Розділ 4. Твої дані це ключі...

Спитай будь-кого, чого хоче шахрай, і почуєш: грошей. Але гроші йдуть останнім кроком, як десерт. Першим шахрай тягнеться по річ, яка на вигляд не варта майже нічого: пароль, доступ до пошти, якийсь код. «Просто цікавинка», думаєш ти й віддаєш її не замислюючись. Ось на це він і розраховує.

Одна думка робить весь розділ важливим. Твої дані ніяка не цікавинка. Це ключі.

Погляньмо на пошту. Грошей у ній немає, тож здається, що й втрачати нема чого. А тепер подивись, що вона насправді відмикає. Забув пароль від банку? На пошту прилетить лист із відновленням. Забув від соцмережі, від гри, від магазину? Усі листи з відновленням прилітають туди ж, на пошту. Виходить, вона не просто один з акаунтів. Вона головний ключ, який відмикає всі решта. Хто заволодів твоєю поштою, той спокійно заходить у кожні двері, що їй довіряють.

Ось ефект доміно, який слід зауважити раніше за все інше. Твої акаунти – це ланцюжок. Перекинь першу кісточку, зазвичай пошту або номер телефону, і решта падають по черзі, кожна передає ключ до наступної. Шахраєві не треба ламати твій банк, якщо він може забрати пошту й дозволити банку самому віддати йому ключ.

Тому інформація, яку ти віддаєш мимохідь, ніколи не буває просто інформацією. Твій логін – ключ. Пароль – ключ. Код, що прилітає в SMS, теж ключ. Навіть дрібниці, які ти бадьоро вписав у «веселий тест»: дата народження, номер телефону, кличка першого собаки, усе це ключі від запасних замків. Від тих контрольних питань, якими відновлюють пароль, коли його забули.

Уяви це буквально, як зв'язку ключів. Кожен акаунт має свої двері, а всі ключі до них теліпаються на одному кільці. І коли ти простягаєш незнайомцеві один ключик, бо той здався дрібним, бо голос звучав офіційно, бо кудись поспішав, ти майже ніколи не віддаєш самі лиш ці двері. Ти віддаєш ціле кільце й дозволяєш обійти з ним геть усі замки в домі.

Саме тому два попередні розділи весь час поверталися до тих самих кількох речей: паролі, коди, логіни. Фальшиві сторінки, доброзичливі незнайомці, «просто продиктуйте код», жодному з них зрештою не була потрібна твоя інформація сама по собі. Їм потрібні були ключі, щоб гроші прийшли пізніше, тихо й без тебе в кімнаті.

Далі якраз про те, як стерегти цілу зв'язку. Як ключі крадуть, як один слабкий ключ підставляє всі решту, і які кілька звичок тримають кільце в твоїй кишені, а не в чужій.

А коротко весь розділ такий: хто тримає твою пошту й твої коди, той тримає й твої гроші. Навіть якщо ти не дав йому жодної монети.

Почнімо з найпоширенішого способу, яким ключі витікають.

Розкажу, як сайт, про який ти забув десять років тому, може сьогодні віддати незнайомцеві твій банківський рахунок.

Працює це так. Якийсь сайт, ігровий форум, старий магазин, будь-що, зламують. Таке трапляється постійно. Зловмисники виносять величезний список поштових адрес і паролів. Список продають, обмінюють і зрештою зливають у мережу, де він приєднується до мільйонів інших у велетенських збірках. В одній такій збірці, знайденій кілька років тому, лежало понад сімсот мільйонів поштових адрес і двадцять один мільйон унікальних паролів, в одному файлі. Посередника, який її зібрав, затримали в Україні. Він продавав «довічний» доступ приблизно за ціну піци!

Тепер частина, що перетворює далекий злам на твою проблему. Злочинці беруть ці пари «пошта плюс пароль» і згодовують ботам. Боти пробують кожну пару на сотнях інших сайтів: банки, пошта, ігри, стримінг, усе підряд. А розрахунок в одному, дуже надійному: люди раз за разом ставлять той самий пароль.

Люди справді так і роблять. Дослідження раз за разом показують, що більш ніж половина паролів у людей повторюється десь іще. Тож коли твій пароль витікає з того одного забутого форуму, боти тихенько пробують його на твоїй пошті, на банку, на ігровому акаунті. Скрізь, де стоїть той самий пароль, двері відчиняються самі, без жодного зламу. Ключ ти, по суті, віддав ще кілька років тому. Витік лише доставив його точно за адресою.

У такої техніки є назва, підстановка паролів, і за нею стоїть приголомшлива частка всіх зламаних акаунтів. Коли в великої компанії, як-от Nintendo, зламали сотні тисяч акаунтів, це не була геніальна хакерська операція. Просто люди повторно поставили паролі, що витекли деінде, а зловмисники зайшли й витратили прив'язані картки.

А тепер найгірше: навіть сильний пароль стає нічого не вартим у ту секунду, коли ти вжив його вдруге. «Tr!cky9Dragon» чудовий пароль… рівно до тієї миті, поки він не витік з одного сайту. А тепер він відмикає всі шість місць, де ти його завбачливо поставив. Довжина й символи проти повторного використання не рятують. Рятує лише одне: щоб у кожного замка був свій ключ.

Дві звички вимикають цю схему повністю. Жодна не складна.

Перша: різний пароль на кожен акаунт. Знаю, зараз у голові промайнуло «та я ж їх у житті не запам'ятаю». І правильно, не запам'ятаєш, тому й не треба. Цю роботу бере на себе менеджер паролів. Такий собі застосунок з однією задачею: вигадати довгий випадковий пароль для кожного сайту й тримати їх усі під одним головним паролем. А той головний пароль пам'ятаєш уже ти сам. Так «мушу тримати в голові сто паролів» перетворюється на «мушу тримати в голові один». Саме таке перемикання відбиває підстановку паролів геть, бо витік з одного сайту тепер відмикає рівно один сайт, той, що витік, і нічого більше.

Друга: дізнайся, що вже витекло. Є безкоштовний і надійний сайт haveibeenpwned.com, де ти вводиш свою пошту й бачиш, у які відомі витоки ти потрапив. Майже кожен, хто перевіряє, знаходить себе щонайменше в кількох. Не привід панікувати, а радше карта. Скрізь, де твоя пошта спливає, той старий пароль спалений. Якщо ти поставив його ще десь важливому, зміни, і зроби новий унікальним.

І ще одне. Небезпечний витік майже ніколи не той, за який ти хвилюєшся. Це акаунт, про який ти геть забув, що взагалі його заводив. Якийсь сайтик, куди ти зареєструвався сто років тому заради одного завантаження, і поставив той самий пароль, що й досі стоїть на твоїй пошті. Той акаунт відтоді лежить у злитій базі й терпляче чекає, поки бот спробує його проти чогось цінного. Скасувати витік не вийде. Але можна зробити так, щоб коли його спробують, він не відмикав більше нічого.