Falešné přihlašovací stránky s vaší značkou: jak vznikají a jak je nechat stáhnout

Falešná přihlašovací stránka je kopie vaší přihlašovací obrazovky na doméně, kterou neovládáte. Útočníci přes ni sbírají uživatelská jména, hesla a někdy i jednorázové kódy vašich zákazníků nebo zaměstnanců, kteří na ni přijdou z e-mailu, SMS, reklamy ve vyhledávači nebo odkazu v chatu.

Pokud provozujete zákaznický portál, webmail, SaaS produkt nebo cokoli s přihlášením, lze vaši stránku zkopírovat během pár minut, protože HTML, logo i styly dostane do prohlížeče každý návštěvník. Útočník potřebuje jen doménu, která vypadá věrohodně, a způsob, jak na ni lidi dostat.

Mnoho takových stránek odhalíte dřív, než se začnou ve velkém používat, a existuje jasný seznam míst, kam je nahlásit, aby je někdo zablokoval a odstranil.

Jak falešné přihlašovací stránky vznikají

Většina vzniká stejným postupem:

1. Doména. Obvykle podobná doména (examp1e.com, example-login.com) nebo subdoména na nesouvisející doméně (example.com.secure-verify.net). Viz podobné domény a typosquatting.
2. Certifikát. Prohlížeče zobrazí zámek u každého webu s platným certifikátem, útočníci si ho proto pro doménu opatří. Takový certifikát se zapíše do logů Certificate Transparency.
3. Kopie vaší stránky. Často je to vaše vlastní HTML, jen formulář posílá přihlašovací údaje jinam. Některé sady údaje v reálném čase předávají na váš skutečný web, a zachytí tak i jednorázové kódy.
4. Šíření. E-maily, SMS, zprávy na sociálních sítích nebo placené reklamy s odkazem na kopii.

První 2 kroky zanechávají stopy, které zachytíte dřív, než stránku uvidí mnoho lidí.

Jak je včas odhalit

Sledujte vydávání certifikátů. Hledejte v logech Certificate Transparency názvy, které obsahují vaši značku, například na crt.sh dotazem typu %example%. Nový certifikát pro example-account-check.com, o který jste nežádali, stojí za to prověřit. Co tyto logy ukazují, vysvětluje náš článek o logech Certificate Transparency.

Sledujte nové podobné domény. Nástroje jako dnstwist vypíšou registrované varianty vaší domény a s volbou --lsh porovnají jejich HTML s vaším:

dnstwist --lsh https://example.com/login example.com

Vysoké skóre podobnosti u domény, kterou nevlastníte, je silný varovný signál.

Poslouchejte uživatele. Tikety na podporu typu „přihlásil jsem se, ale nic se nestalo“ nebo „váš web po mně chtěl kód dvakrát“ bývají prvním znamením. Dejte podpoře jednoduchý způsob, jak podezřelé odkazy předat tomu, kdo má na starosti bezpečnost.

Kontrolujte vlastní logy. Některé kopie načítají obrázky, skripty nebo fonty přímo z vašeho webu. Požadavky na vaše soubory s hlavičkou Referer z neznámé domény vás ke kopii mohou dovést.

Jak falešnou přihlašovací stránku nechat odstranit

Všechny kroky dělejte souběžně, ne jeden po druhém:

1. Blokovací seznamy prohlížečů. Nahlaste URL službě Google Safe Browsing a Microsoftu. Jakmile stránku zařadí na seznam, hlavní prohlížeče před jejím načtením zobrazí varování, které chrání lidi i v době, kdy je web stále online.
2. Komunita proti phishingu. Anti-Phishing Working Group žádá, aby lidé přeposílali phishingové e-maily na reportphishing@apwg.org.
3. Registrátor. Zjistěte ho přes whois a napište na jeho kontakt pro hlášení zneužití (abuse). Registrátoři akreditovaní u ICANN musí podle článku 3.18 Registrar Accreditation Agreement z roku 2013 takový kontakt zveřejňovat a hlášení přiměřeně a bez prodlení prošetřit.
4. Poskytovatel hostingu. Zjistěte IP adresu příkazem dig example-login.com +short, potom vlastníka sítě přes whois <ip> a stránku nahlaste na jeho abuse adresu.

Dobré hlášení je krátké a ověřitelné: přesná URL, snímek obrazovky, čas, kdy jste stránku viděli, vaše skutečná doména a věta, že stránka napodobuje vaše přihlášení, aby sbírala přihlašovací údaje. Na falešné stránce se nezkoušejte přihlásit a nedělejte na ní nic víc, než kolik je potřeba k jejímu zdokumentování.

Jak omezit škody

Odstranění stránky chvíli trvá, zařiďte proto, aby ukradené heslo útočníkovi co nejméně pomohlo:

• Nabízejte a prosazujte přihlášení odolné vůči phishingu, například passkeys nebo bezpečnostní klíče, které jsou vázané na vaši skutečnou doménu a na kopii nefungují.
• Sledujte neobvyklá přihlášení po nahlášení phishingu: nová místa, mnoho účtů z jedné IP adresy nebo hromadné obnovy hesel.
• Řekněte uživatelům, kde se přihlašují. Pomůže i krátké upozornění („přihlásit se vás vždy vyzveme jen na example.com“).
• Vynuťte DMARC na své skutečné doméně, aby e-maily vedoucí na kopii nemohly použít vaši přesnou adresu. Viz SPF, DKIM a DMARC srozumitelně.
• Zabezpečte dotčené účty a ukončete relace uživatelů, kteří hlásí, že heslo zadali.

Kontrolní seznam

• Pravidelné vyhledávání názvu značky v Certificate Transparency.
• Sken podobných domén s porovnáním podobnosti stránek.
• Postup, jak podpora předává podezřelé odkazy.
• Připravené šablony hlášení pro Google, Microsoft, APWG, registrátory a hostingy.
• Přihlášení odolné vůči phishingu, které uživatelé mohou používat.

Jak pomáhá Datahorses

Datahorses hlídá vaši firmu zvenčí každý den a hledá falešné přihlašovací stránky na podobných doménách, nově vydané certifikáty s vaším názvem a nahlášené phishingové stránky, které zneužívají vaši značku. Do vašich systémů nevstupujeme a žádné přístupy nepotřebujeme. Když najdeme stránku, která napodobuje vaše přihlášení, posoudí ji náš specialista a vy dostanete podrobnosti i postup, jak ji nechat odstranit, jak popisujeme v části co se stane, když něco najdeme. Jak takové zjištění vypadá, uvidíte v ukázkovém dashboardu.