Kuidas tunda õngitsuslink ära enne klõpsamist

Õngitsuslingid on tehtud nii, et need peaksid põgusale pilgule vastu. Brändi nimi on olemas, tabaluku ikoon on olemas ja leht näeb õige välja. URL-i lugemise õppimine nii, nagu seda teeb brauser, võtab paar minutit ja paljastab enamiku allpool kirjeldatud võtetest.

Selle artikli näited kasutavad meie enda domeeni angelforce.eu ja reserveeritud näidisdomeene. Ärge külastage sarnaseid domeene nende testimiseks.

Leidke oluline osa: registreeritav domeen

Veebiaadressil on mitu osa. Ainult üks neist ütleb, kes saiti kontrollib.

https://login.angelforce.eu.account-check.example/session/verify?ref=angelforce.eu

Lugege hostinime paremalt vasakule. Alustage lõpust, .example, ja võtke vasakult üks osa juurde. See paar on registreeritav domeen ja selle registreerija kontrollib kõike, mis jääb sellest vasakule. Meie nimi esineb ülal olevas lingis kaks korda ja kumbki kord ei tähenda midagi.

Mõned domeenilõpud koosnevad kahest või enamast osast. co.uk on avalik järelliide, seega on aadressis shop.example.co.uk registreeritav domeen example.co.uk. Brauserid tuginevad selles kogukonna hallatavale avalike järelliidete loendile (Public Suffix List), näiteks selleks, et tõsta aadressiribal esile domeeni kõige olulisem osa.

Tabalukk ja https tähendavad ainult seda, et ühendus on krüpteeritud. Sertifikaadi võib saada igaüks enda kontrollitavale domeenile, ka ründaja.

Sarnased domeenid

Lihtsaim võte on domeen, mis näeb esmapilgul välja nagu teie oma:

• vahetatud täht: angeIforce.eu, kus väikese l-i asemel on suur I, mis näevad paljudes kirjatüüpides ühesugused välja
• lisasõna: angelforce-security.eu või angelforce-eu.com
• teine domeenilõpp: angelforce.co domeeni angelforce.eu asemel

Ükski neist ei kuulu meile. Igaüks võiks neid registreerida.

Homograafid ja punycode

Domeeninimed võivad sisaldada teiste tähestike tähti. DNS-is salvestatakse need ASCII-kujul, mis algab eesliitega xn-- ja mille loob algoritm nimega Punycode. Kirillitsa täht „а“ näeb enamikus kirjatüüpides välja täpselt nagu ladina „a“, seega:

аngelforce.eu   (first letter is Cyrillic)
xn--ngelforce-zyh.eu   (what DNS actually sees)

Chrome näitab osa nime xn---kujul, kui selles on tähestikud riskantselt segatud, näiteks ladina ja kirillitsa tähed. Samuti tabab see nimed, mis on kirjutatud täielikult sarnase välimusega tähtedega, näiteks аррӏе.com, mida see näitab kujul xn--80ak6aa92e.com, ning populaarsete domeenide jäljendused.

Ärge tuginege ainult sellele. Need kontrollid kaitsevad kõige paremini tuntud domeene ega kehti e-kirjas oleva lingi teksti kohta, mis võib öelda mida tahes. Kui näete ootamatus lingis xn--, käsitlege seda kahtlasena.

@-nipp

Kui @-märk on enne esimest /-märki pärast https://, on kõik selle ees „kasutajateave“, mitte host. RFC 3986 hoiatab, et seda osa saab kujundada nii, et see näeks välja nagu usaldusväärne domeeninimi.

https://www.angelforce.eu@203.0.113.50/login

See link viib serverisse aadressil 203.0.113.50. Osa www.angelforce.eu käsitletakse kasutajanimena, mitte sihtkohana. Õiguspärasel teenusel pole peaaegu kunagi põhjust saata teile linki, milles on @ enne hosti.

Lühendajad ja QR-koodid

Lühilingid ja QR-koodid peidavad sihtkoha kuni klõpsamise või skannimiseni. See on nende eesmärk ja ka põhjus, miks ründajad neid kasutavad. NCSC soovitab olla e-kirjades olevate QR-koodide skannimisel ettevaatlik. Laiendage lühilink enne avamist lingikontrolli tööriistaga või minge selle asemel otse teenusesse.

Avatud suunamised

Mõnel õiguspärasel saidil on suunamisfunktsioon, mis saadab külastajad mis tahes parameetris antud aadressile. OWASP-i kontrollimata suunamiste spikker näitab sellist mustrit:

https://example.com/example.php?url=https://malicious.example.com

Link algab päris, usaldusväärse domeeniga ja just see ongi eesmärk. Otsige parameetreid nagu url=, next=, redirect= või return=, mis sisaldavad teist täielikku aadressi. Teine aadress on tõenäoliselt see, kuhu te lõpuks jõuate.

Eksitavad teed ja alamdomeenid

Brändinimed aadressi teeosas või alamdomeenides ei maksa ründajale midagi:

https://secure-login.example/angelforce.eu/microsoft365/signin
https://angelforce.eu.secure-login.example/

Mõlemad lingid kuuluvad domeenile secure-login.example. Pikad brändinimedega teed, sõnad nagu „secure“, „verify“ või „account“ ja palju juhuslikke märke ei tõenda õngitsust, kuid on põhjus lähemalt vaadata.

Võõrad tippdomeenid

Mõni tippdomeen näeb välja nagu midagi muud. .zip on olnud delegeeritud tippdomeen alates 2014. aastast, seega võib invoice.zip olla veebisait, mitte fail. Failinimega lõppev link ei pruugi üldse olla fail.

Praktilised harjumused

• Hõljutage kursorit lingi kohal või vajutage sellele pikalt enne klõpsamist ja lugege tegelikku sihtkohta, mitte lingi teksti.
• Minge olulistele saitidele ise. Kasutage järjehoidjaid või sisestage aadress ise oma panga, palgasüsteemi ning Microsoft 365 või Google’i sisselogimise jaoks.
• Kontrollige saatjaga teadaoleva kanali kaudu. NCSC soovitab võtta organisatsiooniga otse ühendust selle ametlikul veebisaidil olevate kontaktandmete kaudu, mitte sõnumis toodute kaudu.
• Kasutage paroolihaldurit. See täidab paroole ainult saidil, kuhu need salvestasite, seega ei paku see teie parooli sarnasel domeenil. Pääsuvõtmed lähevad veelgi kaugemale, sest iga pääsuvõti on seotud päris saidiga.
• Jälgige survet. NCSC loetleb petusõnumite levinud konksudena autoriteeti, kiirustamist, emotsioone, nappust ja päevasündmusi.
• Teatage sellest. Kahtlane sõnum, millest teatate, aitab kaitsta teie kolleege, isegi kui te ise ei klõpsanud.

Kust alustada

Kleepige kahtlane link meie lingikontrolli tööriista, et näha, kuhu see tegelikult viib, ilma seda avamata. Kui e-kiri ise tundub kahtlane, näitab meie e-kirja päiste analüüsija, millised serverid seda käsitlesid ja kas SPF, DKIM ja DMARC läbiti.

Kui soovite, et teie meeskond õpiks linke sel viisil lugema, aitab meie nõustamise ja koolituse teenus.