Nessuno ha indovinato la tua password. L'ha semplicemente riutilizzata.

Un bot in un data center da qualche parte sta provando il tuo indirizzo email su 130 siti diversi in questo momento, e conosce già la password. Non un'ipotesi. Non un dizionario di quelle comuni. La stringa esatta che hai digitato — perché l'hai già digitata prima, da qualche parte che è stata compromessa, e gli attaccanti scommettono che tu sia abbastanza pigro da usarla due volte.

Quella scommessa paga una quantità straordinaria di volte. Un sondaggio di Google e Harris Poll ha rilevato che il 65% delle persone riutilizza la stessa password su più siti, e una parte ammette di usare una password praticamente ovunque. Probabilmente hai letto quel numero e hai pensato, certo, altre persone. È l'intero modello di business. L'attaccante non conta su te specificamente che sia negligente. Conta sul fatto che il 65% di un elenco rubato sia negligente, e ha bisogno solo di una frazione per colpire.

Questo è credential stuffing, e il nome è letterale. Qualcuno prende un dump di coppie email-e-password trapelate — Have I Been Pwned ora indicizza più di 14 miliardi di account compromessi su migliaia di violazioni — e "riempie" quelle coppie nei moduli di accesso su internet. Banche. Servizi di streaming. Programmi fedeltà. La tua stessa email. Lo automatizzano, ruotano attraverso IP proxy in modo che nulla sembri sospetto, e lasciano che il volume faccia il lavoro.

E il volume è assurdo. Akamai, che si trova davanti a una grande frazione del traffico web, ha registrato decine di miliardi di tentativi di credential stuffing in un singolo anno, con alcuni rapporti che misurano ben oltre cento miliardi annualmente. Una password compromessa non apre una sola porta. È una chiave universale che viene provata contro ogni serratura della strada, velocemente, da qualcosa che non si stanca mai.

Ecco la parte che dovrebbe riconfigurare il tuo modo di pensarci. La pagina di accesso su cui hai riutilizzato quella password non doveva essere violata. Il sito debole che l'ha persa — un forum defunto, un rivenditore del 2014, un'app di trivia — consegna agli attaccanti la chiave per i siti forti. La tua banca può avere una sicurezza perfetta e perdere comunque, perché la password che la proteggeva era già seduta in un file di testo venduto per pochi centesimi, raccolta da qualche luogo con la sicurezza di una zanzariera.

Allora come sai se sei in uno di questi dump? Spesso te l'hanno già detto. Non da un briefing sulla sicurezza — dalla tua cartella spam. Quelle email di "tentativo di accesso insolito," "conferma il tuo account" e "abbiamo notato un accesso da un nuovo dispositivo" che elimini automaticamente sono frequentemente il vero, legittimo allarme che si attiva perché un bot ha provato le tue credenziali e ha superato un limite di frequenza. Le vere notifiche di violazione e i veri avvisi di accesso finiscono costantemente nello spam, proprio insieme a quelli falsi che le impersonano. Il segnale c'è. È solo sepolto sotto il rumore che è progettato per sembrare identico.

La soluzione è noiosa e funziona. Smetti di riutilizzare le password — un gestore di password rende ogni accesso una stringa casuale unica, così una perdita da un sito avvelena esattamente un account invece di tutti. Attiva l'autenticazione a due fattori, il che significa che una password rubata corretta fallisce comunque al secondo passaggio. E controlla effettivamente se il tuo indirizzo è in una violazione nota; Have I Been Pwned te lo dirà gratuitamente, e la maggior parte dei gestori di password ora segnala automaticamente le voci riutilizzate e compromesse.

La verità scomoda è che l'attaccante che lavora più duramente prendendoti di mira non è un hacker in una felpa. È uno script, che esegue una lista, sfruttando l'unica abitudine che quasi tutti condividono e quasi tutti assumono non li riguardi.