Nimeni nu a ghicit parola ta. Au doar refolosit-o.

Un bot într-un data center, undeva, încearcă chiar acum adresa ta de email pe 130 de site-uri diferite, și știe deja parola. Nu o ghicire. Nu un dicționar cu parolele comune. Șirul exact pe care l-ai tastat — pentru că l-ai tastat înainte, undeva care a fost compromis, și atacatorii pariază că ești destul de leneș să o refolosești.

Pariul se dovedește a fi corect într-o măsură uimitoare. Un sondaj Google și Harris Poll a găsit că 65% dintre oameni reutilizează aceeași parolă pe mai multe site-uri, și o parte admit că folosesc o singură parolă aproape peste tot. Probabil ai citit acel număr și ai gândit, sigur, alți oameni. Asta este toat modelul de afaceri. Atacatorul nu contează pe faptul că tu specific ești neglijent. Contează pe 65% dintr-o listă furată fiind neglijență, și are nevoie doar de o fracție pentru a reușit.

Aceasta este credential stuffing, iar numele este literal. Cineva ia o descărcare de perechi email-parolă divulgate — Have I Been Pwned indexează acum mai mult de 14 miliarde de conturi compromise pe mii de breșe — și „umple" acele perechi în formularele de logare din tot internetul. Bănci. Servicii de streaming. Programe de loialitate. Chiar email-ul tău. Automatizează asta, rotează prin proxy IP-uri ca nimic să nu pară suspect, și lasă volumul să facă treaba.

Iar volumul este absurd. Akamai, care se află în fața unei fracțiuni mari a traficului web, a înregistrat zeci de miliarde de încercări de credential stuffing într-un singur an, iar unele rapoarte măsoară bine peste o sută de miliarde anual. O parolă compromisă nu deschide o singură ușă. Este o cheie master încercată pe fiecare încuietoare din stradă, rapid, de ceva care nu se obosește niciodată.

Iată partea care ar trebui să rescriu modul în care gândești la asta. Pagina de logare pe care ai refolosit acea parolă nu a trebuit neapărat să fie compromisă. Site-ul slab care a divulgat-o — un forum defunct, un retailer din 2014, o aplicație de trivia — dă atacatorilor cheia către site-urile puternice. Banca ta poate avea securitate perfectă și tot pierde, pentru că parola care o proteja era deja într-un fișier text vândut pentru bani puțini, culeas de undeva cu securitate ca o ușă cu plase.

Deci cum știi dacă ești într-una din aceste descărcări? Adesea, ți s-a spus deja. Nu prin intermediul unui briefing de securitate — prin dosarul tău de spam. Acele emailuri „încercare neobișnuită de logare", „confirmă-ți contul", și „am observat o logare de pe un dispozitiv nou" pe care le ștergi reflexiv sunt frecvent alarma reală, legitimă declanșată pentru că un bot a încercat credențialele tale și a declanșat o limită de rată. Notificările de breșă reale și alertele de logare reale ajung în spam constant, chiar alături de cele false care le impersonează. Semnalul este acolo. Este doar îngropat sub zgomotul care e conceput să arate identic.

Soluția este plictisitoare și funcționează. Încetează să refolosești parole — un manager de parole face din fiecare logare un șir aleatoriu unic, deci o scurgere de pe un site otrăvește exact un singur cont în loc de toate. Activează autentificarea cu doi factori, care înseamnă că o parolă furată corectă încă eșuează la pasul al doilea. Și verifică de fapt dacă adresa ta este într-o breșă cunoscută; Have I Been Pwned ți-o va spune gratuit, și majoritatea managerelor de parole marchează acum intrările reutilizate și compromise automat.

Adevărul incomod este că atacatorul care muncește cel mai greu ținténdu-te ținta nu este un hacker cu glugă. Este un script, executând o listă, exploatând obiceiul pe care aproape toată lumea îl are și pe care aproape toată lumea presupune că nu se aplică lor.