Nikt nie zgadł Twojego hasła. Po prostu je ponownie użył.

Bot w jakimś centrum danych próbuje właśnie Twojego adresu e-mail na 130 różnych stronach internetowych, a już zna hasło. Nie zgadywanie. Nie słownik popularnych haseł. Dokładny ciąg znaków, który wpisałeś — bo wpisałeś go wcześniej gdzieś indziej, co zostało złamane, i atakujący liczą na to, że byłeś leniwy na tyle, aby użyć go dwa razy.

To założenie przynosi rezultaty w zdumiewającej ilości przypadków. Badanie Google i Harris Poll wykazało, że 65% osób ponownie wykorzystuje to samo hasło na wielu stronach, a niektóre przyznają się do używania jednego hasła prawie wszędzie. Prawdopodobnie przeczytałeś tę liczbę i pomyślałeś: pewnie, inne osoby. To cały model biznesowy. Atakujący nie liczy na to, że będziesz niedbały. Liczy na to, że 65% ze skradzionej listy będzie niedbałe, i potrzebuje tylko niewielkiego odsetka, aby trafić.

To tzw. credential stuffing, a nazwa jest dosłowna. Ktoś bierze bazę wycieków par e-mail-hasło — Have I Been Pwned indeksuje już ponad 14 miliardów skompromitowanych kont z tysięcy naruszeń — i „wkłada" te pary do formularzy logowania na całym internecie. Banki. Serwisy streamingowe. Programy lojalnościowe. Twojä poczta. Automatyzują to, rotują IP przez proxy, aby nic nie wyglądało podejrzanie, i pozwalają wolumenowi wykonać pracę.

I ten wolumin jest absurdalny. Akamai, które znajduje się przed dużą częścią ruchu internetowego, zarejestrowało dziesiątki miliardów prób credential stuffingu w ciągu jednego roku, a niektóre raporty mierzą ponad sto miliardów rocznie. Jedno skompromitowane hasło nie otwiera jednych drzwi. To główny klucz wypróbowywany na każdym zamku na ulicy, szybko, przez coś, co nigdy się nie męczy.

A oto część, która powinna zmienić Twoje myślenie na ten temat. Strona logowania, na której ponownie użyłeś hasła, nie musiała być naruszona. Słaba strona, która je wyciekła — nieistniejące już forum, sklep z 2014 roku, aplikacja quizowa — daje atakującym klucz do silnych stron. Twój bank może mieć doskonałe bezpieczeństwo i nadal przegrać, bo hasło go chroniące siedziało już w pliku tekstowym sprzedanym za grosze, zdobytym gdzieś z bezpieczeństwem papierowej zasłonki.

Skąd więc wiesz, czy znajdujesz się w jednym z tych zbiorów danych? Often, już ci to powiedziano. Nie z briefingu bezpieczeństwa — z Twojej półki spamu. Te e-maile „podejrzana próba zalogowania", „potwierdź swoje konto" i „zauważyliśmy logowanie z nowego urządzenia", które refleksyjnie usuwasz, to częste prawdziwe, uzasadnione alarmy, bo bot próbował Twoich danych i przekroczył limit szybkości. Prawdziwe powiadomienia o naruszeniach i prawdziwe alerty logowania trafiają do spamu ciągle, obok fałszywych, które je podrabiają. Sygnał tam jest. Po prostu jest pochowany pod szumem zaprojektowanym, aby wyglądać identycznie.

Rozwiązanie jest nudne i działa. Przestań ponownie używać haseł — menedżer haseł sprawia, że każde logowanie jest unikalnym losowym ciągiem znaków, więc wyciek z jednej strony zatruje dokładnie jedno konto zamiast wszystkich. Włącz uwierzytelnianie dwuskładnikowe, co oznacza, że nawet prawidłowe skradzione hasło nie powiedzie się na drugim etapie. I naprawdę sprawdź, czy Twój adres znajduje się w znanym naruszeniu; Have I Been Pwned powie ci za darmo, a większość menedżerów haseł teraz automatycznie oznacza ponownie użyte i skompromitowane wpisy.

Niewygodna prawda jest taka, że najpracowitszy atakujący atakujący ciebie nie jest hakerem w bluzie z kapturem. To skrypt, przetwarzający listę, wykorzystujący jeden nawyk, który dzielą prawie wszyscy i który prawie wszyscy założają, że ich nie dotyczy.