Kimse Şifrenizi Tahmin Etmedi. Sadece Yeniden Kullandılar.

Bir veri merkezindeki bir bot şu anda e-posta adresinizi 130 farklı web sitesinde denemiyor ve şifreyi zaten biliyor. Tahmin değil. Sık kullanılan şifrelerin sözlüğü değil. Yazdığınız gerçek karakter dizisi — çünkü bunu daha önce, ihlal edilen bir yerde yazdınız ve saldırganlar bunu iki kez kullanacak kadar tembel olduğunuza bahis yapıyor.

Bu bahis şaşılacak kadar sık tutturuluyor. Google ve Harris Poll anketine göre insanların %65'i aynı şifreyi birden fazla sitede yeniden kullanıyor ve bazıları hemen hemen her yerde tek bir şifre kullandığını itiraf ediyor. Muhtemelen bu rakamı okudunuz ve "tabii, diğer insanlar" diye düşündünüz. Bu tamamen işin iş modeli. Saldırgan özellikle siz dikkatsiz olduğunuza güvenmiyor. Çalıntı bir listenin %65'inin dikkatsiz olduğuna ve yalnızca bir kısmının isabet etmesine ihtiyaçları var.

Bu kimlik bilgisi doldurma ve isim kelimenin tam anlamıdır. Birisi sızdırılmış e-posta ve şifre çiftlerinden oluşan bir veri yığınını alır — Have I Been Pwned şimdi binlerce ihlal arasında 14 milyardan fazla gizliliği ihlal edilmiş hesabı dizine alıyor — ve bu çiftleri internet genelinde giriş formlarına "doldurur". Bankalar. Yayın hizmetleri. Sadakat programları. E-postanızın kendisi. Bunu otomatikleştirirler, hiçbir şey şüpheli görünmemesi için proxy IP'lerini değiştirirler ve hacim işi yapar.

Ve hacim korkunç. Web trafiğinin büyük bir bölümünün önünde yer alan Akamai, tek bir yılda on milyarları aşan kimlik bilgisi doldurma girişimleri kaydetmiştir; bazı raporlar yıllık yüz milyarı aşkın sayıyor. Bir gizliliği ihlal edilmiş şifre bir kapıyı açmak zorunda değildir. Sokaktaki her kilide karşı deneneni, hızlı bir şekilde ve asla yorulmayan bir şey tarafından hızlı bir şekilde deneneni, ana anahtar olarak kullanılıyor.

Bunun nasıl düşündüğünüzü yeniden çerçevelemesi gereken kısım. Şifreyi yeniden kullandığınız giriş sayfasının ihlal edilmesi gerekmeyen. Bunu sızdıran zayıf site — işlevsel olmayan bir forum, 2014 perakendecisi, bir trivia uygulaması — saldırganları güçlü sitelerin anahtarına teslim ediyor. Bankanız kusursuz güvenliğe sahip olabilir ve yine de kaybedebilir, çünkü onu koruyan şifre zaten bir metin dosyasında oturuyordu ve kuruş karşılığında satıldı, bir kapı güvenliğine sahip bir yerden hasat edildi.

Peki bu yığınlardan birinde olup olmadığınızı nasıl bilebilirsiniz? Genellikle, zaten söylediler. Güvenlik brefi tarafından değil — spam klasörünüz tarafından. "Olağandışı oturum açma girişimi", "hesabınızı doğrulayın" ve "yeni bir cihazdan oturum açtığımız fark ettik" e-postaları refleks olarak sildiğiniz çoğu zaman, bir bot kimlik bilgilerinizi denedi ve bir hız sınırını tetiklediği için gerçek, meşru alarm ateşlenir. Gerçek ihlal bildirimleri ve gerçek oturum açma uyarıları sürekli olarak spam klasörüne gider, onları taklit eden sahte olanlarla birlikte. Sinyal orada. Sadece aynı görünmesi için tasarlanan gürülü altında gömülü.

Düzeltme sıkıcı ve işe yarar. Şifreleri yeniden kullanmayı bırakın — bir şifre yöneticisi her girişi benzersiz bir rasgele dize yapar, böylece bir sitenin sızıntısı tam olarak bir hesabı zehirler, hepsini değil. İki faktörlü kimlik doğrulamayı açın; bu, doğru çalıntı bir şifrenin ikinci adımda başarısız olması anlamına gelir. Ve adresinizin bilinen bir ihlalde olup olmadığını gerçekten kontrol edin; Have I Been Pwned size ücretsiz olarak söyleyecektir ve çoğu şifre yöneticisi artık yeniden kullanılan ve gizliliği ihlal edilmiş girişleri otomatik olarak işaretler.

Rahatsız edici gerçek şu ki, sizi hedef alan en çok çalışan saldırgan, kapüşonlu bir hacker değil. Bir listeyi çalıştıran, hemen hemen herkesin paylaştığı ve hemen hemen herkesin kendisine uygulanmadığını varsaydığı bir alışkanlığı suistimal eden bir betiktir.