Переход от контекста сообщения к независимо проверенному месту назначения

Сделайте паузу, если сообщение меняет ожидаемую задачу

Расценивайте неожиданный запрос на вход, срочное предупреждение об учетной записи, выигрыш, корректировку платежа, файл, расширение, QR-код или просьбу перейти на другую платформу как новую задачу, даже если это происходит в давно существующем чате. В руководстве CISA по фишингу обращается внимание на неожиданные запросы, срочные формулировки и подозрительные ссылки или вложения, а также рекомендуется сообщать о них по доверенным каналам вместо взаимодействия. Проверьте, соответствуют ли отправитель, время и запрос контексту беседы, но не полагайтесь на отображаемое имя или знакомое фото профиля. С аккаунта известного человека также может быть отправлено то, чего он не планировал. Если требуется подтверждение, используйте отдельный канал связи или ранее сохраненный контакт, а не контактные данные, указанные в самом сообщении.

Изучите место назначения, не открывая его

Используйте поддерживаемую приложением информацию о ссылке или предпросмотр по долгому нажатию, чтобы прочитать имя хоста без загрузки страницы. Обращайте внимание на подмененные символы, вводящие в заблуждение поддомены, сокращенные ссылки, IP-адреса, неожиданные порты, закодированные параметры перенаправления или несоответствие между видимым текстом и адресом перехода. Не редактируйте подозрительный адрес вручную, пытаясь придать ему правильный вид, и не вставляйте частные приглашения или токенизированные ссылки в общедоступные сканеры, поскольку сама ссылка может предоставлять доступ. HTTPS и значок замка описывают безопасность соединения, а не честность владельца сайта; в справке Chrome безопасность соединения явно отделяется от доверия к сайту. Если целевая страница выдает себя за известный сервис, перейдите к нему независимо — через сохраненную закладку, установленное приложение или проверенную вручную официальную страницу.

Классифицируйте запрашиваемое действие перед тем, как продолжить

Страница, на которой отображается только общедоступная информация, существенно отличается от страницы, запрашивающей вход в систему, одноразовый код, действия по восстановлению, скачивание, оплату, разрешения браузера, установку профиля или стороннюю установку приложения (sideload). Обозначьте категорию действия перед принятием решения. Аутентификация должна начинаться со штатной точки входа в сервис, а не по ссылке из чата. NIST описывает устойчивые к фишингу протоколы как связывающие аутентификацию с легитимным верификатором или защищенным каналом, а не полагающиеся исключительно на оценку человеком; обычные пароли и вводимые вручную одноразовые коды этим свойством не обладают. Даже если учетная запись предлагает метод с защитой от фишинга, не подтверждайте неожиданные запросы. Отмените действие и начните заново через официальное приложение или закладку.

Проектируйте элементы управления продуктом вокруг мест назначения, а не эмоциональных предупреждений

Приложение-компаньон может показывать фактическое имя хоста рядом со ссылкой, помечать перенаправления, избегать автоматического открытия внешних страниц, ограничивать расширенный предпросмотр, загружающий приватные URL, отличать загрузку файлов от обычного перехода по страницам и предоставлять функцию жалобы, сохраняющую только необходимый технический контекст. Оно не должно объявлять опасной каждую внешнюю ссылку или отображать пугающие таймеры обратного отсчета. Для адресов, контролируемых сервисом, используйте фиксированные маршруты из белого списка, а не произвольные параметры перенаправления. Руководство OWASP по перенаправлениям рекомендует сопоставлять безопасные адреса или строго валидировать цели. Процесс отправки жалоб должен позволять пользователю исключать содержимое переписки, где это возможно, и объяснять, какие метаданные будут переданы. Элементы управления снижают неопределенность, но не гарантируют безопасность каждого адреса; неизвестный результат остается поводом воспользоваться независимой навигацией.

Используйте четкую последовательность действий по сообщению об инциденте и восстановлению

Если вы не открывали ссылку, пожалуйтесь на нее с помощью соответствующей функции приложения или через контакты подделываемого сервиса, найденные независимо, а затем удалите сообщение согласно опциям продукта. Зафиксируйте время сообщения, отображаемого отправителя, видимое имя хоста и номер обращения, не копируя конфиденциальный текст. Если вы открыли страницу, но ничего не вводили, закройте ее, отмените загрузки и проверьте список скачанных файлов и разрешения в браузере. Если вы ввели учетные данные или одобрили неожиданный запрос на аутентификацию, перейдите напрямую к настоящему сервису известным путем, следуйте актуальной процедуре безопасности учетной записи, проверьте активные сессии и смените скомпрометированные данные согласно инструкциям. Прекратите любое взаимодействие с исходным отправителем и не рассчитывайте на то, что удаление сообщения стирает копии или логи на сервере.

Тестируйте лестницу доверия к ссылкам на безопасных примерах

Используйте общедоступную нетокенизированную официальную страницу и безобидный редирект, который вы контролируете, только при наличии соответствующих полномочий. Проверьте, как приложение отображает полное имя хоста, предупреждает ли перед выходом из приложения, как обрабатывает предпросмотр, помечает скачиваемые файлы и предоставляет ли возможность пожаловаться. Не создавайте домены-двойники, не рассылайте вводящие в заблуждение сообщения другим людям и не тестируйте реальные вредоносные URL. Проведите негативный тест: отмените запрос на внешний переход и убедитесь, что не осталось открытых вкладок браузера, начатых загрузок или окон входа в систему. Зафиксируйте версию приложения, устройство, класс ссылки, ожидаемую область и фактический результат. Повторяйте проверку каждый раз, когда в приложении меняется встроенный браузер, поведение предпросмотра ссылок, обработка перенаправлений или процесс отправки жалоб. Цель состоит в том, чтобы выстроить предсказуемый алгоритм принятия решений, а не впадать в постоянную подозрительность при обычном общении.

Продолжить изучение темы