Per què una VPN no pot aturar una pàgina de phishing ben construïda

Una pàgina d’inici de sessió convincent es carrega perfectament per un túnel xifrat, cadenat inclòs, i tot i així roba la contrasenya. No és un error de la VPN; és la VPN funcionant exactament com es va dissenyar. El túnel protegeix el camí fins al servidor que hàgiu triat, no la identitat d’aquell servidor. Creure el contrari és el mite que convé jubilar.

Què protegeix realment el túnel

Una VPN xifra el trànsit entre el vostre dispositiu i la sortida del proveïdor, i amaga la vostra adreça d’origen a la destinació. No inspecciona la pàgina, no valida l’organització que hi ha al darrere ni compara el lloc amb una llista de fraus coneguts. La destinació que heu escrit és la destinació on arribeu, xifrada.

Això és un guany real de privadesa contra observadors locals i un límit real contra l’engany. L’atacant es beneficia del mateix xifratge que vosaltres. Un observador en una cafeteria i un estafador professional són amenaces diferents amb contramesures diferents, i una eina poques vegades cobreix les dues.

El cadenat certifica la connexió, no el propietari

Un certificat demostra que el domini que heu assolit controla la clau d’aquell domini. Un atacant pot obtenir un certificat vàlid per a example-login-secure.com sense demostrar res sobre l’empresa que imita. Aleshores HTTPS protegeix la vostra contrasenya de camí a l’atacant, que no és la protecció que volíeu. Llegiu l’adreça, no el logotip.

Davant d’un avís de compte inesperat, obriu l’aplicació autèntica o navegueu des d’una adreça d’interès que ja us mereixi confiança. No feu servir l’enllaç del missatge i no truqueu tampoc al número que hi apareix, perquè això converteix el missatge en la font de la seva pròpia verificació.

Els filtres i els gestors de contrasenyes són pistes

Alguns productes VPN afegeixen filtratge de llocs maliciosos, i els navegadors, els resolutors DNS i les eines d’extrem poden bloquejar destinacions dolentes conegudes. La cobertura varia segons el producte, la subscripció i la novetat de la pàgina, així que una pàgina que es carrega no és prova de seguretat. Les llistes de filtratge també van per darrere dels dominis recentment registrats, i això és exactament el que fa servir una campanya nova. Un gestor de contrasenyes que es nega a autocompletar en un domini que no coincideix és un senyal útil. Tracteu-lo com un avís per aturar-vos i llegir l’adreça.

Els redissenys legítims també trenquen la coincidència de l’autocompletat, així que la pista no és un veredicte. Llegiu quina protecció activa realment el producte instal·lat abans de suposar que el túnel n’inclou una. Una pàgina de màrqueting que enumera una funció de protecció contra amenaces no demostra que estigui activa al vostre dispositiu.

Si ja heu escrit la contrasenya

Feu servir el procés de recuperació del servei real, canvieu la contrasenya exposada i canvieu-la a tots els llocs on s’hagi reutilitzat. Reviseu les sessions actives i els mètodes d’autenticació addicionals, perquè una contrasenya robada pot ja haver estat utilitzada.

Informeu de l’incident a l’equip de seguretat de la feina si hi ha un compte o un dispositiu gestionat implicat. Guardeu el missatge original per a aquest equip, però no reenvieu l’enllaç actiu als companys com a advertència. Si heu obert un adjunt o heu executat alguna cosa, seguiu també les directrius de seguretat de dispositius de la plataforma, perquè el robatori de credencials i el programari maliciós són problemes separats.

Activar una VPN a posteriori no pot recuperar la contrasenya del destinatari. El túnel protegeix el trànsit posterior; la recuperació s’ocupa del que ja ha sortit.