أغلب الاختراقات لا تبدأ باستغلال تقني ذكي. تبدأ بشخص يسجّل دخوله.
هذه الجملة تستحق التوقف عندها، لأنها تناقض الطريقة المعتادة في تدريس هذا الموضوع. المهاجم الذي يملك اسم مستخدم وكلمة مرور صالحين لا يحتاج إلى ثغرة. هو لا يقتحم النظام، بل يدخله من الباب، وكل الإجراءات التي بنيتها لمنع تنفيذ الشيفرات لا معنى لها بالنسبة له.
هناك ثلاثة أشياء يمكن للنظام أن يتحقق منها بشأنك. شيء تعرفه، وهو كلمة المرور. شيء تملكه، وهو الهاتف أو المفتاح المادي. شيء أنت عليه، وهو بصمة الإصبع أو الوجه. كلمة المرور وحدها هي الأضعف من بين الثلاثة، وهي مع ذلك ما تعتمد عليه أغلب الأنظمة كخيار افتراضي.
سبب أهمية تكرار استخدام كلمة المرور هو حسابي بحت، لا أخلاقي. الشخص الواحد قد يملك مئتي حساب تقريباً وأربع كلمات مرور فقط. فحين يُخترق أحد هذه الخدمات — وسيُخترق واحد منها حتماً — لا يحصل المهاجم على حساب واحد، بل يحصل على قائمة كاملة، ويعيد استخدامها في كل مكان. هذا ما يُسمى بهجوم حشو بيانات الاعتماد، وينجح لأن الحساب لصالح المهاجم.
هذا المكتب رصد بالضبط هذا النوع من الهجمات: ارتفعت حالات فشل تسجيل الدخول في أربع واجهات مصرفية إقليمية بمقدار ثمانية أضعاف خلال ليلة واحدة، مع عدد شبه معدوم من عمليات الدخول الناجحة. النمط لا يخطئه من رآه من قبل. حجم هائل من المحاولات، أسماء مستخدمين موزّعة، وفشل شبه كامل — لأن المهاجم كان يختبر قائمة جُمعت من مكان آخر تماماً.
اثنتان من هذه المؤسسات الأربع كانتا لا تزالان تعاملان رموز التحقق لمرة واحدة كخيار إضافي اختياري لا كإعداد افتراضي. هذه هي النتيجة الفعلية. هجوم حشو بيانات الاعتماد لا ينجح على نطاق واسع إلا حيث يكون تكرار كلمة المرور شائعاً والعامل الثاني اختيارياً، لذا فإن الحل ليس مطالبة المستخدمين باختيار كلمات مرور أفضل، بل إزالة الوضع الذي تكون فيه كلمة المرور وحدها كافية.
شيء أخير، لأنه الجزء الذي يغفل عنه الناس. بعد أن تسجّل دخولك، يتوقف النظام عن التحقق من كلمة مرورك ويبدأ بالوثوق برمز الجلسة. فإذا سُرق هذا الرمز، يتجاوز المهاجم عملية تسجيل الدخول بالكامل — ولهذا فإن القول بأن "لدينا مصادقة متعددة العوامل" ليس نهاية النقاش. فإما أن تكون الجلسات محدودة المدة، ومرتبطة بجهاز معيّن، وقابلة للإلغاء، أو أنها ليست سوى كلمة مرور بخطوات إضافية.