היזהר מהודעות אימייל על איפוס סיסמא עם פעולות מרמה

העצה הנפוצה ביותר עבור משתמשי קצה בכל הבאז סביב הפגיעות של Heartbleed ב- OpenSSL הייתה לאפס סיסמאות המשמשות לאתרי אינטרנט רגישים. מומחים לאבטחה מזהירים את העובדה שאולי אינה העצה הטובה ביותר, על המשתמשים להיות ערניים להתקפות דיוג אפשריות בדרך.

חוקרי אבטחה חשפו פרטים על הפגיעות של Heartbleed בתחילת השבוע ומנהלי שרתים וספקי שירותים ברחבי העולם טרטלו על מנת לבדוק את המערכות שלהם ולסגור את הפגיעות בהקדם האפשרי. כפי שנדון כאן ב- SecurityWatch ו- PCMag.com, ניתן לנצל את באג התוכנה כדי לתפוס פיסות מידע אקראיות בזיכרון המחשב, עלולים להדליף מפתחות פרטיים, נתונים רגישים ותעודות.

בהתחשב ברמת העניין בנושא כאשר החוקרים מגלים את גודל הבעיה וההשלכות שלה, מתקפות דיוג שמתחשות כהודעות על איפוס סיסמא הן סבירות מאוד. קל לדמיין פושעי סייבר ורמאים אחרים משפשפים את ידיהם בשמחה כשהם מתכננים התקפות פיגי -בק.

אל תלחץ!

ארגונים מסוימים כבר טלאו את המערכות שלהם ומפנים באופן יזום ללקוחות לייעץ להם לשנות את הסיסמאות שלהם. לרוע המזל, SecurityWatch ראתה לפחות שני מקרים שבהם הדוא"ל כלל קישור הניתן ללחיצה המוביל משתמשים לאתר לאיפוס הסיסמה. ומה הכלל הראשון של הימנעות מהתקפות דיוג? בואו נגיד את זה יחד: אל תלחצו על קישורים בהודעות דוא"ל!

כפי שראינו בהודעות דואר אלקטרוני מזויפות של PayPal ובנקאות, קל לזייף כותרות דוא"ל ולעצב דוא"ל בעל מראה ריאליסטי מאוד. המשתמשים באתר שנמצאים בסופו של דבר עשויים להיראות כמו הדבר האמיתי.

כדי להיות הוגנים, אנשים משתפרים בזיהוי דוא"ל לאיפוס סיסמה כעל יכול להיות זדוני. עם זאת, דאגות לגבי Heartbleed עשויות להטעות אפילו את המשתמשים הזהירים ביותר. "אם היית חושב 'היי, אולי אני צריך לשנות את הסיסמה של example.com שלי, למקרה, ' ואז מגיע דוא"ל שמטען שהוא מ- example.com שמעביר אותך למסך כניסה שנראה בדיוק כמו example.com … אפשר לסלוח לך רק בגלל ההרגלים והניסיון להתחבר, "כתב פול דוקלין, אוונגליסט ביטחוני בסופוס, בבלוג האבטחה בעירום.

כללי האבטחה עדיין חלים

כן, Heartbleed הוא רציני ויש לו השלכות על אבטחת האינטרנט במשך חודשים ושנים קדימה. אבל זה לא אומר ששכחנו את כל הלקחים על זיהוי דואר זבל ודואר אלקטרוני בנושא דיוג. יש לחשוד בכל דוא"ל שלא התבקש לקבל, גם אם מדובר בחברות שאתה מכיר. אם הדוא"ל מבקש ממך ללחוץ על קישור בתוך ההודעות כדי לאפס את הסיסמה שלך, סמן את הדחף לעשות זאת. בקר באופן ידני באתר ופתח את איפוס הסיסמה ישירות מהאתר.

אם חברות יעצרו לשקול את השלכות האבטחה ולא היו מכניסות קישורים לדף הכניסה בדוא"ל עצמו, זה יהיה הרבה יותר בטוח עבור הלקוחות מכיוון שהם לא ישכילו להקליק על קישורים, טען דוקלין. "אם אף אתרים לגיטימיים מעולם לא מכניסים קישורי כניסה בתכתובת הדוא"ל שלהם, אז ההחלטה אם קישורי כניסה טובים או רעים הופכת להיות טריוויאלית: הם רעים, וזה הסוף לזה, " אמר.

המון עצות בחוץ אומרות למשתמשים לשנות את הסיסמאות שלהם בכל מקום. במקום זאת, עליך לשנות סיסמאות רק באתרים שאישרו שתיקנו את הפגם של Heartbleed. כל דבר אחר יכול בעצם להגדיל את הסיכוי שמידע הפרטי שלך יתפתל, הזהיר דוקלין.