Brändiänne jäljittelevät väärennetyt kirjautumissivut: miten ne syntyvät ja miten ne saa poistettua

Väärennetty kirjautumissivu on kopio sisäänkirjautumisnäkymästänne verkkotunnuksessa, jota ette hallitse. Sen tarkoitus on kerätä käyttäjätunnuksia, salasanoja ja joskus kertakäyttökoodeja asiakkailtanne tai työntekijöiltänne, jotka saapuvat sivulle sähköpostin, tekstiviestin, hakumainoksen tai keskustelussa jaetun linkin kautta.

Jos teillä on asiakasportaali, verkkoposti, SaaS-tuote tai mikä tahansa kirjautumista vaativa palvelu, sivunne voidaan kopioida minuuteissa, koska HTML, logo ja tyylit toimitetaan jokaiselle kävijälle. Hyökkääjä tarvitsee vain uskottavan näköisen verkkotunnuksen ja keinon saada ihmiset sinne.

Monet tällaiset sivut voi huomata, ennen kuin niitä käytetään laajasti, ja niiden ilmoittamiseen on selkeät kanavat, joiden kautta ne saadaan estettyä ja poistettua.

Miten väärennetyt kirjautumissivut pystytetään

Useimmat noudattavat samoja vaiheita:

1. Verkkotunnus. Yleensä samankaltainen verkkotunnus (examp1e.com, example-login.com) tai aliverkkotunnus täysin toisessa verkkotunnuksessa (example.com.secure-verify.net). Lukekaa lisää artikkelista samankaltaiset verkkotunnukset ja typosquatting.
2. Varmenne. Selaimet näyttävät lukkosymbolin kaikille sivustoille, joilla on voimassa oleva varmenne, joten hyökkääjät hankkivat varmenteen myös omalle verkkotunnukselleen. Varmenne kirjataan Certificate Transparency -lokeihin.
3. Kopio sivustanne. Usein teidän oma HTML:nne, jossa lomakkeen kohde on muutettu lähettämään tunnukset muualle. Jotkin toteutukset välittävät tunnukset oikealle sivustollenne reaaliajassa, jolloin ne voivat kaapata myös kertakäyttökoodit.
4. Levitys. Sähköposti, tekstiviesti, sosiaalisen median viestit tai maksetut mainokset, jotka johtavat kopioon.

2 ensimmäistä vaihetta jättävät jälkiä, jotka voi havaita, ennen kuin moni ehtii nähdä sivun.

Miten ne huomaa ajoissa

Seuratkaa varmenteiden myöntämistä. Hakekaa Certificate Transparency -lokeista nimiä, joissa on brändinne, esimerkiksi palvelusta crt.sh hakulausekkeella %example%. Uusi varmenne nimelle example-account-check.com, jota ette ole tilanneet, kannattaa tarkistaa. Artikkelimme Certificate Transparency -lokeista kertoo, mitä nämä lokit näyttävät.

Seuratkaa uusia samankaltaisia verkkotunnuksia. Työkalut, kuten dnstwist, listaavat verkkotunnuksenne rekisteröityjä muunnelmia ja vertaavat valitsimella --lsh niiden HTML:ää omaanne:

dnstwist --lsh https://example.com/login example.com

Korkea samankaltaisuuspistemäärä verkkotunnuksella, jota ette omista, on vahva merkki.

Kuunnelkaa käyttäjiänne. Tukipyynnöt, kuten "kirjauduin sisään, mutta mitään ei tapahtunut" tai "sivustonne kysyi koodiani kahdesti", ovat usein ensimmäinen merkki. Antakaa asiakastuelle yksinkertainen tapa välittää epäilyttävät linkit tietoturvasta vastaavalle.

Tarkistakaa omat lokinne. Jotkin kopiot lataavat kuvia, skriptejä tai fontteja suoraan sivustoltanne. Tiedostojanne koskevat pyynnöt, joiden Referer-otsake viittaa tuntemattomaan verkkotunnukseen, voivat johtaa teidät kopioon.

Miten väärennetty kirjautumissivu saadaan poistettua

Hoitakaa nämä rinnakkain, ei peräkkäin:

1. Selainten estolistat. Ilmoittakaa URL palveluun Google Safe Browsing ja Microsoftille. Kun sivu on listalla, suuret selaimet näyttävät varoituksen ennen sen latautumista, mikä suojaa ihmisiä silloinkin, kun sivusto on vielä verkossa.
2. Tietojenkalastelun vastainen yhteisö. Anti-Phishing Working Group pyytää välittämään tietojenkalasteluviestit osoitteeseen reportphishing@apwg.org.
3. Verkkotunnusvälittäjä (registrar). Selvittäkää se komennolla whois ja käyttäkää sen väärinkäytösyhteystietoa (abuse). ICANNin akkreditoimien verkkotunnusvälittäjien on julkaistava väärinkäytösyhteystieto ja ryhdyttävä kohtuullisiin ja ripeisiin toimiin väärinkäytösilmoitusten tutkimiseksi vuoden 2013 Registrar Accreditation Agreement -sopimuksen kohdan 3.18 mukaan.
4. Hosting-palveluntarjoaja. Selvittäkää IP-osoite komennolla dig example-login.com +short, sitten verkon omistaja komennolla whois <ip>, ja ilmoittakaa sen abuse-osoitteeseen.

Hyvä ilmoitus on lyhyt ja todennettavissa: tarkka URL, kuvakaappaus, ajankohta, jolloin näitte sivun, oikea verkkotunnuksenne ja lause, jossa kerrotte sivun jäljittelevän kirjautumistanne tunnusten keräämiseksi. Älkää yrittäkö kirjautua väärennetylle sivulle tai olla sen kanssa tekemisissä enempää kuin dokumentointi vaatii.

Vahinkojen rajaaminen

Poistaminen vie aikaa, joten pienentäkää varastetun salasanan arvoa:

• Tarjotkaa ja suositelkaa tietojenkalastelua kestävää kirjautumista, kuten pääsyavaimia (passkeys) tai turva-avaimia, jotka on sidottu oikeaan verkkotunnukseenne eivätkä toimi kopiossa.
• Seuratkaa epätavallisia kirjautumisia tietojenkalasteluilmoituksen jälkeen: uudet sijainnit, monta tiliä samasta IP-osoitteesta tai joukoittain salasanan palautuksia.
• Kertokaa käyttäjille, missä kirjaudutaan. Lyhyt tiedote ("pyydämme teitä kirjautumaan vain osoitteessa example.com") auttaa.
• Ottakaa DMARC käyttöön pakottavalla käytännöllä oikeassa verkkotunnuksessanne, jotta kopioon johtavissa sähköposteissa ei voi käyttää täsmälleen teidän osoitettanne. Katsokaa SPF, DKIM ja DMARC selitettynä.
• Vaihtakaa asianomaisten tilien salasanat ja mitätöikää istunnot käyttäjiltä, jotka kertovat syöttäneensä salasanansa.

Tarkistuslista

• Certificate Transparency -haku brändinne nimellä, toistettuna aikataulun mukaan.
• Samankaltaisten verkkotunnusten skannaus sivujen samankaltaisuusvertailulla.
• Tukiprosessi epäilyttävien linkkien välittämiseen.
• Valmiit ilmoituspohjat Googlelle, Microsoftille, APWG:lle, verkkotunnusvälittäjille ja hosting-palveluille.
• Tietojenkalastelua kestävä kirjautuminen käyttäjien saatavilla.

Miten Datahorses auttaa

Datahorses valvoo yritystänne ulkoa päivittäin: väärennettyjä kirjautumissivuja samankaltaisissa verkkotunnuksissa, uusia varmenteita, joissa käytetään nimeänne, ja tunnettuja tietojenkalasteluilmoituksia, joissa brändinne mainitaan. Emme mene järjestelmiinne emmekä tarvitse pääsyoikeuksia. Kun löydämme kirjautumistanne jäljittelevän sivun, ihminen tarkistaa sen ja saatte tiedot sekä poisto-ohjeet, kuten kuvaamme kohdassa mitä tapahtuu, kun löydämme jotain. Näette tällaisen havainnon esimerkkinäkymässä.