Ingen gissade ditt lösenord. De återanvände bara det.

En bot i ett datacenter någonstans försöker just nu din e-postadress på 130 olika webbplatser, och den vet redan lösenordet. Inte en gissning. Inte en ordbok med vanliga lösenord. Den exakta strängen du skrev — för du skrev den förut, någonstans som blev hackad, och angripare räknade med att du var lat nog att använda den två gånger.

Det slaget lönar sig förvånansvärt ofta. En undersökning från Google och Harris Poll visade att 65% av människorna återanvänder samma lösenord på flera webbplatser, och några medger att de använder ett lösenord nästan överallt. Du läste antagligen det siffror och tänkte, ja, andra människor. Det är hela affärsmodellen. Angriparen räknar inte med att du specifikt är slarvig. De räknar med att 65% av en stulen lista är slarvig, och de behöver bara en liten del för att träffa.

Det här är credential stuffing, och namnet är bokstavligt. Någon tar en dump av läckta e-post-och-lösenord-par — Have I Been Pwned indexerar nu mer än 14 miljarder komprometterade konton över tusentals dataintrång — och "stoppar in" dessa par i inloggningsformulär över hela internet. Banker. Streamingtjänster. Lojalitetsprogram. Din e-post själv. De automatiserar det, roterar genom proxy-IP:er så ingenting ser misstänkt ut, och låter volymen göra jobbet.

Och volymen är absurd. Akamai, som ligger framför en stor del av webbtrafiken, har loggat tiotals miljarder credential-stuffing-försök på ett år, där vissa rapporter mäter långt över hundra miljarder årligen. Ett komprometterat lösenord öppnar inte en dörr. Det är en huvudnyckel som provas mot varje lås på gatan, snabbt, av något som aldrig blir trött.

Här är delen som bör omvärdera hur du tänker på det. Inloggningssidan du återanvände det lösenordet på behövde inte bli hackad. Den svaga webbplatsen som läckte det — ett dödt forum, en återförsäljare från 2014, en skämtapp — ger angripare nyckeln till de starka webbplatserna. Din bank kan ha perfekt säkerhet och ändå förlora, för lösenordet som skyddar den låg redan i en textfil som såldes för småpengar, skördad från någonstans med säkerheten på en skärmdörr.

Så hur vet du om du är i en av dessa dumpar? Ofta fick du redan veta det. Inte via en säkerhetsbriefing — via din skräppostmapp. De e-postmeddelanden om "ovanligt inloggningsförsök," "bekräfta ditt konto," och "vi märkte en inloggning från en ny enhet" som du reflexmässigt raderar är ofta den riktiga, legitima alarmen som går på grund av att en bot försökte dina uppgifter och utlöste en hastighetsbegränsning. Riktiga dataintrångsmeddelandenden och riktiga inloggningsvarningar hamnar i skräppost konstant, rätt tillsammans med de falska som utger sig för att vara dem. Signalen är där. Den är bara begravd under bruset som är designat för att se identiskt ut.

Lösningen är tråkig och den fungerar. Sluta återanvända lösenord — en lösenordshanterare gör varje inloggning till en unik slumpsträng, så ett läck från en webbplats förgiftar exakt ett konto istället för alla. Slå på tvåfaktorsautentisering, vilket betyder att ett korrekt stulet lösenord fortfarande misslyckas vid andra steget. Och kontrollera faktiskt om din adress är i ett känt dataintrång; Have I Been Pwned berättar för gratis, och de flesta lösenordshanterare flaggar nu återanvända och komprometterade poster automatiskt.

Den obehagliga sanningen är att den hårdast arbetande angriparen som riktar sig mot dig inte är en hacker i en hoodie. Det är ett skript som kör en lista och utnyttjar den ena vanan nästan alla delar och nästan alla antar inte gäller för dem.