למה VPN לא יכול לעצור דף פישינג בנוי היטב
מנעול ומנהרה מהירה לא אומרים דבר על מי שמחזיק באתר. הבינו מה VPN מגן עליו, מה מסננים מוסיפים ומה לעשות לאחר שהוקלדה סיסמה.
דף התחברות משכנע נטען באופן מושלם דרך מנהרה מוצפנת, כולל מנעול, ובכל זאת גונב את הסיסמה. זו אינה תקלה של VPN; זהו VPN שפועל בדיוק כפי שתוכנן. המנהרה מגנה על הנתיב אל השרת שבחרתם, לא על זהותו של אותו שרת. להאמין אחרת זהו המיתוס שראוי לפרוש ממנו.
מה המנהרה באמת מגנה עליו
VPN מצפין את התעבורה בין המכשיר שלכם לבין יציאה של הספק, ומסתיר את כתובת המקור שלכם מהיעד. הוא אינו בודק את הדף, אינו מאמת את הארגון שמאחוריו ואינו משווה את האתר לרשימת הונאות מוכרות. היעד שהקלדתם הוא היעד שאליו תגיעו, מוצפן.
זהו רווח אמיתי לפרטיות מול צופים מקומיים וגבול אמיתי מול הונאה. התוקף נהנה מאותה הצפנה שאתם נהנים ממנה. צופה בבית קפה ונוכל מקצועי הם איומים שונים עם אמצעי נגד שונים, וכלי אחד לעתים רחוקות מכסה את שניהם.
המנעול מאשר את החיבור, לא את הבעלים
תעודה מוכיחה שהתחום שאליו הגעתם שולט במפתח של אותו תחום. תוקף יכול להשיג תעודה תקפה עבור example-login-secure.com בלי להוכיח דבר על החברה שהוא מחקה. לאחר מכן HTTPS מגן על הסיסמה שלכם בדרך אל התוקף, וזו אינה ההגנה שרציתם. קראו את הכתובת, לא את הלוגו.
בהתראת חשבון בלתי צפויה, פתחו את האפליקציה האמיתית או נווטו מסימנייה שאתם כבר סומכים עליה. אל תשתמשו בקישור שבהודעה, ואל תתקשרו גם למספר שבתוכה, משום שזה הופך את ההודעה למקור האימות של עצמה.
מסננים ומנהלי סיסמאות הם רמזים
יש מוצרי VPN שמוסיפים סינון אתרים זדוניים, ודפדפנים, פותרי DNS וכלי נקודת קצה עשויים לחסום יעדים רעים מוכרים. הכיסוי משתנה לפי מוצר, לפי מנוי ולפי מידת החדשות של הדף, ולכן דף שנטען אינו הוכחה לבטיחות. גם רשימות הסינון מפגרות אחרי תחומים שנרשמו לאחרונה, וזה בדיוק מה שקמפיין חדש משתמש בו. מנהל סיסמאות שמסרב למלא אוטומטית בתחום שאינו תואם הוא אות שימושי. התייחסו אליו כאל בקשה לעצור ולקרוא את הכתובת.
גם עיצובים מחדש לגיטימיים שוברים את התאמת המילוי האוטומטי, ולכן הרמז אינו פסק דין. קראו איזו הגנה המוצר המותקן מפעיל בפועל לפני שאתם מניחים שהמנהרה כוללת אחת. דף שיווקי שמפרט תכונת הגנה מפני איומים אינו מוכיח שהיא פעילה במכשיר שלכם.
אם כבר הקלדתם את הסיסמה
השתמשו בתהליך השחזור של השירות האמיתי, החליפו את הסיסמה שנחשפה והחליפו אותה בכל מקום שבו נעשה בה שימוש חוזר. עברו על הפעלות פעילות ועל שיטות אימות נוספות, משום שייתכן שכבר נעשה שימוש בסיסמה גנובה.
דווחו על האירוע לצוות האבטחה של העבודה אם מעורבים חשבון או מכשיר מנוהל. שמרו את ההודעה המקורית עבור אותו צוות, אך אל תעבירו את הקישור החי לעמיתים כאזהרה. אם פתחתם קובץ מצורף או הרצתם משהו, פעלו גם לפי הנחיות אבטחת המכשיר של הפלטפורמה, משום שגניבת פרטי התחברות ותוכנה זדונית הן שתי בעיות נפרדות.
הפעלת VPN לאחר מעשה אינה יכולה להחזיר את הסיסמה מהנמען. המנהרה מגנה על התעבורה הבאה; השחזור מטפל במה שכבר יצא.