Aprender na prática · cerca de 5 minutos
Prática: mensagens suspeitas
Pratique o próximo passo em seis situações diárias. Cada resposta tem uma explicação; você pode pular a pergunta e voltar para ela mais tarde.
As mensagens e endereços são fictícios. Este exercício, não a avaliação de segurança da sua conta. O resultado e as respostas permanecem apenas na página aberta.
Respostas: 0 em 6.
Situação 1 de 6 · SMS
Pagamento adicional pela remessa
Vem aí uma mensagem com o nome da companhia de correios.
Explicação
Uma pequena quantidade e pressão de tempo podem reduzir o estado de alerta. O formulário pode recolher dados do cartão ou iniciar sessão.
Verifique o pacote através de um canal que conhece independentemente do seu SMS. Não utilize os dados de contacto fornecidos nesta mensagem.
O HTTPS protege a conexão à máquina exibida. Ela não confirma quem enviou a mensagem ou se o pagamento é verdadeiro.
O montante, o nome do remetente e o HTTPS não devem substituir uma verificação independente do pedido.
Como verificar a mensagem suspeita →Ver o passo e a explicação propostos
Vou abrir uma aplicação ou página de suporte bem conhecida.
Verifique o pacote através de um canal que conhece independentemente do seu SMS. Não utilize os dados de contacto fornecidos nesta mensagem.
O montante, o nome do remetente e o HTTPS não devem substituir uma verificação independente do pedido.
Como verificar a mensagem suspeita →Situação 2 de 6 · Telefonema
Código do «apoio»
Não estás a iniciar nenhum login neste momento, uma pessoa que alega apoio pede um código.
Explicação
Não partilhe os códigos de login do chamador. Use o seu próprio aplicativo aberto ou os dados de contato conhecidos do serviço.
Saber o nome não confirma a identidade do chamador. O código pode permitir que alguém complete o login.
Não revele nenhuma parte do segredo. Este não é um método para confirmar a identidade do suporte.
O código confirma a sua operação de login; não são informações a serem dadas à pessoa de contato.
Como usar o segundo ingrediente →Ver o passo e a explicação propostos
Não te dou o código, vou terminar a chamada e verificar a conta através do canal oficial.
Não partilhe os códigos de login do chamador. Use o seu próprio aplicativo aberto ou os dados de contato conhecidos do serviço.
O código confirma a sua operação de login; não são informações a serem dadas à pessoa de contato.
Como usar o segundo ingrediente →Situação 3 de 6 · Correio electrónico
Novo Número de Conta
Um novo número de conta aparece no tópico de cooperação existente. A mensagem é escrita corretamente.
Explicação
Se a conta do remetente tiver sido tomada, a resposta pode ser enviada à mesma pessoa que enviou o pedido.
A história da conversa e a linguagem correta não garantem que o novo pedido tenha sido enviado por uma pessoa qualificada.
Use os dados que você tem da cooperação anterior, verificada. Quando você paga, aplique as regras de aprovação em vigor em sua organização.
Um tópico confiável pode ser usado para uma nova solicitação não autorizada. Confirme alterações incomuns de forma independente.
Subtiting em conversas e chat →Ver o passo e a explicação propostos
Vou confirmar a mudança por um número previamente conhecido ou outro canal independente.
Use os dados que você tem da cooperação anterior, verificada. Quando você paga, aplique as regras de aprovação em vigor em sua organização.
Um tópico confiável pode ser usado para uma nova solicitação não autorizada. Confirme alterações incomuns de forma independente.
Subtiting em conversas e chat →Situação 4 de 6 · Notificação do pedido 2FA
Confirmação inesperada
Estás a desligar o telefone, e há outros pedidos de login que não começas.
Explicação
A aceitação pode permitir o login no estrangeiro. O número de notificações não altera este risco.
Não aprovar o login que você não iniciar. Verifique as sessões, senha e métodos de acesso nas configurações da aplicação conhecida.
A remoção de uma aplicação não remove uma sessão estrangeira ou senha divulgada; ela também pode dificultar a recuperação do seu próprio acesso.
Um pedido de aprovação inesperado requer verificar sua conta. Não a aprove para paz de espírito.
Resposta à notificação inesperada 2FA →Ver o passo e a explicação propostos
Vou recusar o pedido e rever a segurança da conta.
Não aprovar o login que você não iniciar. Verifique as sessões, senha e métodos de acesso nas configurações da aplicação conhecida.
Um pedido de aprovação inesperado requer verificar sua conta. Não a aprove para paz de espírito.
Resposta à notificação inesperada 2FA →Situação 5 de 6 · Ligação na mensagem
Nome do serviço antes de @
O remetente pede- lhe para iniciar sessão novamente. No endereço mostrado, você pode ver um nome familiar.
Explicação
O texto antes de @ faz parte dos dados do usuário em URL, não host.
A posição de um nome familiar no início não especifica a máquina. Nesta máquina URL começa após o caractere @.
O host é um session.invalid. Não abra o endereço para verificar isso: seus ingredientes podem ser lidos no inspetor de URL local.
Leia o anfitrião completo, não apenas uma passagem familiar do texto. Isto ainda não é uma revisão da reputação do site.
Como ler URL →Ver o passo e a explicação propostos
session.invalid
O host é um session.invalid. Não abra o endereço para verificar isso: seus ingredientes podem ser lidos no inspetor de URL local.
Leia o anfitrião completo, não apenas uma passagem familiar do texto. Isto ainda não é uma revisão da reputação do site.
Como ler URL →Situação 6 de 6 · Informação por e-mail
Notificação após o seu turno
Apenas um momento atrás você mesmo adiciona a chave-mestra às configurações da aplicação conhecida. Agora você obtém informações sobre a mudança.
Explicação
Você pode confirmar o saldo da sua conta por conta própria. Você não precisa considerar cada mensagem uma fraude ou fazer login através de um link de e-mail.
A compatibilidade de uma mensagem com sua ação não garante a autenticidade de quaisquer pedidos adicionais.
A notificação não requer que a senha seja lançada. Não partilhe segredos em resposta à mensagem.
Avaliar contexto e solicitação. Confirmação em uma aplicação conhecida fornece uma base melhor do que a aparência de e-mail em si.
Login com chave mestra na prática →Ver o passo e a explicação propostos
Vou verificar a alteração em uma aplicação conhecida; compatibilidade tempo e ação é um contexto útil.
Você pode confirmar o saldo da sua conta por conta própria. Você não precisa considerar cada mensagem uma fraude ou fazer login através de um link de e-mail.
Avaliar contexto e solicitação. Confirmação em uma aplicação conhecida fornece uma base melhor do que a aparência de e-mail em si.
Login com chave mestra na prática →Resumo dos exercícios
Este resultado descreve apenas as respostas a exemplos. Não confirma resistência ao phishing ou à segurança da conta.
Vale a pena praticar.
- Envio adicional: Como verificar a mensagem suspeita
- Código para «suporte»: Como utilizar o segundo ingrediente
- Novo número de conta: personificando-se em conversas e bate-papo
- Confirmação inesperada: Resposta à notificação 2FA inesperada
- Nome do serviço antes de @: Como ler URL
- Notificação após sua alteração: Entrar com a chave mestra na prática
Nestes exemplos, todas as etapas propostas foram selecionadas. Na situação real, continue a verificar o pedido através de um canal independente.
Quais são os exercícios baseados?
Exemplos são originais. As regras para verificar solicitações, proteger códigos e ler endereços descrevem as fontes abaixo.
- NIST — phishing e verificação independente dos pedidos
- FTC — reconhecimento e evitação de phishing
- OWASP — Restrições e ataques contra o MFA
- WHATWG — componentes de URL
Você tem uma mensagem realmente suspeita agora? Vá para o plano de ação →