Védekezés az adathalászat ellen

Egyesek úgy vélik, hogy az adathalászat (phishing) már a múlté, ez azonban sajnos nem így van. Noha a levélszemét szűrésére egyre okosabb megoldásokat alkalmazunk, az Anti-Phishing Working Group (adathalászat-ellenes munkacsoport) jelentése szerint 2014 utolsó negyedévében 18 százalékkal megnövekedett az egyedi adathalász-támadások mértéke, a biztonsági szakértők pedig úgy gondolják, hogy ez a tendencia 2016 elején is növekedni fog.

A phishing továbbra is népszerű módja az érzékeny adatok – például jelszavak, biztonsági kódok, bankkártyaszámok – megszerzésének, sőt, gyakran arra is használják, hogy kártékony szoftvereket juttassanak magánkézben lévő eszközökre, illetve céges rendszerekre. Az adathalászok akár a LastPass-fiókokat is célba vehetik. Az efféle támadások első vonalbeli elhárításához olyan szoftvereket kell használnunk, amelyek intelligensen felismerik a fenyegetést, valamint megfelelő egyéni óvintézkedéseket kell tennünk.

A következőkben bemutatjuk, hogy a LastPass milyen lépéseket tesz az adathalászat ellen, továbbá megismerhet néhány módszert a fenyegetések hatékony beazonosítására és a legérzékenyebb adatainak védelmére (ha meglepetésszerű támadás érné).

Mit nevezünk adathalászatnak?

A phishing sokféle formát ölthet. Bizonyos esetekben a támadók az Ön bankjának dolgozó alkalmazottaknak adják ki magukat, és e mailben arra kérik Önt, hogy erősítsen meg egy a számláját érintő tranzakciót. Az is előfordulhat, hogy hamis számlát küldenek Önnek egy csatolt dokumentummal, amelyet le kell töltenie egy vásárlás megerősítéséhez. Az adathalászat a közösségi oldalakon található rosszindulatú hirdetésekre és hivatkozásokra is kiterjed. Sőt, egyes támadók arra is képesek, hogy egy ismert, megbízható és gyakran látogatott webhelyre megtévesztően hasonlító bejelentkezési oldalra irányítsák át Önt.

Mindezek mellett célzottabb (spear phishing) támadások áldozata is lehet. Az adathalászok e-mailben egyik kollégájának, főnökének vagy akár a cégének dolgozó informatikusnak is álcázhatják magukat. Megkeresésüket azzal teszik hihetővé, hogy felhasználják mindazt, amit Önről tudnak, majd megpróbálnak több információt vagy pénzt kicsikarni Önből, illetve rábeszélhetik egy kártékony fájl letöltésére.
.

Miről ismerhetők fel az adathalász-támadások?

Legtöbb ilyen fenyegetést könnyedén fel lehet ismerni, néhány adathalász azonban sokkal kifinomultabb módon próbálkozik, így nem árt némi szkepticizmus a gyanús e-mailek, hivatkozások és értesítések észrevételéhez. Egy átlagos adathalász-támadást a következő módokon lehet kiszűrni:

  • Ellenőrizze a weboldal URL-címét: Ha megnyitott egy weboldalt, akkor vizsgálja meg a címsor tartalmát. Hivatkozás esetén vigye a link fölé az egérmutatót, mielőtt még rákattintana – így a böngésző bal alsó sarkában ellenőrizheti, hogy megbízható URL-re irányítja-e Önt, vagy egy hamis weboldalra. A LastPass például mindig a következő módon jelenik meg: https://lastpass.com vagy https://altartomany.lastpass.com. . Egy hamis URL-cím nagyjából így néz ki: http://lastpass.masiktartomany.com. . Ez az oldal kerülendő, mivel a „masiktartomany.com” tartományhoz tartozik.
    Image credit: Lifehacker

    Image credit: Lifehacker

  • Ellenőrizze a címzettet: Ne bízzon a „Tisztelt vásárló!” megszólítással vagy köszönés nélkül kezdődő e-mailekben. Manapság legtöbb kereskedés név szerint szólítja meg a vevőket. A spear phishing-támadások azonban gyakran kimondottan a célpontra vannak szabva, ezért ez a módszer sem garantálja a támadások felismerését.
  • Nyissa meg közvetlenül a weboldalt: Kétség esetén nyisson meg egy új böngészőlapot vagy -ablakot, és gépelje be az oldal URL-címét (vagy a jelszókezelővel nyissa meg). Így biztos lehet abban, hogy a megfelelő webhelyen jár.Screen Shot 2016-01-20 at 9.14.38 AM (2)
  • Ellenőrizze, hogy a jelszókezelő megadja-e a bejelentkezési adatait: A LastPass úgy védekezik az adathalászat ellen, hogy hamis weboldalakon nem adja meg automatikusan a bejelentkezési adatait, mivel az oldal nem a LastPass bővítményben elmentett tartományhoz tartozik. Ha ilyen történik, ellenőrizze az URL-címet.
  • Sürgős megkeresések esetén se kapkodjon: Ha súlyos következmények említésével próbálják rábírni a gyors intézkedésre, valószínűleg azt szeretnék elérni, hogy meggondolatlanul cselekedjen.
  • Tegyen fel kérdéseket önmagának: Én kértem ezt a személyt arra, hogy mellékletként küldjön egy fájlt? Így szokott viselkedni ez a személy? Ha nem biztos a válaszban, maradjon szkeptikus, és kérdezze meg az illetőt.
  • Győződjön meg a „HTTPS://” és a lakat jelenlétéről : Megnyitott weboldalak esetén mindig ellenőrizze a címsorban, hogy biztonságos HTTPS-kapcsolaton keresztül csatlakozik-e. Emellett bizonyosodjon meg arról, hogy az URL-cím mellett szerepel-e egy lakat, amely azt jelenti, hogy a webhelyet egy független biztonsági szakértő cég ellenőrizte. Screen Shot 2016-01-20 at 9.16.41 AM (2)

Ha az adathalászok a jelszókezelőt támadják

A phishing-fenyegetések már nem csak rosszindulatú e-maileken, hirdetéseken, illetve közösségi weboldalakon elhelyezett hivatkozásokon keresztül leselkednek Önre. Néhány adathalász a böngészőkben használt – például jelszókezelő – bővítményeket is megpróbálhatja kihasználni.

Egyes rosszindulatú weboldalak például felhasználónevet, jelszót, kéttényezős hitelesítési kódot és más adatokat kérő értesítések útján is utánozhatják a böngészőbővítményeket. Ilyen esetekben néha nehéz megállapítani, hogy az értesítéseket nem a bővítmény küldi, hanem a webhely.

Hogyan hárítja el a LastPass az adathalászok támadásait?

  • Figyelmeztetés, ha fő jelszavát nem a LastPass weboldalán adja meg: Ha a LastPass alkalmazáshoz tartozó fő jelszavát más webhelyen adja meg, a bővítmény még a jelszó beküldése előtt nyomatékosan felhívja erre a figyelmét. Ebből rögtön le is vonhatja azt a következtetést, hogy fő jelszavát feltörték, és meg kell változtatnia azt.
  • Hitelesítés kérése ismeretlen helyről vagy eszközről történő bejelentkezés esetén: Ha ismeretlen helyről vagy eszközről lép be, követnie kell a LastPass hitelesítési folyamatának lépéseit. Az e-mailes ellenőrzési óvintézkedéseknek köszönhetően az esetleges támadók akkor sem férnének hozzá adataihoz, ha véletlenül megadná a fő jelszavát és a kéttényezős hitelesítési adatait, ugyanis ebben az esetben az adathalásznak az Ön e-mail fiókjához is hozzá kellene férnie, amelyet szintén kéttényezős hitelesítési folyamat védhet. Ha olyan hitelesítési kérelmet lát, amely nem kapcsolható egy Ön által kezdeményezett művelethez, ne foglalkozzon vele, hanem változtassa meg a fő jelszavát a LastPass tároló fiókbeállításaiban.
  • Kijelentkezés megelőzése: Bár a rosszindulatú weboldalak hamis LastPass-értesítéssel arra hívhatják fel a figyelmét, hogy kijelentkezett, és újból be kell jelentkeznie, ilyenkor érdemes meggyőződni arról, hogy még mindig be van-e jelentkezve a LastPass bővítménybe. Ha nem, kizárólag a bővítményen keresztül jelentkezzen be.

A fent említett biztonsági eljárások mellett arra ösztönözzük a Google-t és más böngészők fejlesztőit, hogy az értesítések böngészőablakon kívüli biztonságos megjelenítésével segítsenek nekünk a felhasználók fokozott védelmében.

Mit tehet Ön LastPass-fiókja védelmének érdekében?

Tárolója védelméről – a rendelkezésre álló biztonsági óvintézkedéseken felül – az alábbi bevált módszerekkel gondoskodhat:

  • Kizárólag a LastPass bővítmény segítségével jelentkezzen be. A LastPass alkalmazásba a legbiztonságosabb módon a böngésző eszköztárában látható ikonra kattintva jelentkezhet be.  Screen Shot 2016-01-20 at 9.24.22 AM (2)
  • Soha ne használja másra fő jelszavát. Ha máshol is felhasználja a fő jelszavát, nagyobb eséllyel férhetnek hozzá illetéktelenek tárolója tartalmához. A LastPass alkalmazásban kizárólag erre a célra használt, egyedi kódot állítson be fő jelszóként, és vegye figyelembe a fő jelszó más helyen történő megadására vonatkozó figyelmeztetésünket.
  • Győződjön meg arról, hogy megfelelő helyről tölti le a LastPass alkalmazást. Az alkalmazást csak a LastPass.com webhelyről, illetve a böngészőjéhez vagy eszközéhez tartozó hivatalos bővítménytárból (alkalmazás-áruházból) töltse le. Óvakodjon az idegen webhelyektől, és még a bővítményeket kínáló áruházakban is kerülje azokat a más fejlesztőtől származó vagy értékelés nélküli termékeket, amelyek hasonlítanak a LastPass alkalmazásra.
  • Soha ne ossza meg másokkal fő jelszavát. A LastPass csapata soha nem kéri Öntől a fő jelszavát. Tartózkodjon azoktól a személyektől, akik LastPass-alkalmazottnak vallják magukat, és a jelszavát kérik. Soha senkinek ne adja meg a jelszavát.
  • Használjon kéttényezős hitelesítést. A megfelelő biztonsági óvintézkedések lényege a kockázatot mérsékelő többlépcsős védelem. A kéttényezős hitelesítéssel egy további adatot kell megadnia a bejelentkezéshez. Bár ez sem nyújt teljes mértékben feltörhetetlen védelmet, ugyanakkor nagyban fokozza fiókja biztonságát.
  • Gondoskodjon e-mail fiókja védelméről erős jelszóval és kéttényezős hitelesítéssel. E-mail fiókjában minden titkának nyitja megtalálható. Védje úgy, mintha a digitális élete múlna rajta, mert ez valószínűleg így is van. A LastPass segítségével erős, ugyanakkor „kiejthető” jelszavakat hozhat létre az e-mail fiókjához, amelyeket igény szerint meg tud jegyezni. Ha elektronikus postafiókjához rendelkezésére áll kéttényezős hitelesítési lehetőség, mindenképpen éljen vele.

Az internetes biztonság folyamatos felelősségvállalást igényel mindannyiunk részéről. Miközben újabb és újabb fenyegetések ütik fel fejüket, a LastPass elkötelezetten vállalja termékének fejlesztését és védelmének fokozását a biztonsági kutatók közösségével végzett együttműködéssel. Így hát felhasználókként is meg kell fogadnunk a bevált biztonsági gyakorlatok betartását.