Granice przepisywania adresów URL wobec phishingu

Przepisywanie adresów URL w chwili kliknięcia to jedna z najbardziej zaufanych funkcji bezpieczeństwa poczty: każdy link zostaje zastąpiony adresem należącym do bramy, więc cel można sprawdzić ponownie w momencie, gdy użytkownik kliknie. Wychwytuje mnóstwo phishingu i warto ją mieć. Ale to nie ta siatka bezpieczeństwa, za jaką uważa ją wiele zespołów, a zrozumienie jej martwych punktów utrzymuje uczciwe oczekiwania — i obronę.

Jak działają przepisywanie URL i skanowanie linków

Gdy poczta przychodzi, brama przepisuje linki, by kierowały przez jej własną usługę skanowania:

Oryginał    : https://example.com/doc
Przepisany  : https://urldefense.example/v3/__https://example.com/doc__;!!TOKEN

W chwili kliknięcia użytkownik trafia najpierw do bramy, która ocenia cel — reputacja, detonacja w sandboxie, analiza treści — i zezwala na kliknięcie, ostrzega albo blokuje. Założenie jest słuszne: sprawdzać link wtedy, gdy to ważne, a nie tylko przy dostarczeniu. Problem w tym, że zdeterminowany napastnik kontroluje właśnie to, co jest sprawdzane.

Dlaczego jest niedoskonałe

Skaner to znany, rozpoznawalny gość

Przepisywanie działa tylko, gdy brama podąży za linkiem, a to pobranie wygląda inaczej niż przeglądarka prawdziwej ofiary. Napastnicy wykrywają skaner i podają mu coś czystego.

• Maskowanie (cloaking). Serwer inspekcjonuje user-agent, ASN i wzorce żądań i pokazuje zautomatyzowanym gościom nieszkodliwą stronę, a ofiarom stronę phishingową.
• Geofencing. Strona uaktywnia się tylko dla zakresów IP zgodnych z krajem albo organizacją celu; adresy IP skanera w chmurze dostają nieszkodliwą odpowiedź.
• Bramy CAPTCHA i interakcji. CAPTCHA, „kliknij, aby kontynuować” albo wymagany plik cookie zatrzymuje zautomatyzowanego crawlera, zanim dotrze do ładunku — ale człowiek przechodzi gładko.

Skaner bramy      → CAPTCHA / nieszkodliwa strona → werdykt: czysty
Ludzka ofiara     → rozwiązuje bramę → żywa strona danych logowania

Link zmienia się po osądzeniu

Nawet idealne skanowanie to migawka.

• Opóźnione uzbrojenie. Adres URL wskazuje przy skanowaniu nieszkodliwą stronę, a potem przełącza się na ładunek phishingowy. Werdykt jest już w pamięci podręcznej.
• Linki jednorazowe. Token w adresie URL wypala się po jednej wizycie. Jeśli zużyje go skaner, strona pokazuje nieszkodliwy błąd 404 — a ofiara przybywająca ze świeżym tokenem dostaje żywą stronę. Jeśli ofiara zużyje go pierwsza, późniejszy badacz widzi tylko 404.

Łańcuchy przekierowań piorą cel

Przepisany link może wskazywać renomowaną domenę, która po prostu przekazuje dalej: otwarte przekierowanie, skracacz adresów, legalny tracker marketingowy albo łańcuch skoków kończący się na świeżo zarejestrowanej infrastrukturze. Skanery podążają za ograniczoną liczbą skoków, a końcowy cel można podmienić albo osłonić bramą niezależnie od pierwszego.

Zaufany hosting opiera się blokowaniu

Gdy celem jest SharePoint, Google Drive albo domena z fasadą Cloudflare, czysty werdykt bywa w danej chwili poprawny — plik albo strona naprawdę tam są — a jednak treść jest przynętą. Skaner nie może zablokować platformy hurtowo.

Przepisywanie sprawdza link na warunkach napastnika. Kto kontroluje cel, kontroluje to, co widzi skaner, i może to zmienić po zapadnięciu werdyktu.

Obrona w głąb

Przepisywanie URL powinno być jedną warstwą wśród kilku, cenną, ale nigdy samodzielnie nośną:

• MFA odporne na phishing (FIDO2/passkeye), aby nawet link docierający do żywej strony danych logowania nie mógł dać użytecznego logowania.
• Ochrona punktu końcowego i przeglądarki, która ocenia stronę tak, jak jest wyrenderowana, po wszystkich przekierowaniach i bramach.
• Monitorowanie świeżo zarejestrowanych domen i certificate transparency, by skrócić czas reakcji na podobną infrastrukturę.
• Przeszkolona, zgłaszająca warstwa ludzka — mechanizm oceniający stronę tak, jak faktycznie dostarczono, dokładnie tam, gdzie oszukano skanowanie automatyczne.

Celem nie jest nieufność wobec przepisywania, lecz zaprzestanie traktowania werdyktu z chwili kliknięcia jako dowodu bezpieczeństwa. To jedno probabilistyczne wejście, a ataki zaprojektowane tak, by je przejść, to właśnie te, dla których wychwycenia istnieją Twoje pozostałe warstwy.

Jak pomaga GottaPhish

Przepisywanie URL w chwili kliknięcia wychwytuje wiele, ale to nie ta siatka bezpieczeństwa, za jaką uważa ją wiele zespołów: maskowanie, strony z bramami, linki jednorazowe i łańcuchy przekierowań rutynowo oszukują skanowanie automatyczne, więc sama warstwa skanowania linków zawsze zostawia luki. GottaPhish i jego zespół ekspertów pokazują, co przepisywanie URL naprawdę zatrzymuje — a co przepuszcza — poprzez autoryzowane, w pełni audytowane symulacje bezpiecznie odtwarzające dokładnie te techniki, dając dane na użytkownika i dział o tym, kto dociera do strony i kto ją zgłasza. Nasi eksperci pomagają projektować scenariusze, wdrażać kampanie i interpretować pulpity, aby dowód wyostrzył Twoje priorytety obrony w głąb. Efektem jest zamiana pracowników w niezawodną ostatnią linię wykrywania tam, gdzie skanowanie automatyczne można oszukać.