Niemand heeft je wachtwoord geraden. Ze hebben het gewoon hergebruikt.

Een bot in een datacentrum ergens probeert je e-mailadres nu op 130 verschillende websites en kent het wachtwoord al. Geen gok. Geen woordenboek met veelgebruikte. De exacte tekenreeks die je hebt ingetypt — omdat je die eerder hebt ingetypt, ergens dat is gehackt, en aanvallers gokken dat je lui genoeg bent om het twee keer te gebruiken.

Die gok gaat verbazingwekkend vaak goed. Een onderzoek van Google en Harris Poll vond dat 65% van de mensen hetzelfde wachtwoord op meerdere sites hergebruikt, en een deel geeft toe dat ze op bijna alles hetzelfde wachtwoord gebruiken. Je hebt dat getal waarschijnlijk gelezen en dacht: ja, andere mensen. Dat is het hele bedrijfsmodel. De aanvaller rekent niet op jou specifiek als slordig. Ze rekenen op 65% van een gestolen lijst als slordig, en ze hoeven maar een klein gedeelte raak te maken.

Dit is credential stuffing, en de naam is letterlijk. Iemand neemt een dump van gelekte e-mail- en wachtwoordparen — Have I Been Pwned indexeert nu meer dan 14 miljard gecompromitteerde accounts uit duizenden breaches — en "stopt" die paren in loginformulieren over het hele internet. Banken. Streamingservices. Loyaliteitsprogramma's. Je eigen e-mail. Ze automatiseren het, roteren door proxy-IP's zodat niets verdacht lijkt, en laten het volume het werk doen.

En het volume is absurd. Akamai, dat voor een groot deel van het webverkeer zit, heeft tientallen miljarden credential-stuffing-pogingen in één jaar geregistreerd, waarbij sommige rapporten ruim honderd miljard per jaar meten. Eén gecompromitteerd wachtwoord opent niet één deur. Het is een vogelsleutel die tegen elke slot in de straat wordt geprobeerd, snel, door iets dat nooit moe wordt.

Hier is het onderdeel dat moet veranderen hoe je erover denkt. De loginpagina waarop je dat wachtwoord hergebruikte, hoefde niet gehackt te zijn. De zwakke site die het heeft gelekt — een verlaten forum, een retailer uit 2014, een trivia-app — geeft aanvallers de sleutel naar de sterke sites. Je bank kan perfect beveiligd zijn en toch verliezen, omdat het wachtwoord dat het beveiligt al in een tekstbestand zat, voor een paar cent verkocht, geoogst van ergens met de beveiliging van een hordeuren.

Dus hoe weet je of je in een van deze dumps zit? Vaak ben je dat al verteld. Niet door een beveiligingsbriefing — door je spammap. Die e-mails "ongebruikelijke aanmeldingspoging," "bevestig je account," en "we hebben een aanmelding van een nieuw apparaat opgemerkt" die je reflexmatig verwijdert, zijn vaak het echte, legitieme alarm dat afgaat omdat een bot je inloggegevens heeft geprobeerd en een snelheidslimiet heeft geactiveerd. Echte breachberichten en echte aanmeldingswaarschuwingen verdwijnen voortdurend in spam, naast de nepberichten die ze imiteren. Het signaal is er. Het is alleen begraven onder de ruis die identiek lijkt te zijn ontworpen.

De oplossing is saai en het werkt. Stop met het hergebruiken van wachtwoorden — een wachtwoordmanager maakt elke aanmelding een unieke willekeurige tekenreeks, dus een lek van één site vergiftigt precies één account in plaats van allemaal. Schakel twee-factorverificatie in, wat betekent dat een correct gestolen wachtwoord nog steeds mislukt bij de tweede stap. En controleer eigenlijk of je adres in een bekende breach zit; Have I Been Pwned zal je dat gratis vertellen, en de meeste wachtwoordmanagers markeren nu hergebruikte en gecompromitteerde vermeldingen automatisch.

De oncomfortabele waarheid is dat de hardst werkende aanvaller die jou aanvalt geen hacker in een hoodie is. Het is een script dat een lijst uitvoert, exploiteert de ene gewoonte die bijna iedereen deelt en bijna iedereen aanneemt dat op hen niet van toepassing is.