Wird das echte bitte aufstehen?

Dienstag, 30. März 2010

In unserem aktuellen Beitrag
im Google Online Security Blog,
haben wir unser System zur Identifizierung von Phishing-Seiten beschrieben. Von den Millionen von Webseiten, die unsere
Scanner auf Phishing untersuchen, identifizieren wir 9 von 10 Phishing-Seiten erfolgreich. Unser
Klassifizierungssystem kennzeichnet eine Nicht-Phishing-Website nur in etwa 1 von
10.000 Fällen fälschlicherweise als Phishing-Site, was deutlich besser ist als bei ähnlichen Systemen. Unserer Erfahrung nach werden diese „False-
Positive“-Websites normalerweise erstellt, um Spam zu verbreiten, oder stehen möglicherweise mit anderen verdächtigen
Aktivitäten in Verbindung. Wenn Sie feststellen, dass Ihre Website versehentlich zu unserer Phishing-Seitenliste („Reported Web
Forgery!“) hinzugefügt wurde, melden Sie
melden
den Fehler an uns. Wenn Ihre Website dagegen zu unserer Malware-Liste hinzugefügt wurde („Diese Website
kann Ihrem Computer schaden“), sollten Sie die Anweisungen unter
Behebung von Malware-Problemen befolgen,
Unser Team bemüht sich, alle Beschwerden innerhalb eines Tages zu bearbeiten, und wir antworten normalerweise innerhalb weniger
Stunden.

Leider stellen wir manchmal bei dem Versuch, Ihren Berichten nachzugehen, fest, dass wir genauso
verwirrt sind wie unser automatisiertes System. Wenn Sie eine Website betreiben, finden Sie hier einige einfache Richtlinien,
die es uns ermöglichen, Fehler schnell zu beheben und Ihre Website erst gar nicht auf unserer Phishing-Seitenliste landen zu lassen.

Fragen Sie nicht nach Benutzernamen und Passwörtern, die nicht zu Ihrer Website gehören.

Wir betrachten dieses Verhalten per Definition als Phishing, also tun Sie es nicht! Wenn Sie einen Add-on-
Dienst für eine andere Website bereitstellen möchten, ziehen Sie stattdessen die Verwendung einer öffentlichen API oder von
OAuth in Betracht.

Vermeiden Sie es, Logos, die nicht Ihnen gehören, in der Nähe von Anmeldefeldern anzuzeigen.

Jemand, der im Web surft, könnte fälschlicherweise glauben, dass das Logo Ihre Website repräsentiert, und
könnte dazu verleitet werden, persönliche Informationen auf Ihrer Website einzugeben, die für die andere
Website bestimmt waren. Außerdem können wir nicht immer sicher sein, dass Sie dies nicht absichtlich tun, also blockieren wir
Ihre Website möglicherweise zur Sicherheit. Um Missverständnisse zu vermeiden, empfehlen wir Vorsicht
bei der Anzeige dieser Logos.

Minimieren Sie die Anzahl der von Ihrer Website verwendeten Domains, insbesondere für Anmeldungen.

Nach einem Benutzernamen und Passwort für Website X zu fragen, sieht auf Website Y sehr verdächtig aus. Abgesehen davon, dass es
für uns schwieriger wird, Ihre Website zu bewerten, bringen Sie Ihren Besuchern möglicherweise unbewusst bei, verdächtige URLs zu ignorieren, was sie anfälliger für tatsächliche Phishing-Versuche macht. Wenn Sie Ihre
Anmeldeseite unbedingt auf einer anderen Domain als Ihrer Hauptseite haben müssen, sollten Sie die Verwendung eines
transparenten Proxys
in Betracht ziehen, damit Benutzer von Ihrer primären Domain aus auf diese Seite zugreifen können. Wenn alles andere fehlschlägt…

Machen Sie es einfach, Links zu Ihren Seiten zu finden

Es ist für uns (und für Ihre Benutzer) schwierig festzustellen, wer eine Domain-fremde Seite auf Ihrer
Website steuert, wenn die Links zu dieser Seite von Ihrer Hauptseite aus schwer zu finden sind. Alles, was zur Klärung
dieses Problems erforderlich ist, ist, dass jede Domain-fremde Seite auf eine Domain-interne Seite zurückverlinkt, die darauf verlinkt. Wenn
Sie dies nicht getan haben und eine Ihrer Seiten versehentlich auf unserer Liste landet, erwähnen Sie bitte in Ihrem Fehlerbericht, wie wir den Link von Ihrer Hauptseite zu der fälschlicherweise blockierten Seite finden können.
Wenn Sie jedoch sonst nichts tun…

Senden Sie keine seltsamen Links per E-Mail oder IM

Es ist praktisch unmöglich für uns, ungewöhnliche Links zu überprüfen, die nur in Ihren E-Mails oder
Instant Messages erschienen sind. Schlimmer noch: Die Verwendung dieser Art von Links konditioniert Ihre Benutzer/Kunden/Freunde,
auf seltsame Links zu klicken, die sie per E-Mail oder IM erhalten, was sie dem Risiko anderer
Internetkriminalität
neben Phishing aussetzen kann.

Wir hoffen zwar, dass Sie diese Empfehlungen für gesunden Menschenverstand halten, aber wir haben gesehen, dass große E-Commerce–
und Finanzunternehmen diese Richtlinien von Zeit zu Zeit verletzen. Die Befolgung dieser Richtlinien verbessert nicht nur
Ihre Erfahrung mit unseren Anti-Phishing-Systemen, sondern trägt auch dazu bei, Ihren Besuchern
ein besseres Online-Erlebnis zu bieten.

Geschrieben von Colin Whittaker, Anti-Phishing Team