Por qué una VPN no puede detener una página de phishing bien construida

Una página de inicio de sesión convincente se carga perfectamente a través de un túnel cifrado, con candado incluido, y aun así roba la contraseña. No es un fallo de la VPN; es la VPN funcionando exactamente como se diseñó. El túnel protege el camino hasta el servidor que eligió, no la identidad de ese servidor. Creer lo contrario es el mito que conviene jubilar.

Qué protege realmente el túnel

Una VPN cifra el tráfico entre su dispositivo y la salida del proveedor, y oculta su dirección de origen al destino. No inspecciona la página, no valida la organización que hay detrás ni compara el sitio con una lista de fraudes conocidos. El destino que escribió es el destino al que llega, cifrado.

Eso es una ganancia real de privacidad frente a observadores locales y un límite real frente al engaño. El atacante se beneficia del mismo cifrado que usted. Un observador en una cafetería y un estafador profesional son amenazas distintas con contramedidas distintas, y una sola herramienta rara vez cubre ambas.

El candado certifica la conexión, no al dueño

Un certificado demuestra que el dominio al que llegó controla la clave de ese dominio. Un atacante puede obtener un certificado válido para example-login-secure.com sin demostrar nada sobre la empresa que imita. Después, HTTPS protege su contraseña de camino al atacante, lo que no es la protección que usted quería. Lea la dirección, no el logotipo.

Ante un aviso de cuenta inesperado, abra la aplicación auténtica o navegue desde un marcador en el que ya confía. No use el enlace del mensaje y tampoco llame al número que aparece en él, porque eso convierte el mensaje en la fuente de su propia verificación.

Los filtros y los gestores de contraseñas son pistas

Algunos productos VPN añaden filtrado de sitios maliciosos, y los navegadores, los resolutores DNS y las herramientas de extremo pueden bloquear destinos malos conocidos. La cobertura varía según el producto, la suscripción y lo nueva que sea la página, así que una página que carga no es prueba de seguridad. Las listas de filtrado también van por detrás de los dominios recién registrados, y eso es justo lo que usa una campaña nueva. Un gestor de contraseñas que se niega a autocompletar en un dominio que no coincide es una señal útil. Trátelo como un aviso para detenerse y leer la dirección.

Los rediseños legítimos también rompen la coincidencia del autocompletado, así que la pista no es un veredicto. Lea qué protección activa realmente el producto instalado antes de suponer que el túnel incluye una. Una página de marketing que enumera una función de protección contra amenazas no demuestra que esté activa en su dispositivo.

Si ya ha escrito la contraseña

Use el proceso de recuperación del servicio real, cambie la contraseña expuesta y cámbiela en todos los sitios donde se reutilizó. Revise las sesiones activas y los métodos de autenticación adicionales, porque una contraseña robada puede haberse usado ya.

Informe del incidente al equipo de seguridad del trabajo si hay una cuenta o un dispositivo gestionado implicado. Guarde el mensaje original para ese equipo, pero no reenvíe el enlace activo a los compañeros como advertencia. Si abrió un archivo adjunto o ejecutó algo, siga también las directrices de seguridad de dispositivos de la plataforma, porque el robo de credenciales y el software malicioso son problemas separados.

Encender una VPN a posteriori no puede recuperar la contraseña del destinatario. El túnel protege el tráfico posterior; la recuperación se ocupa de lo que ya salió.