Senki nem találta meg a jelszavad. Csak újrahasznosította.

Egy bot egy adatközpontban másnéhány pillanat alatt 130 különböző webhelyen próbálja meg az e-mail-címedet, és már ismeri a jelszót. Nem tipp. Nem egy szótár a közös jelszavakból. Az a pontos karakterlánc, amit begépeltél — mert már egyszer begépeltél, valahol, amit meghackeltek, és a támadók arra fogadnak, hogy olyan lusta vagy, hogy kétszer is ugyanazt használod.

Ez a fogadás megdöbbentő gyakorisággal jól sül el. A Google és a Harris Poll felmérése azt találta, hogy az emberek 65%-a újrahasznosítja ugyanazt a jelszót több webhelyen, és egy része bevallotta, hogy szinte mindenhol ugyanazt a jelszót használja. Valószínűleg azt gondoltad, amikor ezt az számot olvastad, hogy persze, mások. Ez az egész üzleti modell. A támadó nem arra számít, hogy te személyesen gondatlan vagy. Arra számít, hogy egy ellopott lista 65%-a gondatlan, és csak egy szilánknak kell betalálnia.

Ez a credential stuffing (jelszó-kitöltés), és a név szó szerint igaz. Valaki vesz egy szivárogtatott e-mail és jelszó párok gyűjtögetését — a Have I Been Pwned mostanra több mint 14 milliárd feltört fiókot indexel több ezer megsértés között — és „kitölti" ezeket a párokat bejelentkezési űrlapokba az interneten. Bankok. Streaming szolgáltatások. Lojalitási programok. Az e-mail-címed önmagában. Automatizálják, proxy IP-eket forgat végig, hogy semmi sem tűnjön gyanúsnak, és hagyják, hogy a mennyiség végezze a munkát.

És a mennyiség abszurd. Az Akamai, amely a webforgalom nagy részét előzi meg, több tíz milliárd credential stuffing kísérletet naplózott egyetlen év alatt, egyes jelentések pedig jóval százmilliárd felett mérnek évente. Egy feltört jelszó nem nyit meg egy ajtót. Ez egy mesterkulcs, amelyet az utca minden zárja ellen próbálnak ki, gyorsan, valami által, amely soha nem fárad el.

Itt van az a rész, amely átkeretezni kellene, ahogy gondolsz rá. Az a bejelentkezési oldal, amelyre újrahasznosítottad ezt a jelszót, nem kellett, hogy meghackeljék. A gyenge webhely, amely szivárogtatott — egy elhagyott fórum, egy 2014-es kiskereskedő, egy trivia alkalmazás — megadja a támadóknak a kulcsot az erős webhelyekhez. A bankod tökéletes biztonságot is nyújthat, és továbbra is veszíthet, mivel az azt védő jelszó már egy szövegfájlban ült, amely pár centért volt eladó, és valahonnan szedhette, ahol a biztonság a szitához hasonló.

Szóval honnan tudod, hogy benne vagy-e ezekben a gyűjtögetésekben? Gyakran már tudtál róla. Nem egy biztonsági tájékoztatóból — a levélszemét mappádból. Az azok az „szokatlan bejelentkezési kísérlet", „erősítsd meg fiókod", és „észrevettük egy bejelentkezést egy új eszközről" e-mailek, amelyeket mechanikusan törlöl, gyakran azok az igazi, legitim riasztások, mivel egy bot megpróbálta a hitelesítő adatokat és elérte a sebességkorlátot. Az igazi megsértési értesítéseket és az igazi bejelentkezési riasztásokat rendszeresen a levélszemétbe tereli, éppen úgy, mint az őket utánzó hamis leveleket. A jel ott van. Csak el van temetve a zaj alatt, amely úgy van megtervezve, hogy azonosnak nézzen ki.

A megoldás unalmas és működik. Hagyd fel a jelszavak újrahasznosításával — a jelszókezelő minden bejelentkezést egyedi véletlenszerű karakterlánccá alakít, így az egyik webhely szivárogtatása pontosan egy fiók helyett összes fiókodat megmérgezi. Kapcsold be a kétfaktoros hitelesítést, amely azt jelenti, hogy egy helyes ellopott jelszó továbbra is meghiúsul a második lépésnél. És ténylegesen ellenőrizd, hogy a címed egy ismert megsértésben van-e; a Have I Been Pwned ingyenesen megmondja neked, és legtöbb jelszókezelő most már automatikusan megjelöli az újrahasznosított és feltört bejegyzéseket.

A kellemetlen igazság az, hogy a legkeményebben dolgozó támadó, aki téged céloz, nem egy kapucnis hacker. Ez egy script, amely egy listát futtat, kihasználva azt az egy szokást, amelyet szinte mindenki megosztva csinálja és szinte mindenki feltételezi, hogy nem vonatkozik erre.