کوئی آپ کے پاس ورڈ کو بھانپا نہیں۔ انہوں نے بس اسے دوبارہ استعمال کیا۔

کسی ڈیٹا سینٹر میں ایک بوٹ ابھی آپ کے ای میل پتے کو 130 مختلف ویب سائٹوں پر کوشش کر رہا ہے، اور اسے پہلے سے ہی پاس ورڈ معلوم ہے۔ کوئی تخمینہ نہیں۔ عام پاس ورڈز کی کوئی تاریخ نہیں۔ وہ حقیقی سٹرنگ جو آپ نے ٹائپ کی تھی — کیونکہ آپ نے پہلے کہیں اور ٹائپ کی تھی، جہاں خلل پڑا تھا، اور حملہ آور شرط لگا رہے ہیں کہ آپ اسے دو بار استعمال کرنے کے لیے کافی سست ہیں۔

یہ شرط بہت زیادہ وقت میں کامیاب ہو جاتی ہے۔ گوگل اور Harris Poll کا ایک سروے دیکھا گیا کہ 65٪ لوگ متعدد سائٹوں پر ایک ہی پاس ورڈ دوبارہ استعمال کرتے ہیں، اور کچھ لوگ تقریباً ہر جگہ ایک پاس ورڈ استعمال کرنے کا اعتراف کرتے ہیں۔ آپ نے شاید وہ نمبر پڑھا اور سوچا، بالکل، دوسرے لوگ۔ یہ پورا کاروباری ماڈل ہے۔ حملہ آور خاص طور پر آپ پر احتیاط کرنے پر منحصر نہیں ہے۔ وہ لیک شدہ فہرست میں 65٪ کے احتیاط کرنے پر منحصر ہیں، اور انہیں صرف ایک چھوٹا سا حصہ چاہیے۔

یہ Credential Stuffing ہے، اور یہ نام لفظی ہے۔ کوئی ای میل اور پاس ورڈ جوڑوں کی ایک بھاری فائل لے لیتا ہے — Have I Been Pwned اب ہزاروں خلل میں 14 ارب سے زیادہ سمجھوتہ شدہ اکاؤنٹس کو درج کرتا ہے — اور اُن جوڑوں کو انٹرنیٹ کے آس پاس لاگ ان فارمز میں "بھرتی" کرتا ہے۔ بینک۔ اسٹریمنگ سروسز۔ لائل ٹی پروگرام۔ آپ کی ای میل خود۔ وہ اسے خودکار بناتے ہیں، proxy IPs کے ذریعے گھومتے ہیں تاکہ کوئی مشکوک نہ لگے، اور حجم کو کام کرنے دیتے ہیں۔

اور یہ حجم بالکل بے دریغ ہے۔ Akamai، جو بہت بڑے ویب ٹریفک کے سامنے بیٹھا ہے، نے ایک ہی سال میں دسیوں ارب Credential Stuffing کی کوششوں کو لاگ کیا ہے، کچھ رپورٹس سالانہ سو ارب سے زیادہ کی پیمائش کر رہے ہیں۔ ایک سمجھوتہ شدہ پاس ورڈ ایک دروازہ کھولتا نہیں ہے۔ یہ ایک ماسٹر کلید ہے جو سڑے کے ہر تالے کے خلاف کوشش کی جا رہی ہے، تیزی سے، کسی ایسی چیز سے جو کبھی تھک نہیں جاتی۔

یہاں وہ حصہ ہے جو آپ کو اس کے بارے میں سوچنے کا طریقہ تبدیل کر دینا چاہیے۔ جو لاگ ان صفحہ آپ نے اس پاس ورڈ کو دوبارہ استعمال کیا، خود خلل پڑنے کی ضرورت نہیں تھی۔ کمزور سائٹ جس نے اسے لیک کیا — ایک ختم شدہ فورم، 2014 کا خرچ کننے والا، ایک تفریحی ایپ — حملہ آوروں کو مضبوط سائٹوں کی کلید دے دیتا ہے۔ آپ کے بینک کے پاس بہترین سیکیورٹی ہو سکتی ہے اور پھر بھی ہار کھا سکتا ہے، کیونکہ اسے محفوظ رکھنے والا پاس ورڈ پہلے سے ہی ایک متن فائل میں بیٹھا ہوا تھا جو پیسے کے لیے بیچا گیا تھا، کہیں سے حاصل کیا گیا تھا جہاں سیکیورٹی ایک اسکرین دروازے کی تھی۔

تو آپ کو کیسے معلوم ہے کہ آپ ان ڈمپس میں سے کسی میں ہیں؟ اکثر، آپ کو پہلے سے بتایا گیا تھا۔ سیکیورٹی بریفنگ کے ذریعے نہیں — آپ کے اسپیم فولڈر کے ذریعے۔ وہ "غیر معمولی سائن ان کی کوشش،" "اپنے اکاؤنٹ کی تصدیق کریں،" اور "ہم نے نئے ڈیوائس سے لاگ ان دیکھا ہے" کی ای میلیں جو آپ منعکس طور پر حذف کرتے ہیں، اکثر اصل، جائز الرام ہیں جو بوٹ نے آپ کے اعتبار کو کوشش کی تھی اور شرح کی حد کو روک دیا تھا۔ حقیقی خلل کی اطلاعات اور حقیقی لاگ ان الرام مسلسل اسپیم میں جھاڑو دے دیے جاتے ہیں، نقلی لوگوں کے ساتھ ساتھ جو انہیں نقل کر رہے ہیں۔ سگنل موجود ہے۔ یہ صرف اس شور کے نیچے دفن ہے جو ایک جیسا لگنے کے لیے ڈیزائن کیا گیا ہے۔

یہ حل بوریت ہے اور یہ کام کرتا ہے۔ پاس ورڈز کو دوبارہ استعمال کرنا بند کریں — ایک پاس ورڈ مینیجر ہر لاگ ان کو ایک منفرد بے ترتیب سٹرنگ بناتا ہے، اس لیے ایک سائٹ سے لیک ہونے سے بالکل ایک ہی اکاؤنٹ کو نقصان پہنچتا ہے بجائے سب کے۔ دو فیکٹر تصدیق کو چالو کریں، جس کا مطلب ہے کہ ایک درست چوری ہوا پاس ورڈ دوسرے مرحلے پر بھی ناکام ہو جاتا ہے۔ اور حقیقی طور پر چیک کریں کہ آپ کا پتہ کسی معروف خلل میں ہے یا نہیں؛ Have I Been Pwned آپ کو مفت بتائے گا، اور اب زیادہ تر پاس ورڈ مینیجرز خود کار طور پر دوبارہ استعمال اور سمجھوتہ شدہ اندراجات کو فلیگ کرتے ہیں۔

بے آرام حقیقت یہ ہے کہ آپ کو نشانہ بناتا ہوا سب سے محنتی حملہ آور ایک ہوڈی میں ہیکر نہیں ہے۔ یہ ایک سکرپٹ ہے، ایک فہرست چلا رہی ہے، ایک عادت کو استعمال میں لاتے ہوئے جو تقریباً سب کوئی شیئر کرتا ہے اور تقریباً سب کوئی فرض کرتا ہے کہ انہیں لاگو نہیں ہوتا۔