Просим встать настоящий ?

Вторник, 30 марта 2010 г.

В нашей недавней публикации
в блоге Google Online Security Blog,
мы описали нашу систему для выявления фишинговых страниц. Из миллионов веб-страниц, которые наши
сканеры анализируют на предмет фишинга, мы успешно определяем 9 из 10 фишинговых страниц. Наша
система классификации ошибочно принимает нефишинговый сайт за фишинговый лишь примерно в 1 из
10 000 случаев, что значительно лучше аналогичных систем. По нашему опыту, такие «ложноположительные»
сайты обычно создаются для рассылки спама или могут быть связаны с другой подозрительной
деятельностью. Если вы обнаружили, что ваш сайт по ошибке был добавлен в наш список фишинговых страниц («Reported Web
Forgery!»), пожалуйста,
сообщите
ошибку нам. С другой стороны, если ваш сайт был добавлен в наш список вредоносного ПО («Этот сайт
может нанести вред вашему компьютеру»), вам следует следовать инструкциям по
устранению проблем с вредоносным ПО,
Наша команда старается рассматривать все жалобы в течение одного дня, и обычно мы отвечаем в течение нескольких
часов.

К сожалению, иногда при попытке проверить ваши жалобы мы обнаруживаем, что находимся в таком же
затруднении, как и наша автоматизированная система. Если вы управляете веб-сайтом, вот несколько простых рекомендаций,
которые позволят нам быстро исправить любые ошибки и помогут уберечь ваш сайт от попадания в наш список фишинговых страниц в
первую очередь.

Не запрашивайте имена пользователей и пароли, которые не принадлежат вашему сайту.

Мы по определению считаем такое поведение фишингом, поэтому не делайте этого! Если вы хотите предоставить дополнительный
сервис для другого сайта, рассмотрите возможность использования публичного API или
OAuth вместо этого.

Избегайте отображения чужих логотипов рядом с полями входа в систему.

Человек, путешествующий по сети, может ошибочно принять логотип за символ вашего сайта и может
быть введен в заблуждение, введя на вашем сайте личные данные, которые предназначались для другого
сайта. Кроме того, мы не всегда можем быть уверены, что вы не делаете это намеренно, поэтому мы можем заблокировать
ваш сайт в целях безопасности. Во избежание недоразумений мы рекомендуем проявлять осторожность
при отображении таких логотипов.

Минимизируйте количество доменов, используемых вашим сайтом, особенно для входа в систему.

Запрос имени пользователя и пароля для Сайта X выглядит очень подозрительно на Сайте Y. Помимо того, что нам
становится сложнее оценивать ваш сайт, вы можете непреднамеренно приучать своих посетителей игнорировать подозрительные URL, делая их более уязвимыми для реальных фишинговых атак. Если страница входа
обязательно должна располагаться на домене, отличном от вашего основного сайта, рассмотрите возможность использования
прозрачного прокси
чтобы пользователи могли получить доступ к этой странице с вашего основного домена. Если ничего не помогает…

Упростите поиск ссылок на ваши страницы

Нам (и вашим пользователям) трудно определить, кто контролирует стороннюю страницу на вашем
сайте, если ссылки на нее с основного сайта трудно найти. Все, что нужно для решения
этой проблемы, — это чтобы каждая сторонняя страница содержала обратную ссылку на страницу вашего же домена, которая ссылается на нее. Если
вы этого не сделали и одна из ваших страниц по ошибке попала в наш список, укажите в своем отчете об ошибке, как мы можем найти ссылку с вашего основного сайта на ошибочно заблокированную страницу.
Однако, если вы больше ничего не делаете…

Не отправляйте странные ссылки по электронной или мгновенной почте

Нам практически невозможно проверить необычные ссылки, которые появлялись только в ваших электронных письмах
или мгновенных сообщениях. Хуже того, использование таких ссылок приучает ваших пользователей/клиентов/друзей
кликать по странным ссылкам, получаемым по электронной или мгновенной почте, что может подвергнуть их риску других
преступлений в Интернете
помимо фишинга.

Хотя мы надеемся, что вы считаете эти рекомендации здравым смыслом, мы время от времени видим, как крупные компании электронной коммерции
и финансовые организации нарушают эти правила. Их соблюдение не только
улучшит ваш опыт взаимодействия с нашими системами защиты от фишинга, но и поможет обеспечить вашим посетителям
более удобный поиск в сети.

Автор: Колин Уиттакер, команда по борьбе с фишингом