아무도 당신의 비밀번호를 맞힌 게 아니다. 그냥 재사용했을 뿐이다.

어딘가의 데이터 센터에 있는 봇이 지금 당신의 이메일 주소를 130개의 웹사이트에서 시도하고 있고, 이미 비밀번호를 알고 있다. 추측이 아니다. 흔한 것들 목록도 아니다. 당신이 입력한 실제 문자열이다. 당신이 전에 어딘가에서 입력했고, 그곳이 해킹당했으며, 공격자들은 당신이 게을러서 그걸 두 번 사용할 거라고 내기를 걸었기 때문이다.

그 내기는 놀라울 정도로 자주 먹혀 들어간다. Google과 Harris Poll 조사에 따르면 65%의 사람들이 여러 사이트에서 같은 비밀번호를 재사용하고 있으며, 일부는 거의 모든 곳에서 한 개의 비밀번호를 사용하는 것을 인정했다. 당신은 그 수치를 읽고 그래, 다른 사람들은이라고 생각했을 것이다. 이게 바로 장사의 전체 모델이다. 공격자는 당신 개인이 게을렀다는 것을 기대하지 않는다. 그들은 유출된 목록의 65%가 게을러질 것으로 기대하고 있으며, 겨우 극히 일부만 맞으면 되는 것이다.

이것이 자격증명 스터핑(credential stuffing)이고, 이름 자체가 말 그대로다. 누군가가 유출된 이메일-비밀번호 쌍을 덤프를 가져온다. Have I Been Pwned는 이제 수천 건의 위반 사건 전체에 걸쳐 14억 개 이상의 손상된 계정을 색인화하고 있다. 그리고 그 쌍들을 인터넷 전역의 로그인 양식에 "스터핑"한다. 은행. 스트리밍 서비스. 로열티 프로그램. 당신의 이메일 자체. 그들은 이를 자동화하고, 프록시 IP를 순환시켜서 아무것도 의심스러워 보이지 않게 하며, 대량을 이용해 일을 처리한다.

그리고 그 대량은 엄청나다. 웹 트래픽의 상당 부분 앞에 위치한 Akamai는 단일 연도에 수십억 건의 자격증명 스터핑 시도를 기록했으며, 일부 보고서는 연간 백억 건 이상을 측정하고 있다. 하나의 손상된 비밀번호가 하나의 문을 열지 않는다. 그것은 거리의 모든 자물쇠에 대해 시도되고 있는 마스터 키이며, 빠르게, 절대 지치지 않는 무언가에 의해서다.

다시 생각해 봐야 할 부분이 여기 있다. 당신이 그 비밀번호를 재사용한 로그인 페이지가 해킹당할 필요는 없었다. 그것을 유출시킨 약한 사이트 — 폐기된 포럼, 2014년 소매업체, 시사 문제 앱 — 는 공격자들에게 강한 사이트로의 열쇠를 준다. 당신의 은행은 완벽한 보안을 가질 수도 있고 여전히 지는데, 그 이유는 그것을 보호하는 비밀번호가 이미 텍스트 파일로 팔려 나가 있었고, 화면문처럼 허술한 보안을 갖춘 어딘가에서 수집되었기 때문이다.

그렇다면 당신이 이런 덤프 중 하나에 있는지 어떻게 알 수 있을까? 종종 당신은 이미 통보받았다. 보안 브리핑으로가 아니라 스팸 폴더로부터. "비정상적인 로그인 시도," "계정 확인," 그리고 "새로운 기기에서의 로그인을 발견했습니다" 같은 이메일들을 당신이 반사적으로 삭제하는 것은 자주 봇이 당신의 자격증명을 시도하고 속도 제한을 작동시켰기 때문에 발동하는 진짜 정당한 경보다. 진정한 위반 공지와 진정한 로그인 경보가 스팸으로 계속 들어간다. 그들을 모방하는 가짜 것들과 함께. 신호는 거기 있다. 그저 동일하게 보이도록 설계된 소음 아래 묻혀 있을 뿐이다.

해결책은 따분하고 작동한다. 비밀번호를 재사용하지 말자. 비밀번호 관리자는 모든 로그인을 고유한 임의 문자열로 만들어서, 한 사이트에서의 유출이 정확히 하나의 계정을 망치지 모든 것을 망치지 않는다. 2단계 인증을 켜자. 이것은 올바른 도난당한 비밀번호도 두 번째 단계에서는 여전히 실패한다는 의미다. 그리고 당신의 주소가 알려진 위반 사건에 있는지 실제로 확인하자. Have I Been Pwned가 무료로 당신에게 말해 줄 것이고, 이제 대부분의 비밀번호 관리자가 자동으로 재사용 및 손상된 항목에 플래그를 지정한다.

불편한 진실은, 당신을 목표로 가장 열심히 일하는 공격자가 후디를 입은 해커가 아니라는 것이다. 그것은 스크립트이며, 목록을 실행하고 있고, 거의 모두가 공유하지만 거의 모두가 자신들에게는 적용되지 않는다고 가정하는 하나의 습관을 악용하고 있다.