Zaščita pred napadi z lažnim predstavljanjem

Menite, da gre pri lažnem predstavljanju za zastarelo vrsto napada? Razmislite še enkrat. Delovna skupina za preprečevanje lažnega predstavljanja ugotavlja, da je bilo v zadnjem četrtletju leta 2014 kljub pametnejšemu filtriranju neželene e-pošte 18 odstotkov več edinstvenih prijav lažnega predstavljanja, strokovnjaki za varnost pa predvidevajo, da bo ta rast v letu 2016 le še večja.

Lažno predstavljanje je priljubljen pristop za krajo občutljivih podatkov, kot so gesla, varnostne kode in številke kreditnih kartic, ter tudi za prikrito namestitev zlonamerne programske opreme v osebne naprave in sisteme podjetij. Tarča napada z lažnim predstavljanjem je lahko celo račun LastPass. Za zaščito pred lažnim predstavljanjem sta potrebna pametnejše zaznavanje v programski opremi, ki jo uporabljamo, in boljša priprava vsakega posameznika, saj to predstavlja prvo obrambno črto pred napadi.

V nadaljevanju opisujemo, kako se proti lažnemu predstavljanju bori LastPass ter kaj lahko storite za izboljšanje odkrivanja lažnega predstavljanja in zaščito najobčutljivejših podatkov, če vas morebitni napad vseeno dobi nepripravljene.

Kaj je lažno predstavljanje?

Napadi z lažnim predstavljanjem imajo lahko več oblik. Ena od njih so e-poštna sporočila, ki dajejo vtis, da so poslana iz vaše banke, in zahtevajo potrditev dejavnosti v računu. Poznamo tudi lažne račune, ki zahtevajo, da za potrditev naročila prenesete priloženi dokument. Napadi so lahko v obliki zlonamernih oglasov ali v povezavah v družbenih omrežjih. Napadalci vas lahko celo preusmerijo na prijavno stran, ki je skoraj popolna kopija dobro znanega spletnega mesta, ki mu zaupate in ga uporabljate.

Usmerjeno lažno predstavljanje je še bolj osebno. Napadalci pošljejo e-poštna sporočila, za katera je videti, da jih je poslal sodelavec, šef ali celo oddelek za IT. Z uporabo tega, kar so izvedeli o vas, poskrbijo, da je prošnja videti popolnoma resnična, in tako od vas pridobijo še več podatkov ali vas pripravijo do tega, da prenesete zlonamerno datoteko ali jim nakažete denar.

Prepoznavanje napadov z lažnim predstavljanjem

Mnoge napade z lažnim predstavljanjem je preprosto prepoznati, nekateri pa so znatno bolj zapleteni, zato je za odkrivanje sumljivih e-poštnih sporočil, povezav in obvestil potrebna velika mera sumničavosti. Osnovni napad z lažnim predstavljanjem lahko prepoznate s tem postopkom:

  • Preverite URL: Oglejte si naslovno vrstico spletnega mesta, ki ste ga odprli, ali pa nad povezavo postavite miškin kazalec, da boste v spodnjem levem kotu brskalnika videli URL in tako lahko, preden ga kliknete, potrdili, ali gre za zaupanja vreden naslov ali za poskus prevare. Za program LastPass bo na primer vedno prikazano https://lastpass.com ali https://subdomain.lastpass.com. Po drugi strani bo URL z lažnim predstavljanjem morda videti tako: http://lastpass.otherdomain.com. V tem primeru je domena dejansko »drugadomena.com« in se ji morate izogniti.
    Image credit: Lifehacker

    Image credit: Lifehacker

  • Preverite, kdo je naslovnik: Bodite skeptični glede e-poštnih sporočil, naslovljenih z »Draga stranka«, ali takih, ki nimajo pozdrava. Večina prodajalcev vas bo danes naslovila z imenom. Vendar pa usmerjeni napadi z lažnim predstavljanjem običajno ciljajo prav vas, zato ta korak ni vedno jamstvo, da je e-poštno sporočilo varno.
  • Spletno mesto odprite sami: Če niste prepričani, v brskalniku odprite nov zavihek ali okno, neposredno vnesite URL (ali ga zaženite iz upravitelja gesel) in tako zagotovite, da boste šli na pravo spletno mesto.Screen Shot 2016-01-20 at 9.14.38 AM (2)
  • Preverite, ali so v upravitelju gesel prikazani ujemajoči se podatki za prijavo: LastPass vas lahko s tem, da na lažnem spletnem mestu ne vnese samodejno podatkov za prijavo, pomaga zaščititi pred lažnim predstavljanjem. Ker se domena ne ujema s tisto, ki jo je shranil LastPass, podatkov ne bo izpolnil. Če se to zgodi, preverite URL.
  • Zamislite se, če vas navodila pozivajo k nujnemu ukrepanju: Vse, kar od vas zahteva hitro ukrepanje, sicer bo prišlo do nekih posledic, vas morda poskuša prepričati, da nekaj storite, ne da bi o tem prej premislili.
  • Postavite si vprašanja: Ali ste od te osebe zahtevali, da vam pošlje prilogo? Ali je to nekaj, kar za pošiljatelja ni značilno? Če ste v dvomu, bodite skeptični in rajši prej vprašajte.
  • Preverite, ali sta v naslovni vrstici napis »HTTPS://« in ključavnica: Ko ste na spletnem mestu, v vrstici s spletnim naslovom vedno preverite, ali se povezujete prek protokola HTTPS, ki zagotavlja varno povezavo, in ali je prikazana ikona ključavnice, kar pomeni, da je spletno mesto preverilo zunanje varnostno podjetje. Screen Shot 2016-01-20 at 9.16.41 AM (2)

Ko lažno predstavljanje cilja na vašega upravitelja gesel

Napadi z lažnim predstavljanjem niso več omejeni na zlonamerna e-poštna sporočila, oglase ali povezave v družbenih omrežjih. Nekateri napadi z lažnim predstavljanjem so lahko celo usmerjeni na razširitve, ki jih uporabljate v brskalniku, na primer tako, da so videti kot upravitelj gesel.

Zlonamerno spletno mesto se lahko na primer predstavlja kot razširitev brskalnika, in sicer s prikazovanjem obvestil, ki zahtevajo podatke, kot so vaše uporabniško ime, geslo in koda za preverjanje pristnosti v dveh korakih. Včasih je težko ločiti, ali so obvestila dejansko z zlonamernega spletnega mesta ali iz razširitve brskalnika.

Kako vas LastPass varuje pred napadi z lažnim predstavljanjem

  • Opozorilo, da je bilo na strani, ki ni povezana z LastPassom, vneseno glavno geslo: Če poskušate na strani, ki ni povezana z LastPassom, vnesti glavno geslo, LastPass vedno prikaže močno opozorilo, še preden vnesete glavno geslo. Tako boste takoj vedeli, da je glavno geslo morda ogroženo, in ga boste lahko takoj spremenili.
  • Preverjanje pri prijavah z neznanih mest ali iz neznanih naprav: LastPass ima postopek preverjanja, ki ga je treba izvesti, vsakič ko se poskušate prijaviti z neznanega mesta ali iz neznane naprave. Če torej nehote vnesete glavno geslo in podatke za preverjanje pristnosti v dveh korakih, bo postopek preverjanja po e-pošti preprečil morebitni poskus napadalca, da uporabi te podatke. Napadalec bi moral prav tako pridobiti dostop do vašega e-poštnega računa, to pa lahko otežite s preverjanjem pristnosti v dveh korakih za e-poštni račun. Če naletite na zahtevo za preverjanje, ki je niste sprožili sami, jo lahko prezrete in v nastavitvah računa za trezor LastPass spremenite glavno geslo.
  • Preprečevanje odjave: Čeprav lahko zlonamerna stran prikaže lažno LastPassovo obvestilo, da ste bili odjavljeni in se morate znova prijaviti, priporočamo, da preverite, ali ste v resnici še vedno prijavljeni v razširitev LastPass, in se prijavite samo prek nje.

Poleg teh varoval si prizadevamo Google in druge ponudnike brskalnikov spodbuditi, da nam pomagajo dodatno zaščititi uporabnike s ponujanjem varnih načinov prikazovanja obvestil zunaj vidnega polja brskalnika.

Kako lahko pomagate zaščititi račun LastPass

Poleg varnostnih ukrepov, ki jih že imamo, lahko za varnost trezorja poskrbite tudi s temi priporočenimi postopki:

  • Vedno se prijavite prek razširitve LastPass. Najvarnejši način prijave v LastPass je tako, da v orodni vrstici brskalnika kliknete ikono razširitve. Screen Shot 2016-01-20 at 9.24.22 AM (2)
  • Glavnega gesla nikoli ne uporabljajte nikjer drugje. Če enako geslo, kot je glavno, uporabite še kje drugje, s tem povečate možnost, da bo nekdo ukradel vaš trezor. Za LastPass vedno uporabite edinstveno glavno geslo in upoštevajte naše opozorilo, ki se pojavi, če ga vnesete kjer koli drugje, razen za prijavo v LastPass..
  • Bodite previdni, od kod prenesete LastPass. LastPass vedno prenesite samo s spletnega mesta LastPass.com ali iz trgovin dodatkov, ki so na voljo v brskalniku ali napravi. Nikoli ne uporabljajte zunanjih spletnih mest za prenos in tudi v trgovinah dodatkov bodite previdni glede objav izdelkov, ki so videti kot LastPass, dejansko pa imajo drugo ime izdajatelja in so brez ocen.
  • Glavnega gesla nikoli ne razkrijte nikomur. Skupina za LastPass od vas ne bo nikoli zahtevala glavnega gesla. Bodite previdni, če kdor koli, ki se predstavlja kot LastPass, od vas zahteva glavno geslo. Gesla nikoli ne razkrijte.
  • Dodajte preverjanje pristnosti v dveh korakih. Temelj dobre varnosti so plasti zaščite, ki zmanjšujejo tveganja. Preverjanje pristnosti v dveh korakih zahteva dodaten podatek, preden lahko dostopate do računa. Ni sicer rešitev za vse, vendar je vseeno učinkovito sredstvo za zaščito računa.
  • E-pošto zaščitite z zapletenim geslom in s preverjanjem pristnosti v dveh korakih. E-poštni račun je pogosto lahko ključ do mnogih vaših skrivnosti. Varujte ga tako, kot da je od njega odvisno vaše digitalno življenje, saj je to dejansko lahko res. LastPass lahko za e-pošto ustvari zapleteno, a »izgovorljivo« geslo, ki si ga lahko tudi zapomnite, če želite. Če ponudnik e-pošte ponuja preverjanje pristnosti v dveh korakih, ga vedno vklopite.

Varnost v spletu mora biti predmet stalnih prizadevanj nas vseh. Nove grožnje se stalno pojavljajo in LastPass je pri tem zavezan k izboljšanju svojega izdelka in sodelovanju s skupnostjo varnostnih raziskovalcev. Kot uporabniki pa si moramo prav tako stalno prizadevati, da upoštevamo najboljše postopke glede varnosti.