Falošné prihlasovacie stránky s vašou značkou: ako vznikajú a ako ich dať odstrániť

Falošná prihlasovacia stránka je kópia vašej prihlasovacej obrazovky hostovaná na doméne, ktorú neovládate. Slúži na to, aby zbierala prihlasovacie mená, heslá a niekedy aj jednorazové kódy od vašich zákazníkov alebo zamestnancov, ktorí na ňu prídu cez e-mail, SMS, reklamu vo vyhľadávači alebo odkaz v chate.

Ak prevádzkujete zákaznícky portál, webmail, SaaS produkt alebo čokoľvek s prihlásením, vašu stránku možno skopírovať za pár minút, pretože HTML, logo aj štýly dostane každý návštevník. Útočník potrebuje len doménu, ktorá vyzerá uveriteľne, a spôsob, ako na ňu ľudí dostať.

Mnohé takéto stránky sa dajú odhaliť skôr, než ich útočník začne vo veľkom používať, a je jasné, kde ich nahlásiť, aby ich zablokovali a odstránili.

Ako falošné prihlasovacie stránky vznikajú

Väčšina vzniká rovnakým postupom:

1. Doména. Zvyčajne podobná doména (examp1e.com, example-login.com) alebo subdoména na nesúvisiacej doméne (example.com.secure-verify.net). Viac v článku podobné domény a typosquatting.
2. Certifikát. Prehliadače ukážu zámok pri každom webe s platným certifikátom, preto si ho útočník pre doménu vybaví. Tento certifikát sa zapíše do záznamov Certificate Transparency.
3. Kópia vašej stránky. Často je to vaše vlastné HTML s upravenou adresou formulára, takže prihlasovacie údaje odchádzajú inam. Niektoré varianty preposielajú údaje na váš skutočný web v reálnom čase, čím dokážu zachytiť aj jednorazové kódy.
4. Šírenie. E-mail, SMS, správy na sociálnych sieťach alebo platené reklamy, ktoré vedú na kópiu.

Prvé 2 kroky zanechávajú stopy, ktoré sa dajú zachytiť skôr, než stránku uvidí veľa ľudí.

Ako ich včas odhaliť

Sledujte vydávanie certifikátov. Prehľadávajte záznamy Certificate Transparency a hľadajte v nich názvy s vašou značkou, napríklad na crt.sh s dopytom ako %example%. Nový certifikát pre example-account-check.com, ktorý ste nežiadali, treba preveriť. Čo tieto záznamy ukazujú, vysvetľujeme v článku o záznamoch Certificate Transparency.

Sledujte nové podobné domény. Nástroje ako dnstwist vypíšu zaregistrované varianty vašej domény a s voľbou --lsh porovnajú ich HTML s vaším:

dnstwist --lsh https://example.com/login example.com

Vysoké skóre podobnosti pri doméne, ktorú nevlastníte, je silný signál.

Všímajte si, čo hlásia používatelia. Tikety na podporu typu „prihlásil som sa, ale nič sa nestalo“ alebo „váš web pýtal kód dvakrát“ bývajú často prvým signálom. Dajte podpore jednoduchý spôsob, ako podozrivé odkazy preposlať tomu, kto rieši bezpečnosť.

Prejdite vlastné logy. Niektoré kópie načítavajú obrázky, skripty alebo písma priamo z vášho webu. Požiadavky na vaše súbory s hlavičkou Referer z neznámej domény vás môžu ku kópii priviesť.

Ako dať falošnú prihlasovaciu stránku odstrániť

Všetky hlásenia podajte naraz, nie postupne:

1. Blokovacie zoznamy prehliadačov. Nahláste URL do Google Safe Browsing a Microsoftu. Keď sa stránka dostane na zoznam, veľké prehliadače pred jej načítaním zobrazia varovanie. To chráni ľudí aj vtedy, keď je web ešte online.
2. Komunita proti phishingu. Anti-Phishing Working Group žiada preposielať phishingové e-maily na reportphishing@apwg.org.
3. Registrátor. Zistite ho cez whois a použite jeho kontakt na hlásenie zneužitia. Registrátori akreditovaní pri ICANN musia podľa článku 3.18 Registrar Accreditation Agreement z roku 2013 zverejniť kontakt na hlásenie zneužitia a hlásenia primerane a bezodkladne prešetriť.
4. Poskytovateľ hostingu. Zistite IP adresu cez dig example-login.com +short, potom vlastníka siete cez whois <ip> a stránku nahláste na jeho adresu pre zneužitie (abuse).

Dobré hlásenie je krátke a overiteľné: presná URL, snímka obrazovky, čas, kedy ste stránku videli, vaša skutočná doména a veta, že stránka napodobňuje vaše prihlásenie, aby zbierala prístupové údaje. Na falošnej stránke sa neskúšajte prihlásiť a nerobte na nej nič viac, než treba na zdokumentovanie.

Ako obmedziť škody

Kým stránka zmizne, chvíľu to trvá, preto zariaďte, aby ukradnuté heslo útočníkovi čo najmenej pomohlo:

• Ponúknite a podporujte prihlásenie odolné voči phishingu, napríklad prístupové kľúče (passkeys) alebo bezpečnostné kľúče, ktoré sú viazané na vašu skutočnú doménu a na kópii nefungujú.
• Po hlásení phishingu sledujte nezvyčajné prihlásenia: nové miesta, veľa účtov z jednej IP adresy alebo hromadné obnovy hesiel.
• Povedzte používateľom, kde sa prihlasujú. Pomôže aj krátke upozornenie („prihlásiť sa vás žiadame vždy len na example.com“).
• Nastavte DMARC na vynucovanie na svojej skutočnej doméne, aby e-maily vedúce na kópiu nemohli použiť vašu presnú adresu. Viac v článku SPF, DKIM a DMARC vysvetlené.
• Zabezpečte dotknuté účty a ukončite relácie používateľov, ktorí hlásia, že heslo zadali.

Kontrolný zoznam

• Pravidelné vyhľadávanie vašej značky v záznamoch Certificate Transparency.
• Kontrola podobných domén s porovnaním podobnosti stránok.
• Postup na podpore pre preposielanie podozrivých odkazov.
• Pripravené šablóny hlásení pre Google, Microsoft, APWG, registrátorov a hostingy.
• Prihlásenie odolné voči phishingu, ktoré môžu používatelia zapnúť.

Ako pomáha Datahorses

Datahorses každý deň zvonku sleduje falošné prihlasovacie stránky na podobných doménach, novo vydané certifikáty s vaším menom a známe hlásenia phishingu, ktoré spomínajú vašu značku. Do vašich systémov nevstupujeme a nepotrebujeme žiadne prístupy. Keď nájdeme stránku napodobňujúcu vaše prihlásenie, posúdi ju človek a vy dostanete podrobnosti aj kroky na jej odstránenie, ako opisujeme v časti čo sa stane, keď niečo nájdeme. Ako také zistenie vyzerá, uvidíte v ukážkovom dashboarde.