois de uma semana tentando tudo que eu sabia, listas de senhas conhecidas de grandes vazamentos como o facebook e dicionários de muitas linguagens, permutações e assim por diante, fiquei com cerca de 4.000 senhas de pessoas que não estavam logadas e quais Eu não consegui quebrar.
Eu peguei o log de senha incorreta nos últimos anos, usei essas senhas contra as senhas que não podem ser quebradas e decifrei um quarto do restante . Isto é, adivinhou o trimestre das senhas realmente difíceis no sistema, incluindo várias contas de administrador, e significa que eu só precisei redefinir as senhas de 3.000 usuários, em vez de 4.000.
Então, acho que o valor de tal log, para um invasor mal-intencionado, não pode ser exagerado.
Simplesmente não há motivos válidos e válidos para registrar senhas com falha, e todos os motivos para evitar isso - se esses dados vazarem, você revelou informações de login para uma faixa grande de seus usuários. Essas "senhas incorretas" serão senhas das quais elas mudaram de volta, ou que elas usam em outras contas no seu sistema, ou que elas usam em algum outro sistema (o banco, o e-mail delas ...)
Ao manter esse registro, você está colocando em risco seus usuários sem nenhuma vantagem real em segurança.