Perché una VPN non può fermare una pagina di phishing ben costruita

Una pagina di accesso convincente si carica perfettamente attraverso un tunnel cifrato, lucchetto incluso, e ruba comunque la password. Non è un guasto della VPN; è la VPN che funziona esattamente come progettata. Il tunnel protegge il percorso verso il server che avete scelto, non l’identità di quel server. Credere il contrario è il mito che conviene ritirare.

Cosa protegge davvero il tunnel

Una VPN cifra il traffico tra il vostro dispositivo e l’uscita del fornitore, e nasconde il vostro indirizzo di origine alla destinazione. Non ispeziona la pagina, non convalida l’organizzazione che vi sta dietro e non confronta il sito con un elenco di frodi note. La destinazione che avete digitato è la destinazione che raggiungete, cifrata.

È un guadagno reale di privacy contro osservatori locali e un limite reale contro l’inganno. L’attaccante trae beneficio dalla stessa cifratura che usate voi. Un osservatore al bar e un truffatore professionista sono minacce diverse con contromisure diverse, e uno strumento raramente copre entrambe.

Il lucchetto certifica la connessione, non il proprietario

Un certificato dimostra che il dominio raggiunto controlla la chiave di quel dominio. Un attaccante può ottenere un certificato valido per example-login-secure.com senza dimostrare nulla sull’azienda che imita. Poi HTTPS protegge la vostra password lungo il percorso verso l’attaccante, e non è la protezione che volevate. Leggete l’indirizzo, non il logo.

Per un avviso di account inatteso, aprite l’app autentica o navigate da un segnalibro di cui vi fidate già. Non usate il link nel messaggio e non chiamate nemmeno il numero che contiene, perché così il messaggio diventa la fonte della propria verifica.

Filtri e gestori di password sono indizi

Alcuni prodotti VPN aggiungono il filtraggio di siti dannosi, e browser, resolver DNS e strumenti endpoint possono bloccare destinazioni cattive note. La copertura varia per prodotto, abbonamento e per quanto è nuova la pagina, quindi una pagina che si carica non è prova di sicurezza. Anche gli elenchi di filtraggio restano indietro rispetto ai domini registrati di recente, ed è esattamente ciò che usa una campagna nuova. Un gestore di password che rifiuta il riempimento automatico su un dominio non corrispondente è un segnale utile. Trattatelo come un invito a fermarvi e leggere l’indirizzo.

Anche i redesign legittimi rompono la corrispondenza del riempimento automatico, quindi l’indizio non è un verdetto. Leggete quale protezione attiva davvero il prodotto installato prima di supporre che il tunnel ne includa una. Una pagina di marketing che elenca una funzione di protezione dalle minacce non dimostra che sia attiva sul vostro dispositivo.

Se avete già digitato la password

Usate la procedura di recupero del servizio reale, cambiate la password esposta e cambiatela ovunque sia stata riutilizzata. Rivedete le sessioni attive e i metodi di autenticazione aggiuntivi, perché una password rubata potrebbe essere già stata usata.

Segnalate l’incidente al team di sicurezza del lavoro se è coinvolto un account o un dispositivo gestito. Conservate il messaggio originale per quel team, ma non inoltrate il link attivo ai colleghi come avvertimento. Se avete aperto un allegato o eseguito qualcosa, seguite anche le linee guida sulla sicurezza dei dispositivi della piattaforma, perché il furto di credenziali e il malware sono problemi separati.

Attivare una VPN a posteriori non può riprendere la password dal destinatario. Il tunnel protegge il traffico successivo; il recupero si occupa di ciò che è già partito.