Κανείς δεν Μάντεψε τον Κωδικό Σου. Απλώς τον Ξαναχρησιμοποίησε.

Ένα bot σε ένα data center κάπου δοκιμάζει την email διεύθυνσή σου σε 130 διαφορετικές ιστοσελίδες αυτή τη στιγμή, και ήδη γνωρίζει τον κωδικό. Όχι εικασία. Όχι ένα λεξικό κοινών κωδικών. Η ακριβής σειρά που πληκτρολόγησες — επειδή την πληκτρολόγησες πριν, κάπου που διέρρευσε, και οι επιτιθέμενοι στοιχηματίζουν ότι ήσουν αρκετά τεμπέλης να την ξαναχρησιμοποιήσεις.

Αυτό το στοίχημα πληρώνεται εντυπωσιακά συχνά. Μια έρευνα της Google και Harris Poll διαπίστωσε ότι το 65% των ανθρώπων ξαναχρησιμοποιούν τον ίδιο κωδικό σε πολλές ιστοσελίδες, και πολλοί παραδέχονται ότι χρησιμοποιούν έναν κωδικό σχεδόν παντού. Πιθανώς διάβασες αυτόν τον αριθμό και σκέφτηκες, εντάξει, άλλοι άνθρωποι. Αυτό είναι ακριβώς το επιχειρηματικό μοντέλο. Ο επιτιθέμενος δεν στοιχηματίζει ότι εσύ συγκεκριμένα είσαι αμέλεια. Στοιχηματίζει ότι το 65% μιας κλεμμένης λίστας θα είναι αμέλεια, και χρειάζεται μόνο ένα ποσοστό για να βρει.

Αυτό είναι credential stuffing, και το όνομα είναι κυριολεκτικό. Κάποιος παίρνει ένα dump διαρρευμένων ζευγών email-και-κωδικού — το Have I Been Pwned ευρετηριάζει πλέον περισσότερα από 14 δισεκατομμύρια συμβιβασμένους λογαριασμούς σε χιλιάδες διαρρήξεις — και "γεμίζει" αυτά τα ζεύγη σε φόρμες login σε όλο το διαδίκτυο. Τράπεζες. Streaming services. Loyalty programs. Το email σου. Αυτοματοποιούν τη διαδικασία, περιστρέφουν διαδοχικά proxy IPs ώστε να μην φαίνεται ύποπτο, και αφήνουν την ποσότητα να κάνει το έργο.

Και η ποσότητα είναι παράλογη. Η Akamai, η οποία βρίσκεται μπροστά από μεγάλο μέρος της web traffic, έχει καταγράψει δεκάδες δισεκατομμύρια credential-stuffing attempts σε ένα μόνο έτος, με ορισμένες αναφορές να μετρούν περισσότερα από εκατό δισεκατομμύρια ετησίως. Ένας συμβιβασμένος κωδικός δεν ανοίγει μία πόρτα. Είναι ένα master key που δοκιμάζεται σε κάθε κλειδαριά στο δρόμο, γρήγορα, από κάτι που ποτέ δεν κουράζεται.

Evo το μέρος που θα έπρεπε να αναδιατυπώσει τον τρόπο που το σκέπτεσαι. Η σελίδα login όπου ξαναχρησιμοποίησες αυτόν τον κωδικό δεν χρειάζεται να διέρρευσε. Ο αδύναμος ιστότοπος που τον διέρρευσε — ένα εγκαταλελειμμένο φόρουμ, ένα retailer του 2014, μια trivia app — δίνει στους επιτιθέμενους το κλειδί για τις δυνατές ιστοσελίδες. Η τράπεζά σου μπορεί να έχει τέλειο security και παρακαλώ να χαθεί, επειδή ο κωδικός που την προστατεύει ήταν ήδη σε ένα αρχείο κειμένου που πουλήθηκε για λίγα λεφτά, συγκομιδή από κάπου με το security μιας πόρτας με σίτα.

Λοιπόν, πώς ξέρεις αν είσαι σε ένα από αυτά τα dumps; Συχνά, σου το είπαν ήδη. Όχι με ένα security briefing — από το φάκελό σου με ανεπιθύμητα μηνύματα. Αυτα τα "unusual sign-in attempt," "confirm your account," και "we noticed a login from a new device" emails που διαγράφεις αυτόματα είναι συχνά ο πραγματικός, νόμιμος συναγερμός που εκτυλίσσεται επειδή ένα bot δοκίμασε τα διαπιστευτήριά σου και ενεργοποίησε ένα rate limit. Οι πραγματικές ειδοποιήσεις διαρρήξης και οι πραγματικές ειδοποιήσεις login καταλήγουν συνεχώς στα ανεπιθύμητα, ακριβώς όπως και τα ψεύτικα που τις απομιμούνται. Το σήμα είναι εκεί. Είναι απλώς θάφτη κάτω από το θόρυβο που έχει σχεδιαστεί να φαίνεται πανομοιότυπος.

Η επίλυση είναι βαρετή και δουλεύει. Σταμάτησε να ξαναχρησιμοποιείς κωδικούς — ένας password manager κάνει κάθε login μια μοναδική τυχαία σειρά, ώστε μια διαρρήξη από ένα ιστότοπο να μολύνει ακριβώς ένα λογαριασμό αντί για όλα τα είναι. Ενεργοποίησε τη two-factor authentication, που σημαίνει ότι ένας σωστός κλεμμένος κωδικός παραμένει αποτυχημένος στο δεύτερο βήμα. Και πραγματικά ελέγξου εάν η διεύθυνσή σου είναι σε γνωστή διαρρήξη· το Have I Been Pwned θα σου το πει δωρεάν, και οι περισσότεροι password managers τώρα επισημαίνουν αυτόματα τις ξαναχρησιμοποιημένες και συμβιβασμένες καταχωρήσεις.

Η δυσάρεστη αλήθεια είναι ότι ο επιτιθέμενος που δουλεύει περισσότερο στη στόχευσή σας δεν είναι ένας hacker με κουκούλα. Είναι ένα script, που εκτελεί μια λίστα, που εκμεταλλεύεται τη μία συνήθεια που σχεδόν όλοι μοιράζονται και σχεδόν όλοι υποθέτουν ότι δεν τους ισχύει.

@@END@@