Почему VPN не остановит хорошо сделанную фишинговую страницу

Убедительная страница входа прекрасно загружается через зашифрованный туннель, вместе с замком, и всё равно крадёт пароль. Это не сбой VPN; это VPN, работающий ровно так, как задумано. Туннель защищает путь к выбранному вами серверу, а не личность этого сервера. Верить в обратное — миф, который пора отправить на пенсию.

Что туннель действительно защищает

VPN шифрует трафик между вашим устройством и выходом провайдера, а также скрывает ваш исходный адрес от получателя. Он не проверяет страницу, не подтверждает организацию за ней и не сравнивает сайт со списком известных мошенничеств. Адрес, который вы ввели, — это адрес, куда вы попадаете, зашифрованный.

Это реальный выигрыш в приватности против местных наблюдателей и реальный предел против обмана. Злоумышленник получает выгоду от того же шифрования, что и вы. Наблюдатель в кафе и профессиональный мошенник — разные угрозы с разными мерами, и один инструмент редко покрывает обе.

Замок подтверждает соединение, а не владельца

Сертификат доказывает, что домен, к которому вы пришли, контролирует ключ для этого домена. Злоумышленник может получить действительный сертификат для example-login-secure.com, ничего не доказав о компании, которую он имитирует. Затем HTTPS защищает ваш пароль на пути к злоумышленнику, и это не та защита, которую вы хотели. Читайте адрес, а не логотип.

При неожиданном предупреждении об аккаунте откройте настоящее приложение или перейдите по закладке, которой уже доверяете. Не используйте ссылку в сообщении и не звоните по указанному в нём номеру, потому что так сообщение становится источником собственной проверки.

Фильтры и менеджеры паролей — это подсказки

Некоторые продукты VPN добавляют фильтрацию вредоносных сайтов, а браузеры, DNS-резолверы и средства конечных точек могут блокировать известные плохие адреса. Покрытие зависит от продукта, подписки и новизны страницы, поэтому загрузившаяся страница не является доказательством безопасности. Списки фильтрации также отстают от недавно зарегистрированных доменов, и именно это использует свежая кампания. Менеджер паролей, который отказывается автозаполнять на несовпадающем домене, — полезный сигнал. Считайте это поводом остановиться и прочитать адрес.

Законные редизайны тоже ломают совпадение автозаполнения, поэтому эта подсказка не приговор. Прочитайте, какую защиту установленный продукт действительно включает, прежде чем предполагать, что туннель её содержит. Маркетинговая страница с перечнем функции защиты от угроз не доказывает, что она активна на вашем устройстве.

Если вы уже ввели пароль

Используйте процедуру восстановления настоящего сервиса, смените раскрытый пароль и смените его везде, где он использовался повторно. Просмотрите активные сеансы и дополнительные методы аутентификации, потому что украденный пароль мог уже быть использован.

Сообщите об инциденте в службу безопасности на работе, если задействован аккаунт или управляемое устройство. Сохраните исходное сообщение для этой службы, но не пересылайте живую ссылку коллегам как предупреждение. Если вы открыли вложение или что-то запустили, следуйте также рекомендациям платформы по безопасности устройств, потому что кража учётных данных и вредоносное ПО — разные проблемы.

Включение VPN задним числом не вернёт пароль от получателя. Туннель защищает последующий трафик; восстановление занимается тем, что уже ушло.