Nikdo neuhodl vaše heslo. Prostě ho jen znovupoužili.

Bot v datovém centru někde se zrovna snaží přihlásit s vaší e-mailovou adresou na 130 různých webech a už zná heslo. Není to hádání. Není to slovník běžných hesel. Je to přesně ten řetězec znaků, který jste napsali — protože jste ho napsali už dřív, někde, co bylo hacknuto, a útočníci se vsazejí, že jste líní dost na to, abyste ho použili dvakrát.

Tahle sázka se vyplácí děsivě často. Průzkum společnosti Google a Harris Poll zjistil, že 65 % lidí znovupoužívá stejné heslo na více stránkách a část z nich přiznává, že používá jedno heslo téměř všude. Pravděpodobně jste si přečetli to číslo a pomysleli si, jasně, jiní lidé. To je právě celý obchodní model. Útočník se nespoléhá na to, že konkrétně vy budete neopatrní. Spoléhá se na to, že 65 % ukradené seznamu bude neopatrných, a potřebují jen nepatrný podíl, aby se trefit.

Toto je credential stuffing, a název je doslova přesný. Někdo vezme dump uniklých párů e-mail-a-heslo — Have I Been Pwned nyní indexuje více než 14 miliard kompromitovaných účtů v tisících porušení — a „natlačí" ty páry do přihlašovacích formulářů po internetu. Banky. Streamovací služby. Věrnostní programy. Váš vlastní e-mail. Zautomatizují si to, střídají proxy IP adresy, aby nic nevypadalo podezřelě, a nechají objem, aby udělal svou práci.

A ten objem je absurdní. Akamai, který se nachází před velkým podílem internetového provozu, zaznamenal desítky miliard pokusů credential stuffingu za jeden rok, některé zprávy měří více než sto miliard ročně. Jedno kompromitované heslo neotevře jedny dveře. Je to hlavní klíč, kterým se zkoušejí všechny zámky na ulici, rychle, něčím, co se nikdy neúnaví.

Tady je část, která by měla změnit, jak o tom přemýšlíte. Přihlašovací stránka, na které jste heslo znovupoužili, nemusela být hacknuta. Slabá stránka, která ho prozradila — zaniklé fórum, obchod z roku 2014, triviální aplikace — dává útočníkům klíč ke silným stránkám. Vaše banka může mít dokonalé zabezpečení a přesto prohrát, protože heslo, které ji chránilo, už sedělo v textovém souboru prodávaném za haléře, sebraném z místa se zabezpečením papírových dveří.

Jak tedy poznáte, jestli jste v jednom z těchto dumpů? Často se vám už někdo pokusil říci. Ne bezpečnostním briefingem — vaší složkou s nevyžádanou poštou. Ty e-maily s „neobvyklým pokusem o přihlášení", „potvrďte svůj účet" a „všimli jsme si přihlášení z nového zařízení", které reflexivně smažete, jsou často opravdový, legitimní alarm, který vypálil, protože bot zkusil vaše přihlašovací údaje a spustil rate limit. Opravdová oznámení o porušení a opravdá upozornění na přihlášení se neustále dostávají do spamu, stejně jako ta falešná, která se je snaží napodobovat. Signál tam je. Jen je pohřben pod šumem, který je navržen, aby vypadal stejně.

Řešení je nudné a funguje. Přestaňte znovupoužívat hesla — správce hesel z každého přihlášení udělá jedinečný náhodný řetězec, takže únik z jedné stránky otráví právě jeden účet místo všech. Zapněte si dvoufaktorové ověřování, což znamená, že správné ukradené heslo stále selže na druhém kroku. A skutečně zkontrolujte, jestli je vaše adresa v nějakém známém porušení; Have I Been Pwned vám to řekne zdarma, a většina správců hesel teď automaticky označuje znovupoužívaná a kompromitovaná hesla.

Nepříjemná pravda je, že nejpilnější útočník, který vás cílí, není hacker v mikině. Je to skript, který procházuje seznam, vykořisťuje tu jednu zvyklost, kterou má téměř každý a kterou si téměř všichni myslí, že se na ně nevztahuje.