Никто не угадал ваш пароль. Они просто его переиспользовали.

Бот в каком-то дата-центре прямо сейчас пытается использовать ваш адрес на 130 разных сайтах, и он уже знает пароль. Не угадку. Не словарь из распространённых паролей. Именно ту последовательность символов, которую вы вводили — потому что вы вводили её раньше, где-то на сайте с утечкой, и злоумышленники ставят на то, что вы ленивы настолько, чтобы использовать его дважды.

Эта ставка срабатывает поразительно часто. Опрос Google и Harris Poll показал, что 65% людей переиспользуют один и тот же пароль на нескольких сайтах, и некоторые признаются, что применяют один пароль почти везде. Вы, вероятно, прочитали эту цифру и подумали: ну да, конечно, другие люди. Вот на этом и построена вся бизнес-модель. Злоумышленник не рассчитывает именно на вашу небрежность. Он рассчитывает на то, что 65% из украденного списка небрежны, а ему нужна лишь малая доля, чтобы попасть в цель.

Это credential stuffing — перебор скомпрометированных учётных данных, и название буквально описывает суть. Кто-то берёт утечку пар email-пароль — Have I Been Pwned сейчас индексирует более 14 миллиардов скомпрометированных учётных записей по всем тысячам взломов — и «набивает» эти пары в формы входа по всему интернету. Банки. Стриминговые сервисы. Программы лояльности. Сама ваша почта. Они автоматизируют это, крутят через прокси-IP, чтобы ничто не выглядело подозрительным, и дают объёму сделать свою работу.

И этот объём огромен. Akamai, который находится впереди значительной части веб-трафика, зафиксировал десятки миллиардов попыток credential stuffing в один год, некоторые отчёты измеряют более сотни миллиардов в год. Один скомпрометированный пароль не открывает одну дверь. Это мастер-ключ, который пробуют против каждого замка на улице, быстро, вещью, которая никогда не устаёт.

А вот это должно переформатировать ваше представление об этом. Страница входа, на которой вы переиспользовали пароль, не обязательно должна была быть взломана. Слабый сайт, который его утёк — закрытый форум, розничный магазин 2014 года, приложение-викторина — вручает злоумышленникам ключ к сильным сайтам. Ваш банк может иметь идеальную безопасность и всё равно проиграет, потому что пароль, который его защищает, уже лежал в текстовом файле, проданном за копейки, извлечённый откуда-то с безопасностью экранной двери.

Итак, откуда вы узнаете, находитесь ли вы в одной из этих утечек? Часто вам уже об этом сказали. Не в брифинге по безопасности — в папке спама. Те письма «необычная попытка входа», «подтвердите вашу учётную запись» и «мы заметили вход с нового устройства», которые вы рефлекторно удаляете, часто — это реальная, легитимная тревога, срабатывающая потому, что бот попробовал ваши учётные данные и спровоцировал ограничение по частоте. Реальные уведомления о взломах и реальные алерты входа постоянно попадают в спам рядом с поддельными, которые их имитируют. Сигнал есть. Он просто похоронен под шумом, спроектированным так, чтобы выглядеть идентично.

Решение скучное и оно работает. Перестаньте переиспользовать пароли — менеджер паролей делает каждый вход уникальной случайной строкой, так что утечка с одного сайта отравляет ровно одну учётную запись вместо всех. Включите двухфакторную аутентификацию, которая означает, что даже правильный украденный пароль не пройдёт на втором этапе. И действительно проверьте, находится ли ваш адрес в известной утечке; Have I Been Pwned скажет вам это бесплатно, и большинство менеджеров паролей теперь автоматически отмечают переиспользованные и скомпрометированные записи.

Неудобная истина в том, что самый трудолюбивый злоумышленник, нацелившийся на вас, — это не хакер в капюшоне. Это скрипт, запускающий список, эксплуатирующий одну привычку, которой подвержены почти все и которую почти все предполагают, что она их не касается.