Kukaan ei arvannut salasanaasi. He vain käyttivät sitä uudelleen.

Botti jossain data-keskuksessa yrittää juuri nyt sähköpostiosoitettasi 130 eri verkkosivustolla, ja sillä on jo salasana. Ei arvaus. Ei sanakirja yleisistä salasanoista. Oikea merkkijono, jonka kirjoitit — koska kirjoitit sen aiemmin jonnekkin, mikä joutui tietomurron kohteeksi, ja hyökkääjät lyövät vetoa, että olit laiska käyttämään sitä kahdesti.

Veto kannattaa hämmästyttävän usein. Googlen ja Harris Pollin tutkimus osoitti, että 65 % ihmisistä käyttää samaa salasanaa useilla sivustoilla, ja osa myöntää käyttävänsä yhtä salasanaa lähes kaikkialla. Luultavasti luit luvun ja ajattelit, toki, muut ihmiset. Se on koko liiketoimintamalli. Hyökkääjä ei luota sinun erityisesti olevan huolimaton. Hän luottaa siihen, että 65 % varastetuista osoitteista on huolimattomia, ja hän tarvitsee vain murto-osan osuakseen.

Tämä on tunnus-täytön hyökkäys, ja nimi on kirjaimellisesti totta. Joku ottaa vuotaneiden sähköposti- ja salasanaparien kokoelman — Have I Been Pwned indeksoi nyt yli 14 miljardia vaarannettua tiliä tuhansista tietomurroista — ja "täyttää" nuo parit kirjautumislomakkeisiin internet-ympäri. Pankit. Striimauspalvelut. Kanta-asiakasohjelmat. Sähköpostisi itse. He automatisoivat prosessin, kiertävät eri proxy-IP-osoitteissa, jotta mikään ei näytä epäilyttävältä, ja antavat volyymin tehdä työtä.

Ja volyymi on absurdi. Akamai, joka istuu merkittävän osan verkkokierron edessä, on kirjannut kymmeniä miljardeja tunnus-täyttö-yrityksiä yhdessä vuodessa, ja jotkut raportit mittaavat yli sadan miljardi yritystä vuodessa. Yksi vaarannetu salasana ei avaa yhtä ovea. Se on pääavain, jota yritetään jokaiseen lukoon kadulla, nopeasti, jonkin tekemällä, joka ei koskaan väsy.

Tässä on osa, joka pitäisi muuttaa sitä, miten ajattelet asiasta. Kirjautumissivu, joilla käytit uudelleen salasanaasi, ei tarvinnut joutua tietomurron kohteeksi. Heikko sivusto, joka vuoti sen — lakkautettu foorumi, 2014 kauppias, trivia-sovellus — luovuttaa hyökkääjille avaimen vahvoihin sivustoihin. Pankkisi voi olla täydellisen turvallinen ja silti häviää, koska salasana, joka suojaa sitä, oli jo tekstitiedostossa myydyssä muutaman sentin hintaan, kerätty jostain, jonka turvallisuus oli sillan verran.

Joten miten tiedät, oletko yhdessä näistä kokoelmista? Usein sinulle kerrottiin jo. Ei turvallisuuspalvelun kautta — roskapostikansion kautta. Ne "epätavallinen kirjautumisyritys", "vahvista tilisi" ja "huomasimme uuden laitteen kirjautumisen" sähköpostit, jotka poistat heijastimaisesti, ovat usein oikeat, legitiimit hälytykset, koska botti yritti tunnuksiaasi ja laukaisi nopeusrajoituksen. Oikeita tietomurteilmoituksia ja oikeita kirjautumishälytyksiä putkitetaan roskapostiin jatkuvasti, aivan samoilla tavoin kuin tekohälytyksiä, jotka näyttävät niiden kaltaisilta. Signaali on olemassa. Se on vain hautautunut kohinan alle, joka on suunniteltu näyttämään identtiseltä.

Korjaus on tylsä ja se toimii. Lopeta salasanojen uudelleenkäyttö — salasanahallinta tekee jokaisesta kirjautumisesta ainutlaatuisen satunnaisen merkkijonon, joten vuoto yhdeltä sivustolta saastuttaa tarkalleen yhden tilin kaikkien tilejesi sijaan. Ota käyttöön kaksivaiheinen todentaminen, mikä tarkoittaa, että oikea varastettu salasana silti epäonnistuu toisessa vaiheessa. Ja tarkista todella, onko osoitteesi tunnetussa tietomurrossa; Have I Been Pwned kertoo sinulle ilmaiseksi, ja useimmat salasanahallinnot liputtavat nyt uudelleenkäytetyt ja vaarantuneet merkinnät automaattisesti.

Epämukava totuus on, että kovimmin työskentelevä hyökkääjä, joka kohdistuu sinuun, ei ole hoodiaan pukenut hakkeri. Se on skripti, joka käy listan läpi, hyödyntää yhtä tapaa, jonka lähes jokainen jakaa ja lähes jokainen olettaa, ettei se koske häneen.