read receipts
לא ניחשו את הסיסמה שלך. הם פשוט השתמשו בה שוב.
ההתקפה שניקזה את חשבון המשחקים הישן שלך השתמשה בסיסמה שהקלדת איפשהו חשוב יותר — והוכחה אפילו כנראה בתיקיית הספאם שלך.
בוט במרכז נתונים איפשהו מנסה כעת את כתובת הדואר שלך ב־130 אתרים שונים, והוא כבר יודע את הסיסמה. לא ניחוש. לא מילון של סיסמאות נפוצות. המחרוזת בדיוק שהקלדת — כי הקלדת אותה פעם, איפשהו שעבר הפרה, והתוקפים הימרו שהיית עצלן מספיק כדי להשתמש בה שוב.
ההימור הזה משלם תשלום מדהים של פעמים. סקר של Google וHarris Poll מצא ש־65% מהאנשים משתמשים שוב באותה סיסמה על פני אתרים מרובים, וחלק מודים להשתמש בסיסמה אחת כמעט בכל מקום. אתה כנראה קראת את המספר הזה וחשבת, בטוח, אנשים אחרים. זה כל מודל העסקים. התוקף לא סומך על כך שאתה בעצמך רשלני. הוא סומך על כך ש־65% מרשימה שנגנבה רשלנים, והוא צריך רק חלקיק כדי להשיג זאת.
זה credential stuffing, והשם הוא מילולי. מישהו לוקח דיפ של זוגות דואר וסיסמה שדלפו — Have I Been Pwned כעת מתעדת יותר מ־14 מיליארד חשבונות פגומים על פני אלפי הפרות — ו־"משתמע" בזוגות האלה לטפסי כניסה על פני האינטרנט. בנקים. שירותי סטרימינג. תוכניות נאמנות. הדואר שלך בעצמו. הם מאתתים זאת, מסובבים דרך proxy IPs כדי שכום לא ייראה חשוד, ומשאירים את הנפח לעשות את העבודה.
והנפח הוא אבסורדי. Akamai, שיושבת בחזית של חלק גדול מתנועת אינטרנט, רשמה עשרות מיליארדים של ניסיונות credential stuffing בשנה אחת, כאשר חלק מהדוחות מודדים היטב מעל מאה מיליארד בשנה. סיסמה פגומה אחת לא פותחת דלת אחת. זה מפתח ראשי שמנסים נגד כל מנעול ברחוב, מהר, על ידי משהו שלא נמוגד פעם.
הנה החלק שצריך לגרום לך לחזור על זה איך אתה חושב על זה. דף הכניסה שהשתמשת בו שוב בסיסמה לא היה צריך להיות בהפרה. האתר החלש שדלף אותה — פורום הובחן, קמעונאי משנת 2014, יישום טריוויה — נותן לתוקפים את המפתח לאתרים החזקים. לבנק שלך יכול להיות ביטחון מושלם ועדיין להפסיד, כי הסיסמה שהגנה עליה כבר ישבה בקובץ טקסט שנמכר בפניות, קטופה מאתר כלשהו עם הביטחון של דלת מסך.
אז איך אתה יודע אם אתה באחד מהדפים האלה? לעתים קרובות, כבר נאמר לך. לא בתדירך ביטחון — בתיקיית הספאם שלך. המיילים האלה "ניסיון כניסה חריג," "אשר את חשבונך," ו־"שמנו לב לכניסה מהתקן חדש" שאתה בכניעה מוחק הם לעתים קרובות אזעקה אמתית וחוקית שפקדה כי בוט ניסה את האישורים שלך וטרף מגבלת שיעור. הודעות הפרה אמתיות והודעות כניסה אמתיות נזרקות לספאם כל הזמן, ממש לצד הזויפות שמדמות אותן. האות אמנם שם. זה רק קבור תחת הרעש שעוצב להיראות זהה.
ההחלמה משעממת וזה עובד. הפסק להשתמש בסיסמאות שוב — מנהל סיסמאות הופך כל כניסה לרצף אקראי ייחודי, כך שדלף מאתר אחד מרעל בדיוק חשבון אחד במקום כולם. הפעל אימות דו־שלבי, כלומר סיסמה שנגנבה נכונה עדיין נכשלת בשלב השני. וממש בדוק אם הכתובת שלך נמצאת בהפרה ידועה; Have I Been Pwned יגיד לך בחינם, ורוב מנהלי הסיסמאות כעת מדגלים ערכים שמשומשים ופגומים באופן אוטומטי.
האמת הבלתי נוחה היא שהתוקף שעוסק הכי קשה בהתקיפה שלך איננו הקר בגולף. זה סקריפט, שמריץ רשימה, שמנצל ההביט האחד כמעט לכולם משתפים וכמעט להנחה שלא חל עליו.
מקורות
- Have I Been Pwned — Breached account dataset, 14B+ compromised accounts indexed
- Google / Harris Poll — Online security survey on password reuse habits
- Akamai State of the Internet — Credential stuffing attack volume reporting