Martes, 30 de marzo de 2010
En nuestra publicación reciente
en el Google Online Security Blog,
describimos nuestro sistema para identificar páginas de phishing. De los millones de páginas web que nuestros
escáneres analizan en busca de phishing, identificamos con éxito 9 de cada 10 páginas de phishing. Nuestro
sistema de clasificación marca incorrectamente un sitio que no es de phishing como un sitio de phishing solo alrededor de 1 de
cada 10.000 veces, lo cual es significativamente mejor que sistemas similares. Según nuestra experiencia, estos sitios “falsos
positivos” suelen estar construidos para distribuir spam o pueden estar involucrados en otra actividad
sospechosa. Si descubre que su sitio se ha agregado a nuestra lista de páginas de phishing (“Reported Web
Forgery!”) por error,
informe
el error a nosotros. Por otro lado, si su sitio se ha agregado a nuestra lista de malware (“Este sitio
puede dañar su computadora”), debe seguir las instrucciones sobre
cómo solucionar problemas con malware,
Nuestro equipo intenta atender todas las quejas en un plazo de un día y normalmente respondemos en pocas
horas.
Desafortunadamente, a veces, cuando intentamos hacer un seguimiento de sus informes, descubrimos que estamos tan
confundidos como nuestro sistema automatizado. Si administra un sitio web, aquí tiene algunas pautas simples que
nos permitirán solucionar rápidamente cualquier error y ayudar a mantener su sitio fuera de nuestra lista de páginas de phishing en
primer lugar.
No solicite nombres de usuario y contraseñas que no pertenezcan a su sitio.
Consideramos que este comportamiento es phishing por definición, ¡así que no lo haga! Si desea proporcionar un servicio
complementario a otro sitio, considere usar una API pública u
OAuth en su lugar.
Evite mostrar logotipos que no sean suyos cerca de los campos de inicio de sesión.
Alguien que navega por la web puede creer erróneamente que el logotipo representa su sitio web y puede
ser engañado para que ingrese información personal en su sitio que pretendía para el otro
sitio. Además, no siempre podemos estar seguros de que no lo esté haciendo intencionalmente, por lo que podríamos bloquear
su sitio por seguridad. Para evitar malentendidos, recomendamos extremar las precauciones
al mostrar estos logotipos.
Minimice el número de dominios utilizados por su sitio, especialmente para los inicios de sesión.
Pedir un nombre de usuario y una contraseña para el Sitio X parece muy sospechoso en el Sitio Y. Además de dificultar
que evaluemos su sitio web, es posible que esté enseñando inadvertidamente a sus visitantes a ignorar URLs sospechosas, haciéndolos más vulnerables a intentos reales de phishing. Si debe tener su
página de inicio de sesión en un dominio diferente al de su sitio principal, considere usar un
proxy transparente
para permitir que los usuarios accedan a esta página desde su dominio principal. Si todo lo demás falla…
Facilite la búsqueda de enlaces a sus páginas
Es difícil para nosotros (y para sus usuarios) determinar quién controla una página fuera del dominio en su
sitio si los enlaces a esa página desde su sitio principal son difíciles de encontrar. Todo lo que se necesita para aclarar
este problema es que cada página fuera del dominio enlace a una página dentro del dominio que enlace a ella. Si
no ha hecho esto y una de nuestras páginas termina en nuestra lista por error, mencione en su informe de errores cómo podemos encontrar el enlace desde su sitio principal a la página bloqueada erróneamente.
Sin embargo, si no hace nada más…
No envíe enlaces extraños por correo electrónico o mensajería instantánea
Es casi imposible para nosotros verificar enlaces inusuales que solo aparecieron en sus correos electrónicos o
mensajes instantáneos. Peor aún, usar este tipo de enlaces condiciona a sus usuarios/clientes/amigos a
hacer clic en enlaces extraños que reciben a través de correo electrónico o mensajería instantánea, lo que puede ponerlos en riesgo de otros
delitos de Internet
además del phishing.
Si bien esperamos que considere que estas recomendaciones son de sentido común, hemos visto a grandes empresas de comercio electrónico
y financieras romper estas pautas de vez en cuando. Seguir estas pautas no solo
mejorará su experiencia con nuestros sistemas anti-phishing, sino que también ayudará a proporcionar a sus visitantes
una mejor experiencia en línea.
Cómo lo aplicamos
We archive Search Central announcements because client questions often trace back to a change that was announced years ago. Reading the original is faster than reconstructing it from second-hand summaries.
Servicios relacionados