Không Ai Đoán Được Mật Khẩu Của Bạn. Họ Chỉ Tái Sử Dụng Nó Mà Thôi.

Một bot ở một trung tâm dữ liệu nào đó đang cố dùng địa chỉ email của bạn trên 130 trang web khác nhau ngay bây giờ, và nó đã biết mật khẩu. Không phải đoán. Không phải từ điển của những cái phổ biến. Chuỗi ký tự thực tế bạn đã nhập — vì bạn đã nhập nó trước đó ở nơi nào đó bị xâm phạm, và những kẻ tấn công đặt cược rằng bạn lười biếng đến mức sử dụng nó hai lần.

Cược đó thắng lợi được một lượng đáng kinh ngạc. Một cuộc khảo sát của Google và Harris Poll phát hiện ra rằng 65% mọi người tái sử dụng cùng một mật khẩu trên nhiều trang web, và một số người thừa nhận sử dụng một mật khẩu gần như ở khắp mọi nơi. Bạn có lẽ đã đọc con số đó và nghĩ, chắc chắn là những người khác. Đó chính là toàn bộ mô hình kinh doanh. Kẻ tấn công không dựa vào việc bạn cụ thể bất cẩn. Họ dựa vào 65% danh sách bị đánh cắp bất cẩn, và họ chỉ cần một phần nhỏ trúng mục tiêu.

Đây là credential stuffing, và tên gọi là theo nghĩa đen. Ai đó lấy một kho dữ liệu các cặp email và mật khẩu bị rò rỉ — Have I Been Pwned hiện lập chỉ mục hơn 14 tỷ tài khoản bị xâm phạm trên hàng nghìn lần vi phạm — và "nhồi" những cặp đó vào các biểu mẫu đăng nhập trên toàn bộ internet. Ngân hàng. Dịch vụ phát trực tuyến. Chương trình khách hàng thân thiết. Email của chính bạn. Họ tự động hóa nó, luân phiên qua các IP proxy để không có gì trông đáng ngờ, và để khối lượng làm công việc.

Và khối lượng đó thật là lớn. Akamai, cái nằm phía trước một phần lớn lưu lượng web, đã ghi lại hàng chục tỷ lần thử credential stuffing trong một năm duy nhất, với một số báo cáo đo lường hơn một trăm tỷ lần hàng năm. Một mật khẩu bị xâm phạm không mở một cánh cửa. Đó là một chìa khóa chính được thử dùng trên mọi ổ khóa trên đường phố, nhanh chóng, bởi một cái gì đó không bao giờ mệt mỏi.

Đây là phần nên thay đổi cách bạn suy nghĩ về nó. Trang đăng nhập mà bạn tái sử dụng mật khẩu không nhất thiết phải bị xâm phạm. Trang web yếu đó mà rò rỉ nó — một diễn đàn đã bị xóa, một nhà bán lẻ năm 2014, một ứng dụng giải đố — trao cho kẻ tấn công chìa khóa đến những trang web mạnh. Ngân hàng của bạn có thể có an niệm hoàn hảo và vẫn thua, vì mật khẩu bảo vệ nó đã nằm trong một tệp văn bản được bán với giá xu, thu thập được từ nơi nào đó có an niệm như một cánh cửa lưới.

Vậy làm sao bạn biết nếu bạn nằm trong một trong những kho dữ liệu này? Thường xuyên, bạn đã được thông báo rồi. Không phải bằng một bản tóm tắt bảo mật — bằng thư mục spam của bạn. Những email "thử đăng nhập bất thường," "xác nhận tài khoản của bạn," và "chúng tôi nhận thấy đăng nhập từ một thiết bị mới" mà bạn vô tư xóa thường xuyên là những cảnh báo thực tế, hợp pháp được kích hoạt vì một bot đã thử thông tin đăng nhập của bạn và kích hoạt một giới hạn tốc độ. Những thông báo vi phạm thực tế và cảnh báo đăng nhập thực tế bị đưa vào spam liên tục, ngay cạnh những cái giả mạo mô phỏng chúng. Tín hiệu ở đó. Nó chỉ bị chôn vùi dưới tiếng ồn được thiết kế để trông giống hệt nhau.

Cách khắc phục rất tẻ nhạt và nó hoạt động. Ngừng tái sử dụng mật khẩu — một trình quản lý mật khẩu biến mỗi lần đăng nhập thành một chuỗi ngẫu nhiên duy nhất, vì vậy rò rỉ từ một trang web làm độc hại chính xác một tài khoản thay vì tất cả chúng. Bật xác thực hai yếu tố, có nghĩa là một mật khẩu bị đánh cắp chính xác vẫn không vượt qua bước thứ hai. Và thực sự kiểm tra xem liệu địa chỉ của bạn có ở trong vi phạm đã biết không; Have I Been Pwned sẽ cho bạn biết miễn phí, và hầu hết các trình quản lý mật khẩu hiện tại tự động gắn cờ các mục bị tái sử dụng và bị xâm phạm.

Sự thật khó chịu là kẻ tấn công chăm chỉ nhất nhắm vào bạn không phải là một hacker trong chiếc hoodie. Đó là một tập lệnh, chạy một danh sách, khai thác thói quen duy nhất mà hầu hết mọi người chia sẻ và hầu hết mọi người cho rằng không áp dụng cho họ.