Võltsitud CAPTCHA testidest on viimastel kuudel saanud üks kiiremini kasvavaid veebipettusi, kuna ründajad on õppinud, et inimesed usaldavad automaatselt tuttavat „Ma ei ole robot” kasti ja klõpsavad sellel peaaegu mõtlemata. See rutiin on nüüd küberkurjategijatele suureks õnnistuseks.
Teid võiks huvitada
Klassikaline CAPTCHA loodi kaitseks robotite ja rämpspostikontode eest. Tavaliselt palutakse kasutajal märkida valgusfooride pilte, kopeerida tegelasi või lihtsalt kinnitada, et tegemist on inimestega. Moodsam variantys töötavad veelgi diskreetsemalt ja kontrollivad kasutajaid taustal nende veebikäitumise põhjal. Kuid just selle süsteemi usaldusväärsust on ründajad hakanud massiliselt kuritarvitama.
Pettus algab tavaliselt märkamatult. Ekraanile ilmub võltsitud turvakontroll, mis näeb välja nagu tavaline kinnitus. Erinevus seisneb selles, et kui sellel klõpsate, järgneb... nestja standardsed juhised. Mõned saidid soovivad avada SMS-rakenduse ja saata eelnevalt ettevalmistatud sõnumi välismaisele numbrile. Teised paluvad kasutajatel käivitada süsteemikäsu, alla laadida faili või kleepida teksti süsteemiaknasse. Ja just nii installitakse pahavara sageli.
Turvaeksperdid hoiatavad, et võltsitud CAPTCHA-rünnakuid ei kasutata tänapäeval mitte ainult koheseks finantspettuseks. Need on sageli esimene samm palju tõsisema rünnaku suunas. Pahavara saab seejärel varastada salvestatud paroole, sisselogimisandmeid, brauseri sisu või pääseda ligi internetipangale. Mõned rünnakud toimivad isegi ilma faile kettale salvestamata, mistõttu on neid tavalise viirusetõrje abil palju raskem tuvastada.
Just lihtsus muudab seda tüüpi pettuse nii ohtlikuks. Ründajad ei tugine tehnilisele teadmatusele, vaid automaatsele inimkäitumisele. Enamik kasutajaid peab CAPTCHA testi interneti normaalseks osaks, mistõttu nad kaotavad sellega silmitsi seistes sageli valvsuse. Juba saidi keskkond on sageli kahtlane. Arusaamatu veebiaadress, agressiivne hüpikaken või brauseriväline toimingutaotlus võib olla hoiatuseks.
Eksperdid soovitavad pöörata tähelepanu iga kord, kui verifitseerimisel küsitakse midagi ebatavalist. Päris CAPTCHA puhul ei pea kunagi saatma SMS-i, käivitama süsteemikäsklusi ega installima faile. Kui inimene sellisele pettusele klõpsab, peaks ta viivitamatult lehe sulgema, oma seadme internetist lahti ühendama, viirusetõrjekontrolli käivitama ja olulised paroolid teisest turvalisest seadmest vahetama.
