Πιθανή απόπειρα απάτης στη Paypal

[A350]

Γενικότερα θα πρότεινα για να χεις συνολικά το κεφαλι σου ησυχο να βάλεις κάποια σουίτα προστασίας όπως Norton ή bitdefender (δυστυχως ειναι επί πληρωμή αλλά εφόσον χειρίζεσαι διάφορα τραπεζικά κλπ ίσως είναι κάτι που αξίζει να σκεφτείς, εγώ έχω μια τέτοια συνδρομή στο Bitdefender)

Συνήθως δεν είναι αρκετό Windows Defender + Malwarebytes + uBlock Origin;

 

[akikos]

φυσικα και μπορουν, εχουν εξελιχθει πολύ οι απατες, δεν χρειαζεται να βαλεις τα στοιχεια της καρτας σου αν πχ ο browser σου εχει αποθηκευμενα τα στοιχεια συνδεσης στο ebanking κλπ
Οπότε ναι προσοχή, ποτέ δεν πατάμε link
Είναι πολύ συνηθισμένο να σκεφτούμε "έλα μωρέ απλά να δω τι θα κάνει, δεν προκειται να βαλω στοιχεια".
Ειναι game over μόλις το πατησεις, εαν ο επιτιθεμενος το θελησει και εχει προνοησει να στησει τετοιου ειδους επιθεση. Αυτά ίσχυαν ήδη πριν από καμιά 15αρια χρόνια που τα έψαχνα αυτά, φαντάσου πλέον πόσο πιο σοφιστικέ θα εχουν γινει οι επιθεσεις.

Γιαυτο οπου μπορειτε βαζετε 2FA με κινητο για επαληθευση ειτε login ειτε συναλλαγων

Δεν μπορεί ένα site να έχει πρόσβαση στα δεδομένα ενός άλλου site απομακρυσμένα. Οι σύγχρονοι browser μπλοκάρουν για ιστοσελίδες που δεν εφαρμόζουν το same-origin policy και επιτρέπουν css, csrf υπό φυσιολογικές συνθήκες. Υπάρχουν βέβαια exploits όπως αυτό που ειχε το safari πριν 2 χρόνια αλλά τα φτιάχνουν μόλις γνωστοποιηθούν.

Στο συγκεκριμένο exploit γινόταν μπορούσε ένα site να δει τι site έχει ο χρήστης στο ίδιο session, να πάρει το google user id και να έχει πρόσβαση στις προφιλ φωτος.

Γενικότερα θα πρότεινα για να χεις συνολικά το κεφαλι σου ησυχο να βάλεις κάποια σουίτα προστασίας όπως Norton ή bitdefender (δυστυχως ειναι επί πληρωμή αλλά εφόσον χειρίζεσαι διάφορα τραπεζικά κλπ ίσως είναι κάτι που αξίζει να σκεφτείς, εγώ έχω μια τέτοια συνδρομή στο Bitdefender)

Χαμένα λεφτά. To μόνο που αρκεί είναι να κάνεις updates στην ώρα τους. Αν πέσεις σε κάποιο μη γνωστοποιημένο exploit δεν θα σε σώσει κανένα software προστασίας.

---

Συμβουλές ασφαλείας (by akikos)
- Κωδικοί στα site μέσω password generator. Διαφορετικός σε κάθε site. Αν μπαίνεις με τον ίδιο κωδικό παντού ο κωδικός έχει ήδη διαρρεύσει.
- Βάζουμε τα πραγματικά μας στοιχεία στους λογαριασμούς που κάνουμε.
- two step verification παντού
- Δεν αφήνουμε εκτελούμε λογισμικό από ξένα στικάκια.
- Ρύθμιση alert στο ebanking. Ενημέρωση για κάθε συναλλαγή που γίνεται.
- Ενημερωμένο λειτουργικό κινητού.
- Οτιδήποτε έχουμε αποθηκευμένο στον υπολογιστή μας το έχουμε αποθηκευμένο 3 φορές. Τοπικά στο pc, σε εξωτερικό σκληρό δίσκο που είναι νόμιμα συνδεμένος στον υπολογιστό και παίρνει αυτόματα backup σε συχνά χρονικά διαστήματα και σε cloud υπηρεσία.

 

[chester20080]

Δεν μπορεί ένα site να έχει πρόσβαση στα δεδομένα ενός άλλου site απομακρυσμένα. Οι σύγχρονοι browser μπλοκάρουν για ιστοσελίδες που δεν εφαρμόζουν το same-origin policy και επιτρέπουν css, csrf υπό φυσιολογικές συνθήκες. Υπάρχουν βέβαια exploits όπως αυτό που ειχε το safari πριν 2 χρόνια αλλά τα φτιάχνουν μόλις γνωστοποιηθούν.

Στο συγκεκριμένο exploit γινόταν μπορούσε ένα site να δει τι site έχει ο χρήστης στο ίδιο session, να πάρει το google user id και να έχει πρόσβαση στις προφιλ φωτος.


Χαμένα λεφτά. To μόνο που αρκεί είναι να κάνεις updates στην ώρα τους. Αν πέσεις σε κάποιο μη γνωστοποιημένο exploit δεν θα σε σώσει κανένα software προστασίας.

---

Συμβουλές ασφαλείας (by akikos)
- Κωδικοί στα site μέσω password generator. Διαφορετικός σε κάθε site. Αν μπαίνεις με τον ίδιο κωδικό παντού ο κωδικός έχει ήδη διαρρεύσει.
- Βάζουμε τα πραγματικά μας στοιχεία στους λογαριασμούς που κάνουμε.
- two step verification παντού
- Δεν αφήνουμε εκτελούμε λογισμικό από ξένα στικάκια.
- Ρύθμιση alert στο ebanking. Ενημέρωση για κάθε συναλλαγή που γίνεται.
- Ενημερωμένο λειτουργικό κινητού.
- Οτιδήποτε έχουμε αποθηκευμένο στον υπολογιστή μας το έχουμε αποθηκευμένο 3 φορές. Τοπικά στο pc, σε εξωτερικό σκληρό δίσκο που είναι νόμιμα συνδεμένος στον υπολογιστό και παίρνει αυτόματα backup σε συχνά χρονικά διαστήματα και σε cloud υπηρεσία.

Περα απο το css/csrf, το session hijacking ομως; Αν εγώ έχω στον διπλανό browser το ebanking ανοιχτό συνδεδεμένος, και πατήσω ένα τέτοιο link; Δεν είναι δυνατή μια επίθεση session hijacking;

Όσο για τις σουιτες ασφάλειες γιατί είναι χαμένα χρηματα; για κάποιο λόγο στα συγκριτικά benchmark άλλο accuracy ανίχνευσης και προστασίας έχει το τάδε και άλλο το τάδε.

 

[akikos]

Περα απο το css/csrf, το session hijacking ομως; Αν εγώ έχω στον διπλανό browser το ebanking ανοιχτό συνδεδεμένος, και πατήσω ένα τέτοιο link; Δεν είναι δυνατή μια επίθεση session hijacking;

Το κάθε site παίρνει έχει πρόσβαση στις πληροφορίες που έχει δώσει το ίδιο αλλιώς το μπλοκάρει ο browser. Απόλυτα ασφαλές δεν ειναι μπορούν να εκμεταλευτούν κάποιο exploit που οδηγει σε μη επιθυμητή συμπεριφορά.

Όσο για τις σουιτες ασφάλειες γιατί είναι χαμένα χρηματα; για κάποιο λόγο στα συγκριτικά benchmark άλλο accuracy ανίχνευσης και προστασίας έχει το τάδε και άλλο το τάδε.

Γιατί αν υπάρξει κάποιο exploit θα το καλύψουν οι κατασκευαστές του λειτουργικού συστήματος και των browser μόνοι τους. Τα expoits δημοσιεύονται και γινονται γνωστά σε όλους. Ποιος ο λόγος να επιβαρύνεις το σύστημα σου και να δίνεις πληροφορίες σε τρίτους.