Ninguém adivinhou sua senha. Eles simplesmente reutilizaram.

Um bot em um data center em algum lugar está tentando seu endereço de email em 130 sites diferentes neste exato momento, e já sabe a senha. Não é um palpite. Não é um dicionário de senhas comuns. A string exata que você digitou — porque você digitou antes, em algum lugar que sofreu uma violação, e os atacantes apostam que você foi preguiçoso o bastante para usar duas vezes.

Essa aposta compensa uma quantidade impressionante de vezes. Uma pesquisa do Google e Harris Poll descobriu que 65% das pessoas reutilizam a mesma senha em vários sites, e um número delas admite usar uma senha em quase todos os lugares. Você provavelmente leu esse número e pensou, claro, outras pessoas. Esse é todo o modelo de negócio. O atacante não está contando com você especificamente sendo negligente. Eles estão contando com 65% de uma lista roubada sendo negligente, e precisam apenas de uma pequena fração para acertar.

Isso é credential stuffing, e o nome é literal. Alguém pega um dump de pares de email e senha vazados — Have I Been Pwned agora indexa mais de 14 bilhões de contas comprometidas em milhares de violações — e "stuffa" esses pares em formulários de login pela internet. Bancos. Serviços de streaming. Programas de fidelidade. Seu próprio email. Eles automatizam, alternam IPs de proxy para que nada pareça suspeito, e deixam o volume fazer o trabalho.

E o volume é absurdo. Akamai, que fica na frente de uma grande fração do tráfego web, registrou dezenas de bilhões de tentativas de credential stuffing em um único ano, com alguns relatórios medindo bem mais de cem bilhões anualmente. Uma senha comprometida não abre uma porta. É uma chave mestra sendo tentada em cada fechadura da rua, rápido, por algo que nunca se cansa.

Aqui está a parte que deveria reformular como você pensa sobre isso. A página de login em que você reutilizou essa senha não precisava ter sido violada. O site fraco que vazou — um fórum desativado, um varejista de 2014, um aplicativo de trivia — entrega aos atacantes a chave para os sites fortes. Seu banco pode ter segurança perfeita e ainda assim perder, porque a senha que o protege já estava em um arquivo de texto vendido por centavos, colhida de algum lugar com a segurança de uma porta de tela.

Então como você sabe se está em um desses dumps? Frequentemente, você já foi informado. Não por um briefing de segurança — pela sua pasta de spam. Aqueles emails de "tentativa de acesso incomum", "confirme sua conta" e "notamos um login de um novo dispositivo" que você reflexivamente deleta são frequentemente o alarme real e legítimo disparando porque um bot tentou suas credenciais e acionou um limite de taxa. Notificações de violação reais e alertas de login reais caem constantemente em spam, lado a lado com os falsos que os impersonam. O sinal está lá. Apenas está enterrado sob o ruído projetado para parecer idêntico.

A solução é chata e funciona. Pare de reutilizar senhas — um gerenciador de senhas torna cada login uma string aleatória única, então uma violação de um site envenena exatamente uma conta em vez de todas elas. Ative a autenticação de dois fatores, o que significa que uma senha roubada correta ainda falha na segunda etapa. E realmente verifique se seu endereço está em uma violação conhecida; Have I Been Pwned vai te dizer gratuitamente, e a maioria dos gerenciadores de senha agora sinalizam automaticamente entradas reutilizadas e comprometidas.

A verdade desconfortável é que o atacante mais trabalhoso visando você não é um hacker em um moletom. É um script, executando uma lista, explorando o único hábito que quase todos compartilham e quase todos assumem que não se aplica a eles.

@@END@@