Comment gérez-vous l'usurpation de site Web/phishing?

Question

Quelle est votre solution suggérée pour la menace d'usurpation d'identité de site Web?

Answer 1

La clé de ce problème est d'identifier une différence entre une requête au site réel et une requête au site usurpé.

La différence la plus simple est une préférence d'interface utilisateur basée sur les cookies. Un ensemble de cookies sur votre site (réel) ne sera jamais retourné sur votre site et ne sera jamais envoyé sur un site frauduleux. Maintenant, il existe de nombreuses raisons pour lesquelles le cookie valide peut ne pas être envoyé sur votre site, l'utilisateur peut utiliser un autre ordinateur ou il peut avoir expiré/supprimé des cookies, mais au moins vous pouvez garantir qu'il ne sera pas être envoyé sur le site parodie.

Answer 2

Une solution consiste à personnaliser le site Web par utilisateur. L'usurpation d'identité ne fonctionne que lorsque les utilisateurs ont essentiellement la même vue du site (une usurpation - de nombreuses victimes). Donc, si, par exemple, eBay vous permet de configurer une couleur d'arrière-plan personnalisée, vous devriez être en mesure de remarquer que la page que vous regardez est une usurpation d'identité (qui ne connaîtra pas votre choix de couleur). Une vraie solution est un peu plus complexe (comme peut-être un mot clé secret configuré dans le navigateur que seul le navigateur peut rendre dans les contrôles de mot de passe ou dans la barre d'URL, etc.), mais l'idée est la même.

Personnalisez l'interface utilisateur par utilisateur afin que l'usurpation d'identité (qui repose sur la plupart des utilisateurs s'attendant à voir essentiellement la même interface utilisateur) cesse de fonctionner. Il peut s'agir d'une solution basée sur un navigateur, ou de quelque chose que les sites Web proposent à leurs utilisateurs (certains le font déjà).

Answer 3

J'ai vu certains sites qui vous permettent de sélectionner une icône "personnelle". Chaque fois que vous vous connectez, cette icône est affichée comme preuve que vous êtes sur leur site.

Answer 4

• Vous pouvez poser une question lorsque la connexion de l'utilisateur (une question que l'utilisateur a écrit avec la réponse).

• Vous pouvez afficher une image après le loggin que l'utilisateur a téléchargé, si l'utilisateur ne voit pas son image (privée que lui seul pouvait voir) que ce n'est pas le vrai site Web.

Answer 5

Par définition, toute solution qui repose sur le site que vous montrant des informations personnalisées une fois que vous avez connecté est inefficace contre les phishers. Si vous avez essayé de vous connecter, ils ont déjà réussi! FWIW, je ne connais pas encore la vraie réponse, peut-être que cette question va dégager quelques bonnes idées. Je suis cependant professionnellement impliqué dans la recherche sur l'hameçonnage, les enregistrements de domaines défectueux, etc.

Je ne crois pas qu'il existe une solution technique significative que les développeurs de sites Web peuvent mettre en œuvre. Encore une fois, par définition, si vos utilisateurs arrivent sur un site d'hameçonnage, vous n'avez plus le contrôle. C'est pourquoi toutes les technologies anti-hameçonnage actuelles résident dans le navigateur, et non dans le site phishing.

Answer 6

Je pense que la seule réponse ici est de programmer de meilleures personnes.

Des tâches telles que la personnalisation de l'apparence ou le téléchargement d'une image ne fonctionnent que si l'utilisateur en question reconnaît réellement que ces éléments sont incorrects. Je pense que la majorité des utilisateurs ne reconnaîtrait jamais ces choses, sauf pour les sites qu'ils visitent beaucoup. Même s'ils l'ont fait, ils peuvent l'attribuer à un changement de conception de site Web et non à un hameçonnage.