Обучение на практике – около 5 минут
Практика: подозрительные сообщения
Практикуйте следующий шаг в шести ежедневных ситуациях. У каждого ответа есть объяснение; вы можете пропустить вопрос и вернуться к нему позже.
Сообщения и адреса вымышленные. Это упражнение, а не оценка безопасности вашей учетной записи. Результат и ответы остаются только на открытой странице.
Ответ: 0 из 6.
Ситуация 1 из 6 · СМС
Дополнительная оплата груза
Появляется сообщение с именем курьерской компании.
Объяснение
Небольшое количество и временное давление могут снизить бдительность.Форма может собирать данные карты или логина.
Проверьте пакет через канал, который вы знаете независимо от вашего SMS.Не используйте контактные данные, указанные в этом сообщении.
HTTPS защищает соединение с отображаемым хостом. Он не подтверждает, кто отправил сообщение или является ли оплата истинной.
Сумма, имя отправителя и HTTPS не должны заменять независимую проверку запроса.
Как проверить подозрительное сообщениеСм. предлагаемый шаг и объяснение
Я открою известную страницу приложения или оператора.
Проверьте пакет через канал, который вы знаете независимо от вашего SMS.Не используйте контактные данные, указанные в этом сообщении.
Сумма, имя отправителя и HTTPS не должны заменять независимую проверку запроса.
Как проверить подозрительное сообщениеСитуация 2 из 6 · Телефонный звонок
Код для «поддержки»
Ты не начинаешь никакой вход в систему прямо сейчас. Человек, заявляющий о поддержке, требует кода.
Объяснение
Не делитесь кодами входа в систему вызывающего абонента. Используйте собственное открытое приложение или известные контактные данные службы.
Знание имени не подтверждает личность абонента.Код может позволить кому-то завершить логин.
Не раскрывайте никакой части секрета. Это не способ подтвердить личность опоры.
Код подтверждает вашу работу входа в систему; это не информация, которая должна быть предоставлена контактному лицу.
Как использовать второй ингредиентСм. предлагаемый шаг и объяснение
Я не дам вам код, я закончу звонок и проверю аккаунт через официальный канал.
Не делитесь кодами входа в систему вызывающего абонента. Используйте собственное открытое приложение или известные контактные данные службы.
Код подтверждает вашу работу входа в систему; это не информация, которая должна быть предоставлена контактному лицу.
Как использовать второй ингредиентСитуация 3 из 6 · Электронная почта
Новый номер счета
В существующей ветке сотрудничества появляется новый номер счета. Сообщение написано правильно.
Объяснение
Если аккаунт отправителя был захвачен, ответ может быть отправлен тому же лицу, которое отправило запрос.
История разговора и правильный язык не гарантируют, что новый запрос был отправлен квалифицированным человеком.
Используйте данные, которые у вас есть от предыдущего проверенного сотрудничества. Когда вы платите, применяйте правила одобрения, действующие в вашей организации.
Доверенная нить может быть использована для нового, несанкционированного запроса. Подтвердить необычные изменения самостоятельно.
Субтитры в разговорах и чатеСм. предлагаемый шаг и объяснение
Я подтвержу изменение по ранее известному номеру или другому независимому каналу.
Используйте данные, которые у вас есть от предыдущего проверенного сотрудничества. Когда вы платите, применяйте правила одобрения, действующие в вашей организации.
Доверенная нить может быть использована для нового, несанкционированного запроса. Подтвердить необычные изменения самостоятельно.
Субтитры в разговорах и чатеПоложение 4 из 6 · Уведомление о применении 2FA
Неожиданное подтверждение
Вы отключаете телефон, и есть другие запросы на вход в систему, которые вы не запускаете.
Объяснение
Приемка может разрешить иностранный логин.Число уведомлений не меняет этот риск.
Не одобряйте логин, который вы не запускаете.Проверяйте сеансы, пароль и методы доступа в настройках известного приложения.
Удаление приложения не удаляет чужую сессию или пароль; это также может затруднить восстановление вашего собственного доступа.
Неожиданный запрос на одобрение требует проверки вашей учетной записи.
Ответ на неожиданное уведомление 2FAСм. предлагаемый шаг и объяснение
Я отклоню запрос и сам проверю безопасность аккаунта.
Не одобряйте логин, который вы не запускаете.Проверяйте сеансы, пароль и методы доступа в настройках известного приложения.
Неожиданный запрос на одобрение требует проверки вашей учетной записи.
Ответ на неожиданное уведомление 2FAСитуация 5 из 6 · Ссылка в сообщении
Название сервиса до @
Отправитель просит вас снова войти в систему. В указанном адресе вы можете увидеть знакомое имя.
Объяснение
Текст перед @ является частью данных пользователя в URL, а не хостом.
Положение знакомого имени сначала не указывает хост. В этом URL-хосте начинается после символа @.
Хост - это session.invalid. Не открывайте адрес, чтобы проверить это: его ингредиенты можно прочитать в локальном URL-инспекторе.
Прочитайте полный хост, а не просто знакомый отрывок текста. Это все равно не обзор репутации сайта.
Как читать URLСм. предлагаемый шаг и объяснение
недействительный
Хост - это session.invalid. Не открывайте адрес, чтобы проверить это: его ингредиенты можно прочитать в локальном URL-инспекторе.
Прочитайте полный хост, а не просто знакомый отрывок текста. Это все равно не обзор репутации сайта.
Как читать URLСитуация 6 из 6 · Информация по электронной почте
Уведомление после вашей смены
Буквально минуту назад вы сами добавите пароль к настройкам известного приложения. Теперь вы получаете информацию об изменении.
Объяснение
Вы можете подтвердить баланс своей учетной записи самостоятельно. Вам не нужно считать каждое сообщение мошенничеством или входить через ссылку электронной почты.
Совместимость одного сообщения с вашим действием не гарантирует подлинность каких-либо дальнейших запросов.
Уведомление не требует освобождения пароля. Не делитесь секретами в ответ на сообщение.
Подтверждение в известном приложении обеспечивает лучшую основу, чем сам внешний вид электронной почты.
Логин с ключом на практикеСм. предлагаемый шаг и объяснение
Я проверю изменение в известном приложении; совместимость по времени и действиям - это полезный контекст.
Вы можете подтвердить баланс своей учетной записи самостоятельно. Вам не нужно считать каждое сообщение мошенничеством или входить через ссылку электронной почты.
Подтверждение в известном приложении обеспечивает лучшую основу, чем сам внешний вид электронной почты.
Логин с ключом на практикеРезюме упражнений
Этот результат лишь описывает ответы на примеры. Он не подтверждает устойчивость к фишингу или безопасности аккаунта.
Это стоит практиковать.
- Дополнительная доставка: как проверить подозрительное сообщение
- Код для «поддержки»: как использовать второй ингредиент
- Новый номер счета: имитирование в разговорах и чате
- Неожиданное подтверждение: ответ на неожиданное уведомление 2FA
- Название сервиса до @: Как читать URL
- Уведомление после изменения: вход с ключом на практике
В этих примерах отобраны все предложенные шаги.В реальной ситуации продолжайте проверять запрос по независимому каналу.
На чем основаны упражнения?
Примеры являются оригинальными. Правила проверки запросов, защиты кодов и адресов чтения описывают источники ниже.
- NIST — фишинг и независимая проверка запросов
- FTC — распознавание и предотвращение фишинга
- OWASP - Ограничения и нападения на МИД
- WHATWG — URL-компоненты
У вас есть реальное подозрительное сообщение? Перейдите к плану действий