El ataque no es personal
Nadie se sentó a elegirte. Hay programas que prueban millones de puertas por hora y la tuya es una más. Por eso las defensas aburridas funcionan.
Te llega un correo raro, de alguien que no conocés, con un enlace que no pensás abrir. No te lo mandó una persona. Y esa es la buena noticia y la mala al mismo tiempo.
Qué es un bot
Un bot es un programa que hace una tarea repetitiva sin que nadie lo esté mirando. Eso es todo. No es inteligente ni tiene intenciones propias: hace lo que le programaron, millones de veces, sin cansarse.
La mayoría son inofensivos. El buscador de Google es un bot que recorre páginas para poder mostrártelas después. El problema no es la herramienta: es quién la apunta y hacia dónde.
El negocio que hay atrás
Conviene pensarlo como lo que es, una industria, con costos y ganancias.
Mandar un millón de correos cuesta casi nada. Si de ese millón responde una sola persona, el negocio ya cerró. Probar diez millones de contraseñas tampoco cuesta nada, porque el que las prueba no paga la electricidad: usa computadoras ajenas, infectadas antes por otro bot.
Nadie se sentó a elegirte. Decidieron ir por todos, porque ir por todos salió más barato que elegir.
Cuando tu contraseña aparece en una lista
Acá es donde esto te toca de verdad.
Un servicio cualquiera —un foro viejo, una tienda, una app que usaste una vez— sufre una filtración, y los correos y contraseñas de sus usuarios terminan dando vueltas. Vos ni te enterás. A veces ese servicio tampoco.
Lo que pasa después es automático. Un bot agarra esa lista y la prueba en todos lados: en el banco, en el correo, en las redes, en el panel de tu sitio. No adivina nada. Usa la contraseña que vos elegiste, en el lugar donde la repetiste.
Por eso no repetir contraseñas no es manía de técnico: es lo único que corta la cadena. Y por eso el doble factor pesa tanto, porque sigue frenando al bot cuando la contraseña ya dejó de ser un secreto.
Por qué cada vez hay más
Porque cada año sale más barato.
Las herramientas ya están hechas y se alquilan. Las listas filtradas se venden. Una página falsa se copia del original en un rato. Para poner un ataque a funcionar ya no hace falta saber programar: hace falta plata, y tampoco mucha.
Lo mismo que abarató todo lo demás abarató esto.
Por qué sirve lo aburrido
Acá está la vuelta que importa.
Como el ataque es automático, no busca al que no puede entrar: busca al que entra rápido. Un bot que encuentra resistencia no insiste, pasa al siguiente. Hay millones de siguientes.
Así que no se trata de volverte invulnerable, que además no se puede. Se trata de volverte caro. Una contraseña distinta en cada lado, un segundo factor y desconfiar del apuro alcanzan para que el programa que te encontró te saltee y siga de largo.
No te eligieron a vos. Y es justamente por eso que podés lograr que te saltee.