Como distinguir uma página de download de VPN falsa da verdadeira

Você clica no botão grande de download, o instalador chega e só depois o domínio na barra de endereços parece errado. A página tinha o logotipo, o esquema de cores e um link de suporte que apontava para o projeto real. Nada disso é prova sobre o ficheiro que acabou de executar. A marca é uma cópia; o destino do download é a parte que decide o que você recebe.

Verifique para onde o botão o envia

Passe o cursor sobre o botão, ou mantenha-o premido num telefone, e leia o destino em vez do rótulo. Um botão que aponta para um host diferente da página em que está é o sinal individual mais forte, e leva um segundo a ver. Se o endereço for um encurtador, um redirecionamento de afiliado ou um caminho com uma versão que não escolheu, pare e obtenha a ligação num local independente. O rótulo é escrito por quem construiu a página; o href é a única afirmação que tem de sobreviver a um clique.

Os resultados de pesquisa acrescentam uma segunda camada. Os anúncios estão rotulados, mas o rótulo é pequeno e o texto patrocinado imita frequentemente a formulação do próprio projeto. Escreva o domínio do fornecedor que já conhece, ou use um marcador, e compare-o com o endereço em que ia clicar. Para software de trabalho, a referência é o canal de distribuição aprovado, não o primeiro resultado.

Um tutorial também não é uma página de download. Um anúncio incorporado num guia paga ao autor, e o seu alvo é escolhido pelo anunciante.

HTTPS prova a entrega, não a identidade

O cadeado diz que os bytes chegaram do host que alcançou sem serem alterados em trânsito. Não diz nada sobre quem opera esse host, porque os certificados são baratos e um domínio parecido pode ter um válido para o seu próprio nome. Leia o nome do host carácter a carácter, sobretudo a parte antes da primeira barra, porque as mentiras interessantes vivem nos subdomínios e nas palavras com hífen. Uma página em vpn-download.example.net é um editor diferente de example.com, mesmo com um esquema idêntico.

Os detalhes do certificado acrescentam pouco: um certificado validado por organização nomeia uma empresa, enquanto um validado apenas por domínio não nomeia ninguém. Isso continua a ser mais fraco do que obter o endereço de uma fonte em que já confia. Quando o cadeado é a única coisa que verificou, verificou o veículo de entrega e não o remetente.

Inspecione o ficheiro antes de o executar

Verifique primeiro o tipo de ficheiro, porque a extensão é a coisa mais barata de falsificar e a mais útil de ler. Um ficheiro dmg, exe ou msi é um instalador; um ficheiro ovpn ou conf é um perfil, e um perfil pode transportar rotas, servidores DNS e scripts executados ao ligar. Uma página que oferece um perfil chamando-lhe reparação de ligação pede que confie no seu conteúdo, não apenas na sua existência. Compare o formato oferecido com o que o fornecedor documenta para a sua plataforma.

Depois verifique o editor: a assinatura no Windows, a notarização e o identificador de equipa no macOS, o repositório e o nome do pacote no Linux. Um instalador não assinado de uma página com o logotipo certo continua não assinado, e a qualidade do design não altera esse facto. Se a assinatura faltar ou o nome do editor não for o que esperava, pare antes do primeiro pedido.

Observe também os pedidos de instalação. Um cliente VPN não precisa de um novo certificado de raiz para abrir um túnel, nem de acesso amplo ao disco para se ligar.

Recupere se já o instalou

Descarregar de um segundo site desconhecido para comparar não valida o primeiro, porque um único operador pode gerir ambas as páginas. A única comparação útil é com um endereço obtido de forma independente: a página documentada do fornecedor, um repositório de pacotes ou uma ficha de loja a que chegou sem um anúncio. Use essa referência para decidir se o que tem é o cliente real ou algo que usa o seu nome.

Se o instalador foi executado, reveja o que alterou: aplicações instaladas, perfis adicionados, novos certificados e permissões concedidas. Remova tudo o que não consegue atribuir. Se foram introduzidas credenciais ou um perfil VPN, trate-os como expostos e altere-os através do próprio serviço, não da página que os pediu.

Depois denuncie a página ao fornecedor e ao navegador ou motor de busca, porque é isso que ajuda a pessoa seguinte que procura. A explicação da proteção antiphishing da Mozilla descreve o que o navegador pode e não pode detetar sozinho.

Uma verificação de três perguntas num minuto

Para onde aponta realmente o botão, e esse host é o que o fornecedor documenta? O que é o ficheiro, e o fornecedor distribui esse formato para esta plataforma? O que pede o instalador, e a documentação do fornecedor pede as mesmas coisas? Três respostas, um minuto, e qualquer discrepância é um motivo para parar, não para continuar com cuidado.

Mantenha o caminho curto guardando uma vez a página de download documentada nos marcadores, para que da próxima vez não tenha de escolher entre cinco resultados patrocinados. O hábito é aborrecido, e retira a decisão do momento em que está menos atento.