किसी ने आपका पासवर्ड तोड़ा नहीं। बस इसे दोबारा इस्तेमाल किया।

किसी डेटा सेंटर में एक बॉट अभी इसी वक्त आपके ईमेल पते को 130 विभिन्न वेबसाइटों पर आजमा रहा है, और उसे पहले से ही पासवर्ड पता है। अनुमान नहीं। आम पासवर्ड की शब्दकोश नहीं। वह सटीक स्ट्रिंग जो आपने टाइप की थी — क्योंकि आपने इसे पहले कहीं और टाइप किया था, जहां डेटा ब्रीच हुआ था, और हमलावर सट्टा लगा रहे हैं कि आप इसे दो बार इस्तेमाल करने के लिए काफी आलसी हैं।

वह सट्टा बहुत बार फल देता है। Google और Harris Poll के एक सर्वेक्षण में पाया गया कि 65% लोग कई साइटों पर एक ही पासवर्ड दोबारा इस्तेमाल करते हैं, और कुछ लगभग हर जगह एक पासवर्ड इस्तेमाल करने की स्वीकारोक्ति करते हैं। आप शायद इस संख्या को पढ़कर सोचते हैं, ठीक है, दूसरे लोग। यह पूरा व्यवसायिक मॉडल है। हमलावर विशेष रूप से आप पर लापरवाही की गणना नहीं कर रहा है। वह लीक की गई सूची के 65% पर लापरवाही की गणना कर रहा है, और उसे केवल एक छोटे से हिस्से को हिट करने की जरूरत है।

यह क्रेडेंशियल स्टफिंग है, और नाम शाब्दिक है। कोई लीक किए गए ईमेल-और-पासवर्ड जोड़ियों का एक डंप लेता है — Have I Been Pwned अब हजारों ब्रीच में 14 बिलियन से अधिक समझौता किए गए अकाउंट को इंडेक्स करता है — और इन जोड़ियों को इंटरनेट भर में लॉगइन फॉर्म में "स्टफ" करता है। बैंक। स्ट्रीमिंग सेवाएं। लॉयल्टी प्रोग्राम। आपका ईमेल स्वयं। वे इसे ऑटोमेट करते हैं, प्रॉक्सी IPs के माध्यम से घूमते हैं ताकि कुछ भी संदिग्ध न दिखे, और मात्रा को काम करने देते हैं।

और मात्रा बेतुकी है। Akamai, जो वेब ट्रैफिक के एक बड़े हिस्से के सामने बैठता है, ने एक ही वर्ष में दसियों अरब क्रेडेंशियल-स्टफिंग प्रयासों को लॉग किया है, कुछ रिपोर्टें सालाना सौ अरब से अधिक को मापती हैं। एक समझौता किया गया पासवर्ड एक दरवाजा नहीं खोलता है। यह एक मास्टर की है जिसे सड़क पर हर ताले के खिलाफ कोशिश की जा रही है, तेजी से, किसी ऐसी चीज द्वारा जो कभी थकती नहीं है।

यह वह हिस्सा है जो इसके बारे में आपके सोचने के तरीके को दोबारा तैयार करना चाहिए। लॉगइन पेज जहां आपने उस पासवर्ड को दोबारा इस्तेमाल किया, उसे ब्रीच करना आवश्यक नहीं था। कमजोर साइट जिसने इसे लीक किया — एक डिफंक्ट फोरम, एक 2014 खुदरा विक्रेता, एक ट्रिविया ऐप — हमलावरों को मजबूत साइटों की कुंजी सौंपता है। आपके बैंक के पास परिपूर्ण सुरक्षा हो सकती है और फिर भी हार हो सकती है, क्योंकि इसे सुरक्षित करने वाला पासवर्ड पहले से ही एक टेक्स्ट फाइल में बैठा था जो पैसे में बेचा जाता था, कहीं से उठाया गया था जहां सुरक्षा एक स्क्रीन डोर की थी।

तो आप कैसे जानते हैं कि आप इन डंप में से किसी एक में हैं? अक्सर, आपको पहले से ही बताया जा चुका है। सुरक्षा ब्रीफिंग द्वारा नहीं — आपके स्पैम फोल्डर द्वारा। वे "असामान्य साइन-इन प्रयास," "अपने अकाउंट की पुष्टि करें," और "हमने एक नई डिवाइस से लॉगइन देखा" ईमेल जिन्हें आप आत्मचेतन से हटाते हैं, अक्सर असली, वैध अलार्म होते हैं जो तब चलता है जब एक बॉट आपके क्रेडेंशियल्स की कोशिश करता है और एक दर सीमा को ट्रिप करता है। असली ब्रीच नोटिफिकेशन और असली लॉगइन अलर्ट लगातार स्पैम में स्वीप हो जाते हैं, ठीक उन फर्जी लोगों के साथ जो उनकी नकल कर रहे हैं। सिग्नल वहां है। यह केवल उस शोर के नीचे दबा है जो पहचान के लिए समान दिखने के लिए डिज़ाइन किया गया है।

फिक्स उबाऊ है और यह काम करता है। पासवर्ड दोबारा इस्तेमाल करना बंद करें — एक पासवर्ड मैनेजर हर लॉगइन को एक अद्वितीय यादृच्छिक स्ट्रिंग बनाता है, इसलिए एक साइट से एक लीक ठीक एक अकाउंट को जहर देता है न कि सभी को। दो-कारक प्रमाणीकरण चालू करें, जिसका अर्थ है कि एक सही चोरी किया गया पासवर्ड अभी भी दूसरे चरण में विफल हो जाता है। और वास्तव में जांचें कि क्या आपका पता एक ज्ञात ब्रीच में है; Have I Been Pwned आपको मुफ्त में बताएगा, और अधिकांश पासवर्ड मैनेजर अब स्वचालित रूप से दोबारा इस्तेमाल किए गए और समझौता किए गए प्रविष्टियों को फ्लैग करते हैं।

अप्रिय सच यह है कि आपको लक्ष्य करने वाला सबसे मेहनती हमलावर एक हूडी में एक हैकर नहीं है। यह एक स्क्रिप्ट है, एक सूची चलाता है, उस एक आदत का दोहन करता है जो लगभग हर कोई साझा करता है और लगभग हर कोई मानता है कि यह उन पर लागू नहीं होता है।