Waarom een VPN een goed gebouwde phishingpagina niet kan stoppen

Een overtuigende inlogpagina laadt perfect via een versleutelde tunnel, slot inbegrepen, en steelt toch het wachtwoord. Dat is geen VPN-storing; dat is de VPN die precies werkt zoals ontworpen. De tunnel beschermt de route naar de server die u koos, niet de identiteit van die server. Het tegendeel geloven is de mythe die mag worden opgedoekt.

Wat de tunnel werkelijk beschermt

Een VPN versleutelt verkeer tussen uw apparaat en de uitgang van de provider, en verbergt uw bronadres voor de bestemming. Hij inspecteert de pagina niet, valideert de organisatie erachter niet en vergelijkt de site niet met een lijst bekende fraude. De bestemming die u typte is de bestemming die u bereikt, versleuteld.

Dat is een echte privacywinst tegen lokale waarnemers en een echte grens tegen misleiding. De aanvaller profiteert van dezelfde versleuteling als u. Een waarnemer in een café en een professionele fraudeur zijn verschillende dreigingen met verschillende tegenmaatregelen, en één hulpmiddel dekt zelden beide.

Het slot bevestigt de verbinding, niet de eigenaar

Een certificaat bewijst dat het domein dat u bereikte de sleutel voor dat domein beheert. Een aanvaller kan een geldig certificaat voor example-login-secure.com krijgen zonder iets te bewijzen over het bedrijf dat hij nabootst. HTTPS beschermt dan uw wachtwoord op weg naar de aanvaller, en dat is niet de bescherming die u wilde. Lees het adres, niet het logo.

Bij een onverwachte accountwaarschuwing opent u de echte app of navigeert u vanaf een bladwijzer die u al vertrouwt. Gebruik de link in het bericht niet, en bel ook niet het nummer erin, want daarmee wordt het bericht de bron van zijn eigen verificatie.

Filters en wachtwoordmanagers zijn aanwijzingen

Sommige VPN-producten voegen filtering van kwaadaardige sites toe, en browsers, DNS-resolvers en endpoint-tools kunnen bekende slechte bestemmingen blokkeren. De dekking verschilt per product, abonnement en hoe nieuw de pagina is, dus een pagina die laadt is geen bewijs van veiligheid. Filterlijsten lopen ook achter op nieuw geregistreerde domeinen, en dat is precies wat een verse campagne gebruikt. Een wachtwoordmanager die weigert automatisch in te vullen op een niet-passend domein is een nuttig signaal. Behandel het als een aansporing om te stoppen en het adres te lezen.

Ook legitieme herontwerpen breken de automatische-aanvulmatch, dus de aanwijzing is geen vonnis. Lees welke bescherming het geïnstalleerde product werkelijk inschakelt voordat u aanneemt dat de tunnel er een bevat. Een marketingpagina die een dreigingsbeschermingsfunctie noemt, bewijst niet dat die actief is op uw apparaat.

Als u het wachtwoord al hebt getypt

Gebruik het herstelproces van de echte dienst, wijzig het blootgestelde wachtwoord en wijzig het overal waar het opnieuw is gebruikt. Controleer actieve sessies en extra authenticatiemethoden, want een gestolen wachtwoord is misschien al gebruikt.

Meld het incident bij het beveiligingsteam van het werk als een account of beheerd apparaat betrokken is. Bewaar het oorspronkelijke bericht voor dat team, maar stuur de actieve link niet door aan collega's als waarschuwing. Als u een bijlage hebt geopend of iets hebt uitgevoerd, volg dan ook de richtlijnen voor apparaatbeveiliging van het platform, want diefstal van inloggegevens en malware zijn aparte problemen.

Een VPN achteraf aanzetten kan het wachtwoord niet bij de ontvanger terughalen. De tunnel beschermt later verkeer; herstel gaat over wat al weg is.