Por que unha VPN non pode deter unha páxina de phishing ben construída

Unha páxina de inicio de sesión convincente cárgase perfectamente por un túnel cifrado, con cadeado incluído, e aínda así rouba o contrasinal. Non é un fallo da VPN; é a VPN funcionando exactamente como se deseñou. O túnel protexe o camiño ata o servidor que escolleu, non a identidade dese servidor. Crerse o contrario é o mito que convén xubilar.

Que protexe realmente o túnel

Unha VPN cifra o tráfico entre o seu dispositivo e a saída do provedor, e oculta a súa dirección de orixe ao destino. Non inspecciona a páxina, non valida a organización que hai detrás nin compara o sitio cunha lista de fraudes coñecidas. O destino que escribiu é o destino ao que chega, cifrado.

Iso é unha ganancia real de privacidade fronte a observadores locais e un límite real fronte ao engano. O atacante benefíciase do mesmo cifrado ca vostede. Un observador nunha cafetería e un estafador profesional son ameazas distintas con contramedidas distintas, e unha soa ferramenta raramente cobre ambas.

O cadeado certifica a conexión, non o propietario

Un certificado demostra que o dominio ao que chegou controla a chave dese dominio. Un atacante pode obter un certificado válido para example-login-secure.com sen demostrar nada sobre a empresa que imita. Despois HTTPS protexe o seu contrasinal de camiño ao atacante, o que non é a protección que vostede quería. Lea a dirección, non o logotipo.

Ante un aviso de conta inesperado, abra a aplicación auténtica ou navegue desde un marcador no que xa confía. Non use a ligazón da mensaxe e tampouco chame ao número que aparece nela, porque iso converte a mensaxe na fonte da súa propia verificación.

Os filtros e os xestores de contrasinais son pistas

Algúns produtos VPN engaden filtrado de sitios maliciosos, e os navegadores, os resolutores DNS e as ferramentas de extremo poden bloquear destinos malos coñecidos. A cobertura varía segundo o produto, a subscrición e o nova que sexa a páxina, así que unha páxina que carga non é proba de seguridade. As listas de filtrado tamén van por detrás dos dominios recentemente rexistrados, e iso é xusto o que usa unha campaña nova. Un xestor de contrasinais que se nega a autocompletar nun dominio que non coincide é un sinal útil. Tráteo como un aviso para deterse e ler a dirección.

Os redeseños lexítimos tamén rompen a coincidencia do autocompletado, así que a pista non é un veredicto. Lea que protección activa realmente o produto instalado antes de supor que o túnel inclúe unha. Unha páxina de márketing que enumera unha función de protección contra ameazas non demostra que estea activa no seu dispositivo.

Se xa escribiu o contrasinal

Use o proceso de recuperación do servizo real, cambie o contrasinal exposto e cámbieo en todos os sitios onde se reutilizou. Revise as sesións activas e os métodos de autenticación adicionais, porque un contrasinal roubado pode xa ter sido usado.

Informe do incidente ao equipo de seguridade do traballo se hai unha conta ou un dispositivo xestionado implicado. Garde a mensaxe orixinal para ese equipo, pero non reenvíe a ligazón activa aos compañeiros como advertencia. Se abriu un anexo ou executou algo, siga tamén as directrices de seguridade de dispositivos da plataforma, porque o roubo de credenciais e o software malicioso son problemas separados.

Acender unha VPN a posteriori non pode recuperar o contrasinal do destinatario. O túnel protexe o tráfico posterior; a recuperación ocúpase do que xa saíu.