Minitest bezpečnosti prohlížečů: na phishingu pohořel Firefox i IE9

Sakra drahé rybaření

Prohlížeče dnes mezi sebou bojují rychlostí, designem, funkcemi a také bezpečností. První položka je snadno měřitelná, a proto jsme v poslední době přinesli už dva megatesty rychlosti. Design a množství funkcí závisí na potřebách uživatelů, je tedy těžké určit nějaké pořadí. Ale co bezpečnost? Také porovnatelná veličina, dnes se na ni soustředíme.

Článek, respektive test vznikl úplně náhodou. Dnes mi do testovací schránky přistál podvržený e-mail z České spořitelny. (Zpráva byla poctivě vyřazena antispamovým filtrem Hotmailu.) A protože u této banky mám náhodou účet, znám vcelku dobře i její stránky, takže jsem chtěl vyzkoušet, jestli bych se jako laik nechal nachytat.

Druhou náhodou bylo, že jsem zprávu otevřel v Chrome, kde mě při klepnutí na odkaz prohlížeč upozornil, že se jedná o podvodnou stránku. A po ignoraci hlášky zase. Namátkou jsem stejný postup vyzkoušel ve Firefoxu 4 a ejhle, žádná varovná hláška. Proto jsem minitest provedl ještě na dalších čtyřech prohlížečích.

Stal jsem se obětí phishingu. To znamená, že se k vám dostane zpráva s odkazem na podvrženou stránku, která vypadá stejně jako ta originální. Vytvořit ji není problém, stačí uložit stránku v prohlížeči jako běžné HTML a následně upravit tak, aby vyplněný přihlašovací formulář neodeslal data do banky, ale do počítače útočníka. Ten se pak může přihlásit místo vás a vybílit vaše konto.

V „ideálním“ případě by člověk neměl vůbec poznat, že web není pravý. Asi úplná minorita uživatelů skutečně používá zabezpečené DNSSEC a kontroluje certifikáty HTTPS/SSL. Stačí, že vidí podobnou stránku a nepojme podezření.

Jenže tento případ byl vytvořen úplným mamlasem. Mě osobně jako první bilo do očí jiné jméno odesílatele a také e-mail (běžně ČS používá cic@csas.cz). Výraznějším kopancem by měla být polovičatá lokalizace – diakritika občas je, občas chybí. Banka by si v oficiálních e-mailech něco takového neměla dovolit. (V mém případě mě už trklo, že ČS posílá e-mail o nepřečtené zprávě v systému Servis 24. Běžně mi takový notifikace nepřicházejí.)

Když už na odkaz klepnete, opravdu se objeví podobná stránka, byť s vyžadovanými informacemi navíc. Na levém snímku je phishingová stránka, všimněte si nesmyslné adresy. Napravo je originální stránka navíc podepsaná certifikátem.

Vychytralý útočník chce zjistit i CVC/CVV kód a číslo karty, tyto údaje jinak nikdy nezadáváte.

Phishingovou stránku, na níž odkazuje e-mail, najdete zde.

Testované prohlížeče:

• Firefox 3.6.16
• Firefox 4.0
• Chrome 10.0.648.204
• Internet Explorer 9.0.8112.16421
• Opera 11.01.1190
• Safari 5.0.4. (7533.20.27)