لم يخمّن أحد كلمة مرورك. لقد أعادوا استخدامها فقط.

روبوت في مركز بيانات ما يحاول عنوان بريدك الإلكتروني على 130 موقعًا مختلفًا الآن، وهو يعرف بالفعل كلمة المرور. لا تخمين. لا قاموس من الكلمات الشائعة. السلسلة النصية الفعلية التي كتبتها — لأنك كتبتها من قبل في مكان تعرض للاختراق، والمهاجمون يراهنون على أنك كسول بما يكفي لاستخدامها مرتين.

هذا الرهان يؤتي ثماره بشكل مذهل في معظم الأحيان. كشفت دراسة استقصائية أجرتها Google وHarris Poll أن 65% من الأشخاص يعيدون استخدام نفس كلمة المرور عبر عدة مواقع، وعدد منهم يعترفون باستخدام كلمة مرور واحدة في كل مكان تقريبًا. من المحتمل أنك قرأت هذا الرقم واعتقدت، بالتأكيد، أشخاص آخرون. هذا هو نموذج العمل بأكمله. المهاجم لا يعتمد على كونك أنت شخصيًا مهملاً. إنه يعتمد على أن 65% من قائمة مسروقة ستكون مهملة، وهو يحتاج فقط إلى جزء صغير ليصيب الهدف.

هذا ما يسمى الحشو الاعتماديات، والاسم حرفي. يأخذ شخص ما نسخة من بيانات البريد الإلكتروني وكلمات المرور المسربة — يفهرس موقع Have I Been Pwned الآن أكثر من 14 مليار حساب مخترق عبر آلاف الانتهاكات — و "يحشو" تلك الأزواج في نماذج تسجيل الدخول عبر الإنترنت. البنوك. خدمات البث. برامج الولاء. بريدك الإلكتروني نفسه. يؤتمتون العملية، ويدورون عبر معرفات IP وسيطة حتى لا يبدو شيء مريبًا، ويدعون الحجم يقوم بالعمل.

والحجم مذهل. Akamai، التي تقف أمام جزء كبير من حركة الويب، سجلت عشرات المليارات من محاولات الحشو الاعتماديات في عام واحد، مع بعض التقارير التي تقيس أكثر من مائة مليار سنويًا. كلمة مرور واحدة مخترقة لا تفتح باب واحد. إنها مفتاح رئيسي يتم تجربته على كل قفل في الشارع، بسرعة، من خلال شيء لا يتعب أبدًا.

إليك الجزء الذي يجب أن يعيد صياغة الطريقة التي تفكر بها في الأمر. صفحة تسجيل الدخول التي أعدت استخدام كلمة المرور عليها لم تكن بحاجة إلى أن تكون قد تعرضت للاختراق. الموقع الضعيف الذي سربها — منتدى معطل، بائع تجزئة من 2014، تطبيق ألغاز ثقافية — يسلم المهاجمين المفتاح إلى المواقع القوية. يمكن لبنكك أن يتمتع بأمان مثالي ولا يزال يخسر، لأن كلمة المرور التي تحميه كانت بالفعل موجودة في ملف نصي يُباع بفلسات، تم حصادها من مكان بمستوى أمان باب شاشة.

إذًا كيف تعرف إذا كنت في أحد هذه الملفات الكبيرة؟ غالبًا ما تم إخبارك بالفعل. ليس من خلال إحاطة أمنية — من خلال مجلد البريد العشوائي. رسائل البريد الإلكتروني "محاولة تسجيل دخول غير عادية" و "تأكيد حسابك" و "لاحظنا تسجيل دخول من جهاز جديد" التي تحذفها تلقائيًا هي في كثير من الأحيان التنبيهات الحقيقية والشرعية التي تطلقت لأن روبوتًا جرب بيانات اعتمادك وتجاوز حد معدل. إخطارات الانتهاكات الحقيقية وتنبيهات تسجيل الدخول الحقيقية تدخل الرسائل غير المرغوبة باستمرار، جنبًا إلى جنب مع الرسائل المزيفة التي تحاكيها. الإشارة موجودة. إنها مجرد مدفونة تحت الضوضاء المصممة لتبدو متطابقة.

الحل ممل وينجح. توقف عن إعادة استخدام كلمات المرور — مدير كلمات المرور يجعل كل عملية تسجيل دخول عبارة عن سلسلة عشوائية فريدة، لذلك فإن التسريب من موقع واحد يسمم حساب واحد بالضبط بدلاً من جميع حساباتك. قم بتشغيل المصادقة الثنائية، مما يعني أن كلمة مرور مسروقة صحيحة لا تزال تفشل في الخطوة الثانية. وتحقق بالفعل مما إذا كان عنوانك في انتهاك معروف؛ سيخبرك موقع Have I Been Pwned مجانًا، وتقوم معظم مديري كلمات المرور الآن بوضع علامات على الإدخالات المعاد استخدامها والمخترقة تلقائيًا.

الحقيقة غير المريحة هي أن المهاجم الأكثر اجتهادًا الذي يستهدفك ليس قرصانًا بملابس قاتمة. إنه برنامج نصي، يقوم بتشغيل قائمة، يستغل العادة الوحيدة التي يشاركها الجميع تقريبًا والعادة التي يفترض الجميع تقريبًا أنها لا تنطبق عليهم.