Porque uma VPN não consegue parar uma página de phishing bem construída

Uma página de início de sessão convincente carrega perfeitamente através de um túnel cifrado, com cadeado incluído, e rouba a palavra-passe mesmo assim. Isto não é uma falha da VPN; é a VPN a funcionar exatamente como foi desenhada. O túnel protege o caminho até ao servidor que escolheu, não a identidade desse servidor. Acreditar no contrário é o mito que vale a pena aposentar.

O que o túnel protege realmente

Uma VPN cifra o tráfego entre o seu dispositivo e a saída do fornecedor, e esconde o seu endereço de origem ao destino. Não inspeciona a página, não valida a organização por trás dela e não compara o site com uma lista de fraudes conhecidas. O destino que escreveu é o destino a que chega, cifrado.

Isso é um ganho real de privacidade contra observadores locais e um limite real contra o engano. O atacante beneficia da mesma cifra que você. Um observador num café e um burlão profissional são ameaças diferentes com contramedidas diferentes, e uma ferramenta raramente cobre as duas.

O cadeado certifica a ligação, não o proprietário

Um certificado prova que o domínio a que chegou controla a chave desse domínio. Um atacante pode obter um certificado válido para example-login-secure.com sem provar nada sobre a empresa que imita. Depois o HTTPS protege a sua palavra-passe no caminho até ao atacante, e essa não é a proteção que queria. Leia o endereço, não o logótipo.

Perante um aviso de conta inesperado, abra a aplicação verdadeira ou navegue a partir de um marcador em que já confia. Não use a ligação da mensagem e também não ligue para o número que ela contém, porque isso faz da mensagem a fonte da sua própria verificação.

Filtros e gestores de palavras-passe são pistas

Alguns produtos VPN acrescentam filtragem de sites maliciosos, e navegadores, resolvedores DNS e ferramentas de ponto final podem bloquear destinos maus conhecidos. A cobertura varia por produto, subscrição e por quão nova é a página, por isso uma página que carrega não é prova de segurança. As listas de filtragem também ficam atrás dos domínios recém-registados, e é exatamente isso que uma campanha nova usa. Um gestor de palavras-passe que recusa o preenchimento automático num domínio que não corresponde é um sinal útil. Trate-o como um aviso para parar e ler o endereço.

Redesenhos legítimos também quebram a correspondência do preenchimento automático, por isso a pista não é um veredicto. Leia que proteção o produto instalado ativa de facto antes de assumir que o túnel inclui uma. Uma página de marketing que enumera uma função de proteção contra ameaças não prova que esteja ativa no seu dispositivo.

Se já escreveu a palavra-passe

Use o processo de recuperação do serviço real, mude a palavra-passe exposta e mude-a em todos os locais onde foi reutilizada. Reveja as sessões ativas e os métodos de autenticação adicionais, porque uma palavra-passe roubada pode já ter sido usada.

Comunique o incidente à equipa de segurança do trabalho se estiver envolvida uma conta ou um dispositivo gerido. Guarde a mensagem original para essa equipa, mas não reencaminhe a ligação ativa aos colegas como aviso. Se abriu um anexo ou executou algo, siga também as orientações de segurança de dispositivos da plataforma, porque o roubo de credenciais e o software malicioso são problemas separados.

Ligar uma VPN depois do sucedido não recupera a palavra-passe do destinatário. O túnel protege o tráfego posterior; a recuperação trata do que já saiu.