Warum ein VPN eine gut gebaute Phishing-Seite nicht stoppt

Eine überzeugende Anmeldeseite lädt perfekt durch einen verschlüsselten Tunnel, Schloss inklusive, und stiehlt trotzdem das Passwort. Das ist kein VPN-Fehler; das ist ein VPN, das genau wie entworfen funktioniert. Der Tunnel schützt den Weg zu dem Server, den Sie gewählt haben, nicht die Identität dieses Servers. Das Gegenteil zu glauben ist der Mythos, der ausgedient hat.

Was der Tunnel tatsächlich schützt

Ein VPN verschlüsselt den Verkehr zwischen Ihrem Gerät und dem Ausgang des Anbieters und verbirgt Ihre Quelladresse vor dem Ziel. Es prüft die Seite nicht, es validiert nicht die Organisation dahinter und es vergleicht die Seite nicht mit einer Liste bekannter Betrugsfälle. Das Ziel, das Sie eingetippt haben, ist das Ziel, das Sie erreichen, verschlüsselt.

Das ist ein echter Gewinn für die Privatsphäre gegenüber lokalen Beobachtern und eine echte Grenze gegenüber Täuschung. Der Angreifer profitiert von derselben Verschlüsselung wie Sie. Ein Beobachter im Café und ein professioneller Betrüger sind verschiedene Bedrohungen mit verschiedenen Gegenmaßnahmen, und ein Werkzeug deckt selten beide ab.

Das Schloss bestätigt die Verbindung, nicht den Eigentümer

Ein Zertifikat beweist, dass die Domain, die Sie erreicht haben, den Schlüssel für diese Domain kontrolliert. Ein Angreifer kann ein gültiges Zertifikat für example-login-secure.com erhalten, ohne irgendetwas über das Unternehmen zu beweisen, das er nachahmt. HTTPS schützt dann Ihr Passwort auf dem Weg zum Angreifer, und das ist nicht der Schutz, den Sie wollten. Lesen Sie die Adresse, nicht das Logo.

Bei einer unerwarteten Kontowarnung öffnen Sie die echte App oder navigieren Sie über ein Lesezeichen, dem Sie bereits vertrauen. Nutzen Sie nicht den Link in der Nachricht und rufen Sie auch nicht die darin genannte Nummer an, denn damit wird die Nachricht zur Quelle ihrer eigenen Überprüfung.

Filter und Passwortmanager sind Hinweise

Manche VPN-Produkte ergänzen eine Filterung schädlicher Websites, und Browser, DNS-Resolver und Endpunkt-Tools können bekannte schlechte Ziele blockieren. Die Abdeckung unterscheidet sich nach Produkt, Abonnement und danach, wie neu die Seite ist, daher ist eine geladene Seite kein Beweis für Sicherheit. Filterlisten hinken auch neu registrierten Domains hinterher, und genau das nutzt eine frische Kampagne. Ein Passwortmanager, der das Autofüllen auf einer nicht passenden Domain verweigert, ist ein nützliches Signal. Behandeln Sie es als Anlass, innezuhalten und die Adresse zu lesen.

Auch legitime Redesigns brechen die Autofüll-Zuordnung, der Hinweis ist also kein Urteil. Lesen Sie, welchen Schutz das installierte Produkt tatsächlich aktiviert, bevor Sie annehmen, der Tunnel enthalte einen. Eine Marketingseite, die eine Bedrohungsschutz-Funktion auflistet, beweist nicht, dass sie auf Ihrem Gerät aktiv ist.

Wenn Sie das Passwort bereits eingegeben haben

Nutzen Sie den Wiederherstellungsprozess des echten Dienstes, ändern Sie das offengelegte Passwort und ändern Sie es überall, wo es wiederverwendet wurde. Prüfen Sie aktive Sitzungen und zusätzliche Authentifizierungsmethoden, denn ein gestohlenes Passwort kann bereits verwendet worden sein.

Melden Sie den Vorfall dem Sicherheitsteam der Arbeit, wenn ein Konto oder ein verwaltetes Gerät betroffen ist. Bewahren Sie die Originalnachricht für dieses Team auf, aber leiten Sie den aktiven Link nicht als Warnung an Kollegen weiter. Wenn Sie einen Anhang geöffnet oder etwas ausgeführt haben, folgen Sie auch den Gerätesicherheitshinweisen der Plattform, denn Zugangsdaten-Diebstahl und Malware sind getrennte Probleme.

Ein VPN nachträglich einzuschalten kann das Passwort nicht vom Empfänger zurückholen. Der Tunnel schützt späteren Verkehr; die Wiederherstellung kümmert sich um das, was bereits gegangen ist.