Tidak Ada yang Menebak Password Anda. Mereka Hanya Menggunakannya Kembali.

Sebuah bot di pusat data di suatu tempat sedang mencoba alamat email Anda di 130 situs web yang berbeda sekarang, dan bot itu sudah tahu passwordnya. Bukan tebakan. Bukan kamus yang berisi yang umum. String yang sebenarnya Anda ketikkan — karena Anda mengetiknya sebelumnya, di tempat yang pernah mengalami pelanggaran, dan penyerang bertaruh Anda cukup malas untuk menggunakannya dua kali.

Taruhan itu membayar jumlah yang menakjubkan sepanjang waktu. Sebuah survei Google dan Harris Poll menemukan bahwa 65% orang menggunakan kembali password yang sama di berbagai situs, dan sebagian mengakui menggunakan satu password di hampir semua tempat. Anda mungkin membaca angka itu dan berpikir, ya, orang lain. Itu adalah seluruh model bisnis mereka. Penyerang tidak mengandalkan Anda secara khusus untuk ceroboh. Mereka mengandalkan 65% dari daftar yang dicuri untuk ceroboh, dan mereka hanya membutuhkan sebagian kecil untuk berhasil.

Ini adalah credential stuffing, dan namanya bersifat literal. Seseorang mengambil dump dari pasangan email-dan-password yang bocor — Have I Been Pwned sekarang mengindeks lebih dari 14 miliar akun yang dikompromikan di seluruh ribuan pelanggaran — dan "mengisi" pasangan-pasangan itu ke dalam formulir login di seluruh internet. Bank. Layanan streaming. Program loyalitas. Email Anda sendiri. Mereka mengotomatisasinya, memutar proxy IP sehingga tidak ada yang terlihat mencurigakan, dan membiarkan volume melakukan pekerjaan.

Dan volumenya sangat besar. Akamai, yang berdiri di depan sebagian besar lalu lintas web, telah mencatat puluhan miliar upaya credential stuffing dalam satu tahun, dengan beberapa laporan mengukur jauh lebih dari seratus miliar per tahun. Satu password yang dikompromikan tidak membuka satu pintu. Ini adalah kunci induk yang dicoba terhadap setiap kunci di jalan, cepat, oleh sesuatu yang tidak pernah merasa lelah.

Berikut adalah bagian yang seharusnya mengubah cara Anda berpikir tentangnya. Halaman login tempat Anda menggunakan kembali password itu tidak harus mengalami pelanggaran. Situs yang lemah yang membocorkannya — forum yang sudah ditutup, peritel tahun 2014, aplikasi trivia — memberikan penyerang kunci ke situs-situs yang kuat. Bank Anda dapat memiliki keamanan sempurna dan tetap kalah, karena password yang melindunginya sudah berada di file teks yang dijual dengan harga murah, dipanen dari tempat dengan keamanan serendah layar pintu.

Jadi bagaimana Anda tahu jika Anda berada di salah satu dump ini? Sering kali, Anda sudah diberitahu. Bukan oleh pemberitahuan keamanan — oleh folder spam Anda. Email "upaya masuk yang tidak biasa," "konfirmasi akun Anda," dan "kami memperhatikan login dari perangkat baru" yang Anda hapus secara refleks sering kali adalah alarm yang sebenarnya dan sah yang menyala karena bot mencoba kredensial Anda dan memicu pembatasan kecepatan. Pemberitahuan pelanggaran nyata dan peringatan login nyata terus-menerus masuk ke folder spam, bersama dengan yang palsu yang meniru mereka. Sinyal itu ada. Hanya saja terkubur di bawah kebisingan yang dirancang untuk terlihat identik.

Perbaikannya membosankan dan itu berhasil. Berhentilah menggunakan kembali password — pengelola password membuat setiap login menjadi string acak unik, jadi kebocoran dari satu situs hanya meracuni satu akun, bukan semuanya. Aktifkan autentikasi dua faktor, yang berarti password yang dicuri dengan benar masih gagal di langkah kedua. Dan benar-benar periksa apakah alamat Anda berada dalam pelanggaran yang diketahui; Have I Been Pwned akan memberi tahu Anda secara gratis, dan sebagian besar pengelola password sekarang secara otomatis menandai entri yang digunakan kembali dan yang dikompromikan.

Kebenaran yang tidak nyaman adalah bahwa penyerang yang paling banyak bekerja menargetkan Anda bukanlah seorang peretas dalam hoodie. Ini adalah skrip, menjalankan daftar, mengeksploitasi satu kebiasaan yang hampir semua orang berbagi dan hampir semua orang anggap tidak berlaku untuk mereka.