Γράφει η ΜΠΑΡΑΚΑ ΑΝΝΑ ΙΔΙΩΤΙΚΗ ΕΡΕΥΝΗΤΡΙΑ/ BSc(hons) ψυχολογίας – MSc(hons) εγκληματολογίας
Η χρήση του ίδιου κωδικού πρόσβασης σε πολλούς λογαριασμούς αποτελεί μία από τις πιο συνηθισμένες αλλά και πιο επικίνδυνες ψηφιακές πρακτικές. Σε καθημερινό επίπεδο ο χρήστης θυμάται εύκολα έναν μόνο κωδικό και αποφεύγει την ταλαιπωρία της απομνημόνευσης πολλών διαφορετικών συνδυασμών. Ωστόσο, από την οπτική της κυβερνοασφάλειας, αυτή η συνήθεια μετατρέπει έναν μόνο παραβιασμένο λογαριασμό σε πιθανή είσοδο προς ολόκληρη την ψηφιακή ζωή του ατόμου.
Η διεθνής βιβλιογραφία έχει δείξει ότι οι χρήστες συχνά επαναχρησιμοποιούν κωδικούς επειδή έχουν πλέον δεκάδες λογαριασμούς και η διαχείρισή τους δημιουργεί υψηλό γνωστικό φορτίο. Οι Florêncio και Herley (2007), σε μία από τις πιο γνωστές μεγάλης κλίμακας μελέτες για τις συνήθειες των χρηστών στο διαδίκτυο, ανέδειξαν ότι η επαναχρησιμοποίηση κωδικών δεν είναι μεμονωμένο φαινόμενο, αλλά συστηματική στρατηγική διαχείρισης της πολυπλοκότητας. Με απλά λόγια, οι άνθρωποι δεν χρησιμοποιούν τον ίδιο κωδικό επειδή δεν ενδιαφέρονται απαραίτητα για την ασφάλεια τους, αλλά επειδή το ψηφιακό περιβάλλον απαιτεί από αυτούς να θυμούνται υπερβολικά πολλές πληροφορίες.
Το πρόβλημα ξεκινά όταν ένας ιστότοπος, μια εφαρμογή ή ένα ηλεκτρονικό κατάστημα παραβιαστεί. Αν τα στοιχεία σύνδεσης διαρρεύσουν, οι κυβερνοεγκληματίες δεν περιορίζονται στον συγκεκριμένο λογαριασμό. Αντίθετα, χρησιμοποιούν αυτοματοποιημένα εργαλεία για να δοκιμάσουν το ίδιο email και τον ίδιο κωδικό σε άλλες πλατφόρμες, όπως social media, τραπεζικές υπηρεσίες, πλατφόρμες αγορών, υπηρεσίες cloud και λογαριασμούς email. Αυτή η πρακτική ονομάζεται credential stuffing και βασίζεται ακριβώς στην πιθανότητα ότι ο χρήστης έχει χρησιμοποιήσει τον ίδιο κωδικό και αλλού (OWASP, n.d.).
Το credential stuffing είναι ιδιαίτερα επικίνδυνο επειδή δεν απαιτεί από τον δράστη να «σπάσει» έναν κωδικό με τεχνικά δύσκολο τρόπο. Οι Das et al. (2014) έδειξαν ότι η επαναχρησιμοποίηση ή η μικρή παραλλαγή κωδικών μεταξύ διαφορετικών ιστοσελίδων μπορεί να αξιοποιηθεί από επιτιθέμενους για πιο επιτυχημένες απόπειρες πρόσβασης. Ακόμη και όταν ο χρήστης δεν χρησιμοποιεί ακριβώς τον ίδιο κωδικό, αλλά αλλάζει ένα μικρό στοιχείο, για παράδειγμα προσθέτοντας το όνομα της πλατφόρμας ή έναν αριθμό, η προβλεψιμότητα αυτών των μοτίβων παραμένει επικίνδυνη.
Ιδιαίτερη σημασία έχει ο λογαριασμός email. Αν ένας δράστης αποκτήσει πρόσβαση στο βασικό email ενός χρήστη, τότε μπορεί να ζητήσει επαναφορά κωδικού σε πολλές άλλες υπηρεσίες. Έτσι, η παραβίαση εξαπλώνεται. Το email λειτουργεί συχνά ως «κεντρικό κλειδί» της ψηφιακής ταυτότητας. Από εκεί μπορούν να επηρεαστούν social media, επαγγελματικοί λογαριασμοί, τραπεζικές εφαρμογές, φωτογραφίες, προσωπικά αρχεία και ιδιωτικές συνομιλίες. Αυτό λοιπόν είναι το λεγόμενο φαινόμενο του ντόμινο: μία παραβίαση οδηγεί σε επόμενες, και κάθε επόμενη αυξάνει την έκταση της ζημιάς.
Οι συνέπειες δεν είναι μόνο τεχνικές. Μπορούν να είναι οικονομικές, κοινωνικές και ψυχολογικές. Η παραβίαση λογαριασμών μπορεί να οδηγήσει σε οικονομική απάτη, κλοπή ταυτότητας, εκβιασμό, παραβίαση ιδιωτικότητας ή χρήση του λογαριασμού του θύματος για εξαπάτηση τρίτων. Σε περιβάλλοντα όπως τα social media, ο δράστης μπορεί να προσποιηθεί το θύμα, να στείλει κακόβουλους συνδέσμους σε φίλους, να αποκτήσει πρόσβαση σε προσωπικές φωτογραφίες ή να δημοσιεύσει περιεχόμενο που βλάπτει τη φήμη του ατόμου. Για αυτό η επαναχρησιμοποίηση κωδικών δεν πρέπει να αντιμετωπίζεται ως απλή αμέλεια, αλλά ως παράγοντας ψηφιακής ευαλωτότητας.
Η ελληνική και ευρωπαϊκή θεσμική προσέγγιση κινείται στην ίδια κατεύθυνση. Το Εγχειρίδιο Κυβερνοασφάλειας που είναι διαθέσιμο μέσω της ελληνικής Εθνικής Αρχής Κυβερνοασφάλειας επισημαίνει ότι οι αδύναμοι ή επαναχρησιμοποιημένοι κωδικοί αποτελούν βασικό σημείο κινδύνου, ειδικά όταν ο ίδιος κωδικός χρησιμοποιείται τόσο σε προσωπικό όσο και σε υπηρεσιακό λογαριασμό. Αντίστοιχα, ο ENISA προτείνει τη χρήση ισχυρών και μοναδικών κωδικών, την αποφυγή επαναχρησιμοποίησης, τη χρήση password manager και την ενεργοποίηση ελέγχου ταυτότητας δύο παραγόντων.
Η πιο αποτελεσματική πρακτική προστασίας είναι η χρήση μοναδικού κωδικού για κάθε λογαριασμό. Αυτό όμως είναι δύσκολο να γίνει μόνο με μνήμη. Για αυτό οι password managers αποτελούν πλέον μία από τις πιο πρακτικές λύσεις. Πρόκειται για εφαρμογές που δημιουργούν, αποθηκεύουν και συμπληρώνουν ισχυρούς, μοναδικούς κωδικούς. Έτσι, ο χρήστης δεν χρειάζεται να θυμάται δεκάδες σύνθετους κωδικούς, αλλά μόνο έναν πολύ ισχυρό κύριο κωδικό. Μελέτες για τη χρήση password managers δείχνουν ότι μπορούν να βελτιώσουν σημαντικά τη διαχείριση κωδικών, αν και η υιοθέτησή τους επηρεάζεται από παράγοντες όπως η εμπιστοσύνη, η ευκολία χρήσης και η ψηφιακή εξοικείωση (Fagan et al., 2017; Pearman et al., 2019).
Παράλληλα, η ταυτοποίηση δύο παραγόντων, γνωστή ως 2FA ή MFA, προσθέτει ένα επιπλέον επίπεδο προστασίας. Ακόμη και αν ένας κωδικός διαρρεύσει, ο δράστης δεν μπορεί εύκολα να εισέλθει χωρίς τον δεύτερο παράγοντα, όπως έναν κωδικό από εφαρμογή authenticator, βιομετρική επιβεβαίωση ή φυσικό κλειδί ασφαλείας. Οι οδηγίες του NIST για την ψηφιακή ταυτότητα δίνουν ιδιαίτερη βαρύτητα στη χρήση πολυπαραγοντικής ταυτοποίησης, ακριβώς επειδή ο κωδικός από μόνος του δεν επαρκεί πάντα απέναντι σε σύγχρονες απειλές (National Institute of Standards and Technology, 2024).
Σημαντικό είναι επίσης ο χρήστης να ελέγχει αν τα στοιχεία του έχουν ήδη εμφανιστεί σε γνωστές διαρροές δεδομένων. Υπηρεσίες όπως το Have I Been Pwned επιτρέπουν τον έλεγχο email σε βάσεις δεδομένων διαρροών. Αν ένα email έχει παραβιαστεί , ο χρήστης πρέπει να αλλάξει άμεσα τον συγκεκριμένο κωδικό και, κυρίως, να μην τον χρησιμοποιεί πουθενά αλλού. Η αλλαγή ενός μόνο κωδικού δεν αρκεί όταν ο ίδιος κωδικός έχει χρησιμοποιηθεί σε πολλούς λογαριασμούς.
Ωστόσο, η λύση δεν βρίσκεται μόνο στην ατομική ευθύνη. Οι πλατφόρμες και οι οργανισμοί οφείλουν να εφαρμόζουν μηχανισμούς ανίχνευσης ύποπτων συνδέσεων, περιορισμούς σε μαζικές αποτυχημένες προσπάθειες εισόδου, ειδοποιήσεις για νέες συσκευές και έλεγχο κωδικών έναντι γνωστών διαρροών. Η ασφάλεια δεν μπορεί να εξαρτάται αποκλειστικά από το αν ο χρήστης θα θυμηθεί να ακολουθήσει όλες τις σωστές πρακτικές. Χρειάζεται συνδυασμός τεχνολογικού σχεδιασμού, ενημέρωσης και κουλτούρας ψηφιακής πρόληψης.
Συμπερασματικά, η χρήση του ίδιου κωδικού παντού είναι επικίνδυνη επειδή καταργεί στην πράξη τα όρια μεταξύ των λογαριασμών μας. Ένας αδύναμος ή παραβιασμένος κρίκος μπορεί να εκθέσει ολόκληρη την ψηφιακή μας ταυτότητα. Η προστασία δεν απαιτεί υπερβολική τεχνική γνώση, αλλά αλλαγή βασικών συνηθειών: μοναδικοί κωδικοί, password manager, ενεργοποίηση 2FA, έλεγχος διαρροών και άμεση αντίδραση όταν υπάρχει ένδειξη παραβίασης. Στον σημερινό ψηφιακό κόσμο, ο κωδικός πρόσβασης δεν είναι μια τυπική λεπτομέρεια. Είναι το πρώτο όριο ανάμεσα στην ιδιωτική ζωή και στην πιθανή εκμετάλλευσή της.
Βιβλιογραφία
Das, A., Bonneau, J., Caesar, M., Borisov, N., & Wang, X. (2014). The tangled web of password reuse. Proceedings of the Network and Distributed System Security Symposium. https://doi.org/10.14722/ndss.2014.23357
European Union Agency for Cybersecurity. (n.d.). Cyber hygiene. ENISA.
Fagan, M., Albayram, Y., Khan, M. M. H., & Buck, R. (2017). An investigation into users’ considerations towards using password managers. Human-centric Computing and Information Sciences, 7, 12.
Florêncio, D., & Herley, C. (2007). A large-scale study of web password habits. Proceedings of the 16th International Conference on World Wide Web, 657–666.
National Institute of Standards and Technology. (2024). Digital identity guidelines: Authentication and lifecycle management, SP 800-63B.
OWASP. (n.d.). Credential stuffing. OWASP Foundation.
Pearman, S., Zhang, S. A., Bauer, L., Christin, N., & Cranor, L. F. (2019). Why people don’t use password managers effectively. Fifteenth Symposium on Usable Privacy and Security.
Ray, H., Wolf, F., Kuber, R., & Aviv, A. J. (2021). Why older adults don’t use password managers. 30th USENIX Security Symposium.
Wash, R., Rader, E., Berman, R., & Wellmer, Z. (2016). Understanding password choices: How frequently entered passwords are re-used across websites. Twelfth Symposium on Usable Privacy and Security.