Dlaczego VPN nie zatrzyma dobrze zbudowanej strony phishingowej

Przekonująca strona logowania ładuje się bezbłędnie przez szyfrowany tunel, wraz z kłódką, i mimo to kradnie hasło. To nie awaria VPN; to VPN działający dokładnie tak, jak zaprojektowano. Tunel chroni drogę do serwera, który wybrałeś, a nie tożsamość tego serwera. Wiara w coś przeciwnego to mit, który warto odłożyć.

Co tunel naprawdę chroni

VPN szyfruje ruch między twoim urządzeniem a wyjściem dostawcy i ukrywa twój adres źródłowy przed miejscem docelowym. Nie sprawdza strony, nie weryfikuje organizacji, która za nią stoi, i nie porównuje witryny z listą znanych oszustw. Cel, który wpisałeś, jest celem, do którego docierasz, zaszyfrowanym.

To realna korzyść prywatności wobec lokalnych obserwatorów i realna granica wobec oszustwa. Napastnik czerpie korzyść z tego samego szyfrowania co ty. Obserwator w kawiarni i zawodowy oszust to różne zagrożenia z różnymi środkami zaradczymi, a jedno narzędzie rzadko obejmuje oba.

Kłódka potwierdza połączenie, a nie właściciela

Certyfikat dowodzi, że domena, do której dotarłeś, kontroluje klucz dla tej domeny. Napastnik może uzyskać ważny certyfikat dla example-login-secure.com, nie dowodząc niczego o firmie, którą naśladuje. HTTPS chroni wtedy twoje hasło w drodze do napastnika, a to nie jest ochrona, której chciałeś. Czytaj adres, a nie logo.

W przypadku nieoczekiwanego ostrzeżenia o koncie otwórz prawdziwą aplikację lub przejdź z zakładki, której już ufasz. Nie używaj linku w wiadomości i nie dzwoń na podany w niej numer, bo to czyni wiadomość źródłem własnej weryfikacji.

Filtry i menedżery haseł to wskazówki

Niektóre produkty VPN dodają filtrowanie złośliwych stron, a przeglądarki, resolvery DNS i narzędzia punktów końcowych mogą blokować znane złe cele. Zakres różni się w zależności od produktu, subskrypcji i tego, jak nowa jest strona, więc załadowana strona nie jest dowodem bezpieczeństwa. Listy filtrujące zostają też w tyle za nowo zarejestrowanymi domenami, a właśnie to wykorzystuje świeża kampania. Menedżer haseł, który odmawia autouzupełniania na niezgodnej domenie, to użyteczny sygnał. Traktuj to jako zachętę, by się zatrzymać i przeczytać adres.

Legalne przebudowy też psują zgodność autouzupełniania, więc ta wskazówka nie jest wyrokiem. Przeczytaj, jaką ochronę zainstalowany produkt naprawdę włącza, zanim założysz, że tunel jakąś zawiera. Strona marketingowa wymieniająca funkcję ochrony przed zagrożeniami nie dowodzi, że jest ona aktywna na twoim urządzeniu.

Jeśli hasło zostało już wpisane

Skorzystaj z procesu odzyskiwania prawdziwej usługi, zmień ujawnione hasło i zmień je wszędzie, gdzie było ponownie użyte. Przejrzyj aktywne sesje i dodatkowe metody uwierzytelniania, bo skradzione hasło mogło już zostać użyte.

Zgłoś zdarzenie zespołowi bezpieczeństwa w pracy, jeśli zaangażowane jest konto lub zarządzane urządzenie. Zachowaj oryginalną wiadomość dla tego zespołu, ale nie przesyłaj aktywnego linku kolegom jako ostrzeżenia. Jeśli otworzyłeś załącznik lub coś uruchomiłeś, stosuj też wytyczne platformy dotyczące bezpieczeństwa urządzeń, bo kradzież danych logowania i złośliwe oprogramowanie to osobne problemy.

Włączenie VPN po fakcie nie odbierze hasła od odbiorcy. Tunel chroni późniejszy ruch; odzyskiwanie zajmuje się tym, co już odeszło.