Be honest. Do you really read the warning messages that your browser displays to you? Or do you blindly click the phishing site warnings or the SSL mismatch dialog away? Apparently most users don’t seem to care too much about those warnings and c…
Improving effectiveness of phishing bait is always at the top of any phishers’ agenda. They prefer to use bait that reflects enticing subjects in order to catch the attention of as many users as possible. Recently, we have seen phishers moving one step ahead. In addition to having eye-catching bait, they are compelling users to spread the word. In today’s example, phishers used free cell phone airtime as the phishing bait.
The phishing site requested Indian Facebook users to verify their account by entering their login credentials in order to get the fake offer of free cell phone airtime. But phishers, not content with just duping one user and eager to target even more, start off by saying the offer is only valid after posting this same offer on the profile pages of a number of friends. Phishers devised this strategy because obviously receiving messages from friends is more convincing than from unknown sources. The method phishers are using in effect enlists unsuspecting users into spamming for them.
Figure 1. Facebook account verification
Figure 2. “Like us” enticement
Figure 3. Sharing enticement
Figure 4. Sharing enticement and personal information request
The first page of the phishing site asked users to verify their Facebook account. Users were then alerted that all information should be entered correctly. The second page of the phishing site displayed an image of a selection of Indian cell phone network operators. The phishing page stated that free airtime worth “Rs. 500” is available from the offer after following four additional steps. The steps were essentially to like, subscribe, share, and post the offer to at least 10 friends. Finally, in order to complete the process, the phishing site asked users for personal information including name, email address, cell phone number, network operator, and cellular zone. If any user fell victim to the phishing site, phishers would have successfully stolen personal user information for identity theft.
Users are advised to follow best practices to avoid phishing attacks:
En el panorama actual de amenazas las divisiones entre las herramientas cibernéticas de investigación y las de espionaje se vuelven cada vez más borrosas. El descubrimiento reciente de dos nuevas amenazas es un hecho que confirma …
In a previous blog, we talked about the rise of remote access tools (RAT) written in Java that are capable of running on multiple operating systems. With the growing popularity of the Android operating system, it comes as no surprise that the Android O…
Whether it’s customers visiting an eCommerce site via their smartphone, or cashiers using a mobile device to accept payments, chances are mCommerce has played a big role in how retail transactions are carried out today. However, despite the ubiquity, mobile devices also present a whole new array of security risks for both businesses and shoppers Read more…
Ich hoffe, dass Sie meinen vorigen Beitrag über die fragwürdigen Empfehlungen gelesen haben, die manche Websitebetreiber ihren Benutzern geben. Heute möchte ich etwas tiefer gehen und einige Fehlermeldungen, die Ihr Browser eventuell anz…
i vous avez lu mon dernier billet, vous savez quel genre de mauvais conseils certains sites donnent à leurs visiteurs. À ce propos, j’ai pensé qu’il serait utile de s’arrêter un instant sur ces messages d’erreur et sur leur signification, avant de lever le voile sur les mesures que nous prenons en arrière-plan pour assurer votre sécurité.
Tout d’abord, en cas d’expiration d’un certificat, il arrive que des alertes de sécurité s’affichent dans les navigateurs Web. Pourquoi ces avertissements ? Prenons l’exemple d’un site où vous démarrez une session sécurisée (par exemple, lorsque vous vous connectez à votre messagerie Web). Au moment de votre connexion, le serveur hébergeant ce site présente à votre navigateur un certificat SSL qui permet de l’authentifier. Ce certificat contient différents types d’informations d’identification du site, notamment son URL, vérifiées au préalable par une autorité de certification tierce (comme Symantec) à laquelle votre navigateur fait confiance. En s’assurant que l’adresse du certificat correspond bien à celle du site et en vérifiant la validité de ce certificat, votre navigateur atteste de l’identité du site Web visité et de la sécurisation de vos communications. Ainsi, vous êtes protégé contre d’éventuels imposteurs et autres cybercriminels qui chercheraient à subtiliser vos informations de connexion. On comprend alors mieux pourquoi en cas d’affichage d’une image comme celle dans mon précédent billet, une seule solution s’impose : la fuite.
On rencontre également des écrans d’avertissement pour les certificats SSL en cours de validité. Là encore, il existe une explication simple. Le signataire de chaque certificat doit maintenir une liste de révocation généralement appelée Online Certificate Status Protocol (OCSP), anciennement Certificate Revocation List (vous trouverez ici des détails en anglais sur le protocole OSCP et la révocation SSL). Or, cette liste est absolument primordiale. Il y a quelques années, l’autorité de certification (AC) DigiNotar fut gravement compromise lorsqu’elle émit pour des hackers iraniens des certificats frauduleux couvrant plusieurs dizaines de domaines Internet, y compris des messageries Web publiques réputées et des services voix/de messagerie instantanée. En réaction, tous les principaux éditeurs de navigateurs Web retirèrent immédiatement leur confiance des certificats émis par les AC du groupe DigiNotar. Si les internautes étaient passés outre les avertissements des navigateurs, leurs identifiants et mots de passe auraient été volés et des personnes mal intentionnées auraient pu mettre la main sur des informations privées les concernant. Mise au ban par la communauté Internet, DigiNotar dut rapidement mettre la clé sous la porte. De son côté, l’autorité émettrice d’un certificat SSL a la possibilité de le révoquer en cas de compromission avérée. Il lui suffit pour cela d’ajouter le nom du domaine en question à la liste de révocation, enjoignant ainsi les navigateurs de ne plus faire confiance à ce certificat.
Cependant, nul besoin de maintenir les certificats expirés sur la liste de révocation (peut-être qu’un certificat valide équipait autrefois le site Web visité ?). Si un message informe un internaute de l’expiration du certificat, celui-ci ne devrait sous aucun prétexte se rendre sur le site. Pour ma part, j’irais même jusqu’à lui recommander de contacter l’entreprise en question par téléphone ou par e-mail pour l’informer de la situation. Après tout, l’internaute constitue lui aussi un maillon de la chaîne de confiance en ligne.
Bien entendu, il existe d’autres raisons pour lesquelles un message d’avertissement pourra s’afficher :
Quant aux cyberentreprises, elles peuvent prendre diverses mesures pour éviter les avertissements de sécurité sur leur site :
La confiance se trouve au cœur du commerce et de la communication en ligne. C’est pourquoi nous devons déployer tous les efforts possibles pour inspirer ce sentiment à nos clients.
I hope you read my last post on the bad advice that some sites give their users. As a follow up, I thought it would be useful to highlight what some of the errors you might see online actually mean, and what is happening in the background to keep you s…
Eräs ystäväni soitti minulle viime viikolla (olen ystäväpiirissäni se IT‑/tietoturvatyyppi). Hän kysyi, mitä pitäisi tehdä, jos on saanut alla olevan ilmoituksen, sillä hän ei ollut nähnyt vastaavaa aikaisemmin. Kuten alla näkyy, ilmoituksessa varoitetaan, ettei kyseinen sivusto ole välttämättä enää turvallinen, koska sen SSL‑varmenne on vanhentunut.
Vastasin välittömästi, ettei hänen pitäisi missään tapauksessa jatkaa eteenpäin. Jos epäilyttää, voi siirtyä toiselle sivustolle, käydä liikkeessä paikan päällä, yrittää soittaa tai lähettää yritykselle sähköpostia, mutta verkkosivustoa ei kannata käyttää. Ystäväni vastaus oli melko yllättävä: Tiedusteltuaan ongelmasta Twitterissä hän oli saanut kyseisen sivuston edustajalta neuvon, jonka mukaan ”tästä varoituksesta ei ole mitään syytä huolestua”. Pohdittuani asiaa hetken tajusin, että neuvo oli varsin kauhistuttava. Miksi luotettavalta sivustolta annettaisiin noin kummallisia ohjeita?
Syy numero 1: Sivusto ei halua menettää yhtäkään asiakasta.
Syy numero 2: Sivustolla ei ymmärretä edes perusasioita sen suhteen, kuinka kuluttajien luottamus rakentuu, mistä syystä asiakkaille annetaan vääriä neuvoja.
Syy numero 3: Sivustolla ei olla tietoisia, mitkä ovat seuraamukset, jos ihmiset noudattavat tämänkaltaisia huonoja neuvoja.
Oletin, että kysymyksessä oli syy numero kolme, joten soimasin sivuston omistajia. Sitten aloin tutkia tätä nimenomaista ongelmaa ja sivustoa tarkemmin selvittääkseni, mitä oikein oli tapahtunut. Tällä kertaa oli kyse verkkokauppasivuston ylläpitotiimin tarkkaamattomuudesta. Varmenne oli ehtinyt vanhentua huomaamatta, joten he yrittivät paikata tilannetta ja lieventää epähuomiossa sattuneen virheen vaikutuksia. Se, että asiakkaita käsketään ohittamaan varoitus, ei kuitenkaan ole minkään järkeenkäyvän parhaan käytännön mukaista. Antaisivatko he saman neuvon seuraavan kerran kun jotakuta asiakasta pyydetään sähköpostitse paljastamaan luottokorttitietonsa ja kotiosoitteensa? Toivottavasti eivät. Entäpä jos heidän sivustoonsa olisi tarttunut haittaohjelma? Tiettävästi 61 prosenttia haitallisista sivustoista on todellisuudessa aitoja verkkosivustoja, joiden tietoturva on vaarantunut tai joille on tartutettu haitallista koodia. Vuonna 2012 verkkosivustotyypeistä, jotka isännöivät haittaohjelmia, yritys‑, teknologia‑ ja ostossivustot olivat viiden yleisimmän joukossa (lähde: englanninkielinen Symantec ISTR 2013 -raportti). Jos tietokoneeni virustorjuntaohjelma havaitsisi haitallisen sivuston ja estäisi sen, kehotettaisiinko minua ohittamaan sekin varoitus ja jatkamaan vain eteenpäin?
Esimerkit edustavat ehkä ääripäätä, mutta jos käyttäjiä kehotetaan ohittamaan heidän suojakseen tarkoitetut tietoturvavaroitukset, kyseessä on huono käytäntö, eikä verkkokauppiaiden pitäisi missään tapauksessa heikentää asiakkaiden luottamusta tällä tavoin.
Minkä neuvon antaisin siis itse sekä ystävälleni että suurelle yleisölle? Valittakaa! Ja valittakaakin kunnolla. Käyttäkää live chat ‑keskustelutoimintoa, muualla verkossa julkaistua puhelinnumeroa ja sosiaalista mediaa. Laittakaa häpeämään ne ihmiset, jotka käyttävät luottamustanne hyväkseen ja saattavat teidät mahdollisesti vaaraan. Vaatikaa, että sivuston on vakuutettava teidät, jotta voitte käyttää sitä: sivustolla tulee olla näkyvissä Norton Secured Seal ‑tunnus tai muu luotettavuusmerkki, josta käyttäjät tietävät, että sivusto on tarkistettu, eikä sillä ole haittaohjelmia. Tehkää myös selväksi, ettette aio käydä kauppaa kyseisen yrityksen kanssa niin kauan kuin selaimessanne näkyy sivuston turvallisuutta tai tietoturvaa koskevia varoituksia. Kuluttajilla on paljon valtaa, ja jos valitamme ja äänestämme jaloillamme, viestimme tämänkaltaisten sivustojen omistajille pitäisi kyllä mennä perille. Toki monet meistä sulkevat epäilyttävän sivuston heti varoituksen nähtyään, mutta on myös käyttäjiä, jotka eivät vain ole varmoja, kuinka toimia, tai joita vedätetään kylmästi käskemällä ohittamaan asianmukaiset tietoturvavaroitukset tai antamalla muita huonoja neuvoja.
Jos me tällä alalla kehotamme toistuvasti käyttäjiä ohittamaan varoitukset, me saatamme aliarvioida luottamuksen ja verkkoturvallisuuden merkityksen – ja miksipä ottaisimme sen riskin, sillä verkko on täynnä mahdollisuuksia (ks. englanninkielinen blogikirjoitus).
Tietoturva‑alan toimijat tekevät parhaansa luodakseen varoituksia ja kehittääkseen suojausmenetelmiä työkaluihin, joiden avulla verkossa harjoitetaan liiketoimintaa. Kenenkään tällä alalla työskentelevän ei pitäisi ikinä neuvoa ketään ohittamaan varoituksia. Verkkokauppasivusto, joka antaa asiakkaalle huonoja neuvoja, ansaitseekin menettää kyseisen asiakkaan, sillä kun luottamus on kerran menetetty, sitä on lähes mahdoton voittaa takaisin. Ja siinä vaiheessa tappio on meidän kaikkien yhteinen.