Ingen gættede dit kodeord. De gjenbrugte det bare.

En bot i et datacenter et eller andet sted forsøger dit e-mailadresse på 130 forskellige websites lige nu, og den kender allerede kodeordet. Ikke et gæt. Ikke en ordbog med almindelige. Den faktiske tekststreng, du skrev — fordi du skrev den før, et sted der blev hacket, og angribere satser på, at du var doven nok til at bruge den to gange.

Det slag slår ud med forbløffende hyppighed. En Google og Harris Poll undersøgelse viste, at 65% af mennesker gjenbruger det samme kodeord på flere steder, og nogle indrømmer at bruge ét kodeord næsten overalt. Du læste sandsynligvis det tal og tænkte, ja, andre mennesker. Det er hele forretningsmodellen. Angriberen regner ikke med, at du specifikt er usoigneret. De regner med, at 65% af en stjaålet liste er usoignerede, og de behøver kun en lille brøkdel for at ramme.

Det er legitimationstyving, og navnet er bogstaveligt. Nogen tager en dump af lækket e-mail-og-kodeord-par — Have I Been Pwned indekserer nu mere end 14 milliarder kompromitterede konti på tværs af tusindvis af brud — og "stopper" disse par ind i loginformularer over hele internettet. Banker. Streamingstjenester. Loyalitetsprogrammer. Din e-mail selv. De automatiserer det, roterer gennem proxy-IP'er, så intet ser mistænkeligt ud, og lader volumenet gøre arbejdet.

Og volumenet er absurd. Akamai, som sidder foran en stor del af webtrafikken, har logget titusinder af milliarder af legitimationstyvings-forsøg på et enkelt år, med nogle rapporter, der måler langt over hundrede milliarder årligt. Et kompromitteret kodeord åbner ikke én dør. Det er en hovednøgle, der bliver forsøgt mod ethvert lås på gaden, hurtigt, af noget der aldrig bliver træt.

Her kommer den del, der burde ændre, hvordan du tænker på det. Loginside'n, du genbrugte det kodeord på, var ikke nødt til at blive breachet. Det svage site, der lækkede det — et defunkt forum, en 2014-forhandler, en trivia-app — giver angribere nøglen til de stærke sites. Din bank kan have perfekt sikkerhed og stadig tabe, fordi kodeordet, der beskytter det, allerede sad i en tekstfil, der blev solgt for øre, høstet fra et sted med sikkerheden af en skærmsdør.

Så hvordan ved du, om du er i en af disse dumps? Ofte blev du allerede fortalt det. Ikke af en sikkerhedssamtale — af din spam-mappe. Disse "usædvanligt login-forsøg," "bekræft din konto," og "vi bemærkede et login fra en ny enhed" e-mails, du refleksivt sletter, er ofte de rigtige, legitime alarmer, der fyrer, fordi en bot forsøgte dine legitimationsoplysninger og udløste en rate limit. Rigtige breachmeddelelser og rigtige login-advarsler bliver fejet ind i spam konstant, lige sammen med de falske, der efterligner dem. Signalet er der. Det er bare begravet under støjen, der er designet til at se identisk ud.

Løsningen er kedelig og den virker. Stop med at gjenbruge kodeord — en kodeordshåndtering gør hvert login til en unik tilfældig streng, så et lak fra ét site forurener præcis én konto i stedet for alle dem. Slå tofaktorgodkendelse til, hvilket betyder, at et korrekt stjålet kodeord stadig fejler på andet trin. Og kontroller faktisk, om din adresse er i et kendt brud; Have I Been Pwned fortæller det dig gratis, og de fleste kodeordshåndteringer flagger nu automatisk genbrugte og kompromitterede poster.

Den ubehagelige sandhed er, at den hårdest arbejdende angriber, der målretter sig mod dig, ikke er en hacker i en hættetrøje. Det er et script, der kører en liste, der udnytter den ene vane næsten alle deler og næsten alle antager ikke gælder dem.