Vad är domänförfalskning?
Domänförfalskning sker när cyberbrottslingar förfalskar ett webbplatsnamn eller en e-postdomän i syfte att lura användare. Målet med domänförfalskning är att lura en användare att interagera med ett skadligt e-postmeddelande eller en nätfiske-webbplats som om det vore legitimt. Domänförfalskning liknar en bedragare som visar falska legitimationer för att vinna förtroende innan de utnyttjar offret.
Domänförfalskning används ofta i nätfiskeattacker. Målet med en nätfiskeattack är att stjäla personlig information, såsom inloggningsuppgifter eller kreditkortsuppgifter, för att lura offret att skicka pengar till angriparen, eller att lura en användare att ladda ner skadlig programvara. Domänförfalskning kan även användas för att utföra annonsbedrägeri genom att lura annonsörer att betala för annonser som visas på webbplatser som de inte tror att de betalar för.
Domänförfalskning är skild från DNS-förfalskning eller cache-förgiftning, och även från BGP-kapning. Dessa är andra sätt att leda en användare till fel webbplats som är mer komplexa än att helt enkelt förfalska namnet.
Vad är en domän?
En domän, eller mer korrekt domännamn, är det fullständiga namnet på en webbplats. ”cloudflare.com” är ett exempel på ett domännamn. För företag och organisationer visas domänen inom e-postadresser för anställda efter ”@”-tecknet. En personlig e-postadress kan använda ”gmail.com” eller ”yahoo.com” som sin domän, men en företagse-post använder vanligtvis företagets webbplats. (För att lära dig mer om domäner, se Vad är DNS?)
Vilka är de huvudsakliga typerna av domänförfalskning? Webbplats-/URL-förfalskning
Webbplatsförfalskning sker när en angripare bygger en webbplats med en webbadress som liknar, eller till och med kopierar, webbadressen för en legitim webbplats som en användare känner till och litar på. För att imitera en webbadress kan angripare använda tecken från andra språk eller Unicode-tecken som ser nästan identiska ut som vanliga ASCII-tecken. (Detta kallas en homografattack.) Mindre övertygande förfalskade webbadresser kan lägga till eller ersätta regelbundet använda tecken i webbadressen och hoppas på att användarna inte märker det.
Exempel på domänförfalskning
Dessa falska webbplatser används vanligtvis för brottslig verksamhet som nätfiske. En falsk inloggningsida med en verkar legitim webbadress kan lura en användare att skicka in sina inloggningsuppgifter. Förfalskade webbplatser kan även användas för skämt eller spratt.
E-postförfalskning
E-postförfalskning sker när en angripare använder en falsk e-postadress med domänen från en legitim webbplats. Detta är möjligt eftersom domänverifiering inte är inbyggd i Simple Mail Transfer Protocol (SMTP), protokollet som e-post är byggt på. E-post säkerhetsprotokoll som utvecklades senare, såsom DMARC och DKIM, ger större verifiering.
Angripare kommer ofta att använda e-postförfalskning i nätfiskeattacker. En angripare kommer att förfalska ett domännamn för att övertyga användare om att nätfiske-e-posten är legitim. Ett e-postmeddelande som verkar komma från en företagsrepresentant är mer övertygande vid första ögonkastet än ett e-postmeddelande från någon slumpmässig domän.
Målet med nätfiskeattacken kan vara att få användare att besöka en viss webbplats, att ladda ner skadlig programvara, att öppna en skadlig e-postbilaga, att ange kontouppgifter eller att överföra pengar till ett konto som angriparen kontrollerar.
E-postförfalskning används ofta tillsammans med webbplatsförfalskning, eftersom e-posten kan leda till en förfalskad webbplats där användare förväntas ange sitt användarnamn och lösenord för det målinriktade kontot.
Domänförfalskning inom annonsering
Bedragare inom annonsbedrägeri förfalskar namnet på de webbplatser de äger för att dölja den verkliga källan till sin trafik och erbjuda sina förfalskade domäner för budgivning av annonsörer. Därefter hamnar displayannonserna på en oönskad webbplats istället för den webbplats som annonsörerna ville ha.
Hur kan användare skydda sig mot domänförfalskning?
- Var uppmärksam på källan. Kommer länken från en e-post? Förväntades e-posten? Oväntade förfrågningar och varningar kommer ofta från bedragare.
- Granska URL:n noggrant. Finns det extra tecken som inte hör hemma där? Prova att kopiera och klistra in URL:n i en ny flik: ser den fortfarande likadan ut? (Det här kan upptäcka homografattacker.)
- Se till att det finns ett SSL-certifikat. Ett SSL-certifikat är en textfil som identifierar en webbplats och hjälper till med att kryptera trafiken till och från webbplatsen. SSL-certifikat utfärdas vanligtvis av en extern certifieringsmyndighet, och innan ett utfärdas kommer certifieringsmyndigheten att verifiera att partiet som begär certifikatet faktiskt äger det domännamnet (även om en sådan verifiering ibland är ganska minimal). Nästan alla legitima webbplatser har nuförtiden ett SSL-certifikat.
- Kontrollera SSL-certifikatet, om det finns ett. Är domänen som anges på SSL-certifikatet den som man förväntar sig? (För att se SSL-certifikatet i Chrome, klicka på hänglåset i URL-radens fält och klicka sedan på ”Certifikat.”) En förfalskad webbplats kan ha ett verkligt SSL-certifikat – men för den förfalskade domännamnet, inte för det faktiska domännamnet.
- Bokmärke viktiga webbplatser. Spara ett bokmärke för varje legitim webbplats i webbläsaren. Genom att klicka på bokmärket, istället för att följa en länk eller skriva in URL:n, säkerställer du att rätt URL laddas varje gång. Istället för att skriva ”mybank.com” eller göra en Google-sökning efter bankens webbplats, skapa ett bokmärke för webbplatsen.
Hur kan företag förhindra att deras domäner förfalskas?
Ett SSL-certifikat kan hjälpa till att göra webbplatsförfalskning svårare för angripare, eftersom de då måste registrera ett förfalskat SSL-certifikat förutom att registrera den förfalskade domänen. (Cloudflare erbjuder gratis SSL-certifikat.)
Tyvärr finns det ingen metod för att stoppa domänförfalskning i e-post. Företag kan lägga till mer verifiering i de e-postmeddelanden de skickar via DMARC, DKIM och andra protokoll, men externa parter kan fortfarande skicka falska e-postmeddelanden med deras domän utan denna verifiering.
