Mulțumesc, FedEx: de ce phishing-ul încă funcționează

Vă amintiți gluma veche cu „dă click pe link și câștigă un iPhone”? Astăzi nu mai e amuzantă – mai ales când giganți ca FedEx pun singuri lemne pe focul phishing-ului.

Recent, Troy Hunt (da, tipul de la Have I Been Pwned) a povestit cum FedEx a dat-o din nou în bară cu securitatea. Compania trimite e-mailuri cu linkuri care duc la pagini unde ți se cer date personale – exact ca niște phisheri tipici. Doar că acestea sunt notificări oficiale FedEx. Absurd, nu?

Esența incidentului: un client FedEx a primit un e-mail despre o livrare, a dat click pe link, a introdus datele – și abia apoi a realizat că pagina părea suspectă. Dar nu, era site-ul real FedEx. Doar că firma folosește o practică pe care orice specialist în securitate o numește „antipattern”.

Ce a mers prost?

• Linkul duce la un serviciu extern (nu fedex.com) care colectează date.
• E-mailul nu are semne clare de legitimitate (de exemplu, lipsește semnătura digitală).
• Designul paginii de introducere a datelor coincide cu șabloanele tipice de phishing.

Pentru dezvoltatori și fondatori de startup-uri, este o reamintire excelentă: nu copiați comportamentul phisherilor în procesele voastre legitime. Dacă serviciul vostru cere utilizatorului să introducă o parolă sau datele cardului, asigurați-vă că:

• Domeniul coincide cu cel principal.
• Există HTTPS și un certificat valid.
• E-mailurile sunt semnate DKIM/SPF.
• Utilizatorul poate verifica expeditorul.

Comentariul echipei METABYTE: Se pare că și giganții logisticii confundă uneori propriul software cu un simulator de phishing. Când dezvoltați produsele voastre, amintiți-vă: încrederea utilizatorului este fragilă, și un singur link strâmb o poate distruge. Noi ajutăm proiectele să proiecteze pattern-uri UX sigure, care să nu-l facă pe utilizator să se întrebe: „Tu ești sau hackerii?”