¿Cómo se combate la suplantación/phishing del sitio web?

Question

¿Cuál es su solución sugerida para la amenaza de simulación de interfaz de usuario del sitio web?

Answer 1

La clave de este problema es identificar alguna diferencia entre una solicitud al sitio real y una solicitud al sitio falso.

La diferencia más simple es alguna preferencia de UI basada en cookies. Una cookie establecida en su sitio (real) solo será devuelta a su sitio, y nunca será enviada a un sitio fraudulento.

Ahora hay muchas razones por las cuales la cookie válida podría no enviarse a su sitio, el usuario podría estar usando una computadora diferente o podrían haber caducado/eliminado las cookies, pero al menos puede garantizar que no lo hará ser enviado al sitio falso.

Answer 2

Una solución es personalizar el sitio web por usuario. La suplantación solo funciona cuando los usuarios tienen básicamente la misma vista del sitio web (una sola parodia, muchas víctimas). Entonces, si, por ejemplo, eBay le permite configurar un color de fondo personalizado, debería poder notar que la página que está viendo es una parodia (que no conocerá su color de elección). Una solución real es un poco más compleja (como una palabra clave secreta configurada en el navegador que solo el navegador puede mostrar dentro de los controles de contraseña o en la barra de direcciones, etc.), pero la idea es la misma.

Personalice la interfaz de usuario por usuario para que la suplantación (que depende de la mayoría de los usuarios que esperan ver básicamente la misma interfaz de usuario) deje de funcionar. Puede ser una solución basada en navegador, o algo que los sitios web ofrecen a sus usuarios (algunos ya lo hacen).

Answer 3

He visto algunos sitios que le permiten seleccionar un ícono "personal". Cada vez que inicie sesión, ese icono se muestra como prueba de que se encuentra en su sitio.

Answer 4

• Puede hacer una pregunta cuando el usuario inicia sesión (una pregunta que el usuario ha escrito con la respuesta).

• Puede mostrar una imagen después del inicio de sesión que el usuario ha cargado, si el usuario no ve su imagen (privada que solo él podía ver) que no es el sitio web real.

Answer 5

Por definición, cualquier solución que se basa en el sitio que le muestra información personalizada una vez que haya entrado en el sistema es ineficaz contra los estafadores. Si ha intentado iniciar sesión, ya han tenido éxito!

FWIW, aún no conozco la respuesta real, tal vez esta pregunta arroje algunas buenas ideas. Sin embargo, estoy involucrado profesionalmente en la investigación de phishing, registros de dominios incorrectos, etc.

No creo que haya ninguna solución técnica significativa que los desarrolladores de sitios web puedan implementar. De nuevo, por definición, si sus usuarios llegan a un sitio de phishing, ya no tienen el control.

Es por eso que todas las tecnologías antiphishing actuales residen en el navegador y no en el sitio de phishing.

Answer 6

Creo que la única respuesta aquí es programar a mejores personas.

Hacer cosas como personalizar la apariencia o cargar una imagen solo funciona si el usuario en las preguntas realmente reconoce cuando estas cosas son incorrectas. Creo que la mayoría de los usuarios nunca reconocería estas cosas, excepto los sitios que visitan mucho. Incluso si lo hicieran, podrían atribuirlo a un cambio en el diseño del sitio web y no a un phishing.