ไม่มีใครเดาได้รหัสผ่านของคุณ พวกเขาแค่นำมันกลับมาใช้ใหม่

บอตอยู่ในศูนย์ข้อมูลไหนสักแห่งกำลังลองใช้ที่อยู่อีเมลของคุณบนเว็บไซต์ 130 แห่งขณะนี้ และมันรู้รหัสผ่านแล้ว ไม่ใช่การเดา ไม่ใช่พจนานุกรมของรหัสทั่วไป เป็นสตริงที่แท้จริงที่คุณพิมพ์ — เพราะคุณพิมพ์มันมาแล้ว ที่ไหนสักแห่งที่ถูกละเมิด และผู้โจมตีเดิมพันว่าคุณขี้เกียจพอที่จะใช้มันซ้ำ

เดิมพันนั้นจ่ายชำระจำนวนที่น่าตกใจ การสำรวจของ Google และ Harris Poll พบว่า 65% ของคนใช้รหัสผ่านเดียวกันซ้ำบนไซต์หลายแห่ง และมีบางคนยอมรับว่าใช้รหัสผ่านเดียวเกือบทุกที่ คุณอาจอ่านตัวเลขนั้นและคิดว่า ใช่ คนอื่นน่ะ นั่นแหละคือโมเดลธุรกิจทั้งหมด ผู้โจมตีไม่ได้นับหวังว่าคุณโดยเฉพาะจะไม่ระวัง พวกเขานับหวังว่า 65% ของรายชื่อที่ถูกขโมยจะไม่ระวัง และพวกเขาต้องการแค่ส่วนเล็กน้อยที่จะถูกใจ

นี่คือการโจมตีด้วยการยัดรหัส (credential stuffing) และชื่อนั้นแปลว่าจริงตัว บางคนใช้ข้อมูลรั่วของคู่อีเมลและรหัสผ่าน — Have I Been Pwned ปัจจุบันสารายการบัญชีที่ถูกเรียกร้องมากกว่า 14 พันล้านรายทั่วหลายพันการละเมิด — และ "ยัด" คู่เหล่านั้นเข้าไปในแบบฟอร์มการเข้าสู่ระบบทั่วอินเทอร์เน็ต ธนาคาร บริการสตรีมมิง โปรแกรมสมาชิกสิทธิ์ อีเมลของคุณเอง พวกเขาอัตโนมัติมัน หมุนผ่าน proxy IP เพื่อให้ไม่มีสิ่งใดดูน่าสงสัย และปล่อยให้ปริมาณทำงาน

และปริมาณนั้นเหลือเชื่อ Akamai ซึ่งอยู่หน้าเศษส่วนใหญ่ของการไหลของเว็บ ได้บันทึกการโจมตีด้วยการยัดรหัสนับสิบพันล้านในหนึ่งปี โดยบางรายงานวัดได้กว่าหนึ่งร้อยพันล้านครั้งต่อปี รหัสผ่านที่ถูกเรียกร้องหนึ่งรหัสไม่ได้เปิดประตูบานเดียว มันเป็นกุญแจประตูหลักที่ลองใช้กับทุกกุญแจบนถนน อย่างรวดเร็ว โดยสิ่งที่ไม่เคยเหนื่อย

นี่คือส่วนที่ควรสร้างกรอบใหม่ว่าคุณคิดเกี่ยวกับมันอย่างไร หน้าเข้าสู่ระบบที่คุณใช้รหัสผ่านซ้ำไม่จำเป็นต้องถูกละเมิด ไซต์ที่อ่อนแอที่รั่วมัน — ฟอรัมที่หายไป ค้นแมค 2014 แอปเล่นเกม — มอบกุญแจให้ผู้โจมตีเพื่อเข้า ไซต์ แข็งแกร่ง ธนาคารของคุณอาจมีความปลอดภัยที่สมบูรณ์แบบและยังคงแพ้ เพราะรหัสผ่านที่ปกป้องมันอยู่ในไฟล์ข้อความที่ขายด้วยราคาเพชร ถูกเก็บเกี่ยวจากที่ไหนสักแห่งที่มีความปลอดภัยเท่ากับประตูสแกรีน

แล้วคุณรู้ได้อย่างไรว่าคุณอยู่ในไบแนรีเหล่านี้? บ่อยครั้ง คุณได้รับการบอกแล้ว ไม่ใช่จากการให้ข้อมูลด้านความปลอดภัย — จากโฟลเดอร์สแปมของคุณ อีเมล "ความพยายามเข้าสู่ระบบที่ผิดปกติ" "ยืนยันบัญชีของคุณ" และ "เราสังเกตเห็นการเข้าสู่ระบบจากอุปกรณ์ใหม่" ที่คุณลบโดยสัญชาตญาณนั้นมักจะเป็นการแจ้งเตือนที่ถูกต้องและถูกต้องตามจริงที่ยิงเพราะบอตลองใช้ข้อมูลของคุณและกระตุ้นข้อ จำกัด อัตรา การแจ้งเตือนการละเมิดที่ถูกต้องและการแจ้งเตือนการเข้าสู่ระบบที่ถูกต้องถูกกวาดลงสแปมอย่างต่อเนื่อง ข้างคู่กับของปลอมที่บุคคลสำคัญต่ออีเมลพวกเขา สัญญาณอยู่ที่นั่น มันเพียงแต่ฝังอยู่ใต้เสียงที่ออกแบบมาให้ดูเหมือนเดียวกัน

วิธีแก้ไขนั้นน่าเบื่อและมันได้ผล หยุดใช้รหัสผ่านซ้ำ — ตัวจัดการรหัสผ่านทำให้การเข้าสู่ระบบทุกครั้งเป็นสตริงสุ่มที่ไม่ซ้ำ ดังนั้นการรั่วไหลจากไซต์หนึ่งจึงเป็นพิษให้บัญชีเดียวแทนที่จะเป็นทั้งหมด เปิดใช้งานการรับรองความถูกต้องสองปัจจัย ซึ่งหมายความว่ารหัสผ่านที่ถูกขโมยที่ถูกต้องยังคงล้มเหลวในขั้นตอนที่สอง และตรวจสอบจริงว่าที่อยู่ของคุณอยู่ในการละเมิดที่ทราบ Have I Been Pwned จะบอกคุณฟรี และตัวจัดการรหัสผ่านส่วนใหญ่ปัจจุบันแสดงสถานะรายการที่ใช้ซ้ำและถูกเรียกร้องโดยอัตโนมัติ

ความจริงที่น่าอึดอัใจคือผู้โจมตีที่ขยันขันแข็งที่สุดที่กำหนดเป้าหมายคุณไม่ใช่แฮกเกอร์ในเสื้อผ้า มันคือสคริปต์ ใช้รายชื่อ ใช้ประโยชน์จากพฤติกรรมเดียวที่เกือบทุกคนแบ่งปันและเกือบทุกคนสันนิษฐานว่าไม่ใช้กับพวกเขา