Mengapa VPN tidak dapat menghentikan halaman phishing yang dibina dengan baik

Halaman log masuk yang meyakinkan dimuatkan dengan sempurna melalui terowong yang disulitkan, lengkap dengan gembok, dan masih mencuri kata laluan. Ini bukan kegagalan VPN; ini VPN yang berfungsi tepat seperti yang direka. Terowong melindungi laluan ke pelayan yang anda pilih, bukan identiti pelayan itu. Percaya sebaliknya ialah mitos yang patut ditinggalkan.

Apa yang sebenarnya dilindungi terowong

VPN menyulitkan trafik antara peranti anda dan pintu keluar penyedia, serta menyembunyikan alamat sumber anda daripada destinasi. Ia tidak memeriksa halaman itu, tidak mengesahkan organisasi di belakangnya dan tidak membandingkan laman itu dengan senarai penipuan yang diketahui. Destinasi yang anda taip ialah destinasi yang anda capai, disulitkan.

Itu keuntungan privasi sebenar terhadap pemerhati tempatan dan had sebenar terhadap penipuan. Penyerang mendapat manfaat daripada penyulitan yang sama seperti anda. Pemerhati di kafe dan penipu profesional ialah ancaman berbeza dengan tindakan balas berbeza, dan satu alat jarang meliputi kedua-duanya.

Gembok mengesahkan sambungan, bukan pemiliknya

Sijil membuktikan bahawa domain yang anda capai mengawal kunci untuk domain itu. Penyerang boleh mendapatkan sijil sah untuk example-login-secure.com tanpa membuktikan apa-apa tentang syarikat yang ditirunya. Selepas itu HTTPS melindungi kata laluan anda dalam perjalanan ke penyerang, dan itu bukan perlindungan yang anda mahukan. Baca alamatnya, bukan logonya.

Untuk amaran akaun yang tidak dijangka, buka aplikasi sebenar atau navigasi daripada penanda buku yang anda sudah percayai. Jangan gunakan pautan dalam mesej itu, dan jangan hubungi nombor di dalamnya juga, kerana itu menjadikan mesej itu sumber pengesahannya sendiri.

Penapis dan pengurus kata laluan ialah petunjuk

Sesetengah produk VPN menambah penapisan laman berniat jahat, dan pelayar, penyelesai DNS serta alat titik akhir boleh menyekat destinasi buruk yang diketahui. Liputan berbeza mengikut produk, langganan dan betapa baharunya halaman itu, jadi halaman yang dimuatkan bukan bukti keselamatan. Senarai penapisan juga ketinggalan berbanding domain yang baru didaftarkan, dan itulah tepat yang digunakan oleh kempen baharu. Pengurus kata laluan yang enggan mengisi secara automatik pada domain yang tidak sepadan ialah isyarat berguna. Anggapnya sebagai dorongan untuk berhenti dan membaca alamat itu.

Reka bentuk semula yang sah juga memecahkan padanan isian automatik, jadi petunjuk itu bukan keputusan. Baca perlindungan mana yang benar-benar diaktifkan oleh produk yang dipasang sebelum menganggap terowong itu mengandungi satu. Halaman pemasaran yang menyenaraikan ciri perlindungan ancaman tidak membuktikan bahawa ia aktif pada peranti anda.

Jika anda sudah menaip kata laluan

Gunakan proses pemulihan perkhidmatan sebenar, tukar kata laluan yang terdedah dan tukarkannya di mana-mana ia digunakan semula. Semak sesi aktif dan kaedah pengesahan tambahan, kerana kata laluan yang dicuri mungkin sudah digunakan.

Laporkan kejadian itu kepada pasukan keselamatan kerja jika akaun atau peranti terurus terlibat. Simpan mesej asal untuk pasukan itu, tetapi jangan teruskan pautan hidup kepada rakan sekerja sebagai amaran. Jika anda membuka lampiran atau menjalankan sesuatu, ikut juga garis panduan keselamatan peranti platform, kerana kecurian kelayakan dan perisian berniat jahat ialah masalah berasingan.

Menghidupkan VPN selepas kejadian tidak dapat menarik kembali kata laluan daripada penerima. Terowong melindungi trafik kemudian; pemulihan menangani apa yang sudah pergi.