Ніхто не вгадав вашій пароль. Вони просто його переспівняли.

Бот у якомусь дата-центрі прямо зараз пробує вашу адресу електронної пошти на 130 різних сайтах, і він уже знає пароль. Не вгадування. Не словник часто вживаних. Той самий рядок, який ви набрали — тому що ви набрали його раніше, де-небудь, що було зламано, а зловмисники ставили на те, що ви ліниві настільки, щоб використати його двічі.

Ця ставка виправдовується обурливо часто. Опитування Google та Harris Poll показало, що 65% людей переспівняють один і той же пароль на кількох сайтах, а деякі визнають, що використовують один пароль майже повсюдно. Ви, мабуть, прочитали це число і подумали: звичайно, інші люди. Це ж і весь бізнес-модель. Зловмисник не розраховує на те, що саме ви будете необережні. Він розраховує на те, що 65% украденого списку будуть необережні, і йому потрібна лише крихітна частка, щоб це спрацювало.

Це так зване перепробування облікових даних (credential stuffing), і назва буквальна. Хтось бере дамп витеклих пар електронної пошти та пароля — Have I Been Pwned тепер індексує більше ніж 14 мільярдів скомпрометованих облікових записів на тисячах утечок — і «набиває» ці пари в форми входу по всьому інтернету. Банки. Потокові сервіси. Програми лояльності. Вашу саму електронну пошту. Вони це автоматизують, змінюють проксі IP-адреси, щоб все виглядало непідозріло, і дають обсягу робити свою роботу.

А обсяг абсурдний. Akamai, який знаходиться перед великою частиною веб-трафіку, зафіксував десятки мільярдів спроб перепробування облікових даних за один рік, деякі звіти вимірюють добре понад сто мільярдів щорічно. Один скомпрометований пароль не відкриває одні двері. Це головний ключ, який пробують проти кожного замка на вулиці, швидко, щось, що ніколи не втомлюється.

Ось частина, яка повинна переформатувати те, як ви про це думаєте. Сторінка входу, на якій ви переспівняли цей пароль, не мала бути зламана. Слабкий сайт, який його виліз — застарілий форум, роздрібник 2014 року, додаток з вікторинами — дає зловмисникам ключ до міцних сайтів. Ваш банк може мати ідеальну безпеку і все одно програти, тому що пароль, який його захищав, уже сидів у текстовому файлі, проданому за копійки, зібраному з місця з безпекою москітної сітки.

Отже, як ви дізнаєтесь, чи ви в одному з цих дампів? Часто, вам уже сказали. Не через брифінг безпеки — через вашу папку спаму. Ті листи про «необичну спробу входу», «підтвердіть свій акаунт» і «ми помітили вхід з нового пристрою», які ви рефлекторно видаляєте, часто це справжній, легітимний сигнал тривоги, що спрацював, тому що бот спробував ваші облікові дані й перевищив обмеження на частоту. Справжні сповіщення про утечу та справжні сповіщення про вхід постійно потрапляють до спаму, поруч із підробками, що видають себе за них. Сигнал там. Він просто похований під шумом, який розроблений виглядати так само.

Виправлення нудне й працює. Перестаньте переспівняти паролі — менеджер паролів робить кожен вхід унікальним випадковим рядком, тому витечка з одного сайту отруює рівно один акаунт замість усіх. Увімкніть двофакторну аутентифікацію, що означає, що правильний украдений пароль все одно не спрацює на другому етапі. І насправді перевірте, чи ваша адреса в известной утечці; Have I Been Pwned вам розповість безкоштовно, і більшість менеджерів паролів тепер автоматично позначають переспівняні та скомпрометовані записи.

Невтішна правда полягає в тому, що найбільш завзятий зловмисник, який на вас атакує, це не хакер у толстовці. Це скрипт, що запускає список, експлуатуючи звичку, яку мають майже всі й майже всі припускають, що вона до них не стосується.