Dlaczego proxy webowe jak Zscaler nie zatrzymuje całego phishingu

Bezpieczne bramy webowe, takie jak Zscaler, to prawdziwy filar nowoczesnej obrony: inspekcjonują ruch na skalę, blokują znane złośliwe cele i egzekwują politykę bez względu na to, gdzie siedzi użytkownik. Ale ślepe poleganie na jednej może stać się problemem: żadne proxy webowe nie zatrzymuje całego phishingu, a traktowanie go jako pełnej odpowiedzi tworzy niebezpieczne fałszywe poczucie bezpieczeństwa. Oto dlaczego Zscaler — jak każde proxy — może pozostawić Cię odsłoniętym i dlaczego warstwa ludzka wciąż się liczy.

Co bezpieczna brama webowa robi dobrze

Proxy w chmurze siedzi w linii między użytkownikami a internetem i wnosi realną wartość:

• Filtrowanie URL i kategorii wobec dużych kanałów threat intelligence.
• Inspekcja TLS, by zajrzeć do zaszyfrowanego ruchu, inaczej nieprzejrzystego.
• Skanowanie inline złośliwego oprogramowania i treści na pobraniach i stronach.
• Spójna polityka zarówno dla użytkowników zdalnych, jak i biurowych.

Te mechanizmy blokują codziennie duży wolumen masowego phishingu. Martwe punkty poniżej nie są przytykiem wobec pojedynczego dostawcy — to strukturalne ograniczenia dotyczące całej kategorii.

Którędy przechodzi nowoczesny phishing

Świeżo zarejestrowane i krótkotrwałe domeny

Systemy reputacji potrzebują historii. Domena zarejestrowana godzinę temu, użyta do dwugodzinnej kampanii i porzucona nie ma dorobku do oznaczenia. Threat intelligence często wychwytuje te domeny po zamknięciu okna kampanii.

Moment kliknięcia a moment skanowania

Proxy ocenia stronę w chwili jej zażądania. Napastnicy wykorzystują to stronami najpierw nieszkodliwymi, które podają skanerom niewinną treść i przełączają się na ładunek phishingowy tylko dla prawdziwych ofiar — używając geofencingu, sprawdzeń referera, odcisku urządzenia i bram CAPTCHA, aby je odróżnić.

IP skanera / sandboxa   → nieszkodliwa strona "w budowie"
Wybrana ofiara + token  → aktywna strona wykradania danych logowania

Luki inspekcji TLS

Inspekcja TLS jest potężna, ale rzadko powszechna. Certificate pinning, wyjątki awaryjne, urządzenia niezarządzane i BYOD oraz wyłączenia ze względu na prywatność sprawiają, że część ruchu przechodzi bez inspekcji. Phishing, który trafia w lukę inspekcji, jest dla proxy praktycznie niewidoczny.

Nadużycie zaufanego, legalnego hostingu

Coraz częściej treść phishingowa mieszka na infrastrukturze, której proxy nie powinno blokować hurtowo:

• SharePoint, OneDrive, Google Docs/Drive hostujące przynętę albo przekierowanie.
• Domeny Cloudflare, Azure i CDN stanowiące fasadę dla stron napastnika.
• Otwarte przekierowania na renomowanych domenach, „piorące” miejsce docelowe.

Blokowanie tych platform w całości nie jest wykonalne dla większości organizacji, więc napastnicy pożyczają ich reputację.

Proxy AiTM i kradzież tokena sesji

Najtrudniejszy przypadek: zestawy adversary-in-the-middle przekazują prawdziwą stronę logowania w czasie rzeczywistym i kradną uwierzytelniony plik cookie sesji, omijając MFA. Treść strony jest autentyczna, certyfikat ważny, a domena może być zupełnie nowa — niewiele jest do wychwycenia dla mechanizmu opartego na sygnaturach.

Phishing, który najbardziej musisz zatrzymać, to właśnie ten zaprojektowany tak, by wyglądał identycznie jak legalny ruch. To z założenia trudny problem dla każdego filtra w linii.

Obrona w głąb, a nie pojedynczy mur

Brama to jedna warstwa. Odporność bierze się z układania niezależnych mechanizmów tak, by pudło na jednej warstwie zostało wychwycone na innej:

• MFA odporne na phishing (FIDO2/passkeye), aby skradzione hasło albo przekazany kod nie mogły dokończyć logowania.
• Tożsamość i dostęp warunkowy wiążące sesje ze zgodnymi, zarządzanymi urządzeniami.
• Uwierzytelnianie poczty (SPF, DKIM, DMARC), by odciąć podszywanie u źródła.
• Wykrywanie na punkcie końcowym dla tego, co prześlizguje się obok sieci.
• Monitorowanie certificate transparency i świeżo zarejestrowanych domen, by skrócić okno reakcji.
• Przeszkolona, zgłaszająca warstwa ludzka — mechanizm wychwytujący nową przynętę, której żaden filtr jeszcze nie widział.

Użytkownik, który się zatrzyma, nie ufa zbyt pilnej wiadomości i ją zgłosi, nie jest łatą na zawodną technologię. W dobrze zaprojektowanym programie jest czujnikiem, który dostarcza Twojemu SOC sygnał, jakiego żadne proxy nie wygeneruje samodzielnie.

Jak pomaga GottaPhish

Żadne proxy webowe nie zatrzymuje całego phishingu — brama jak Zscaler zawsze zostawia luki, a traktowanie jej jako pełnej odpowiedzi tworzy niebezpieczne fałszywe poczucie bezpieczeństwa. GottaPhish i jego zespół ekspertów mierzą to, czego Twoja brama nie może zagwarantować: czy prawdziwi ludzie, na prawdziwych urządzeniach, opierają się phishingowi prześlizgującemu się obok proxy. Nasze autoryzowane symulacje odtwarzają dokładnie techniki omijające filtrowanie webowe — maskowanie „najpierw nieszkodliwe”, przynęty na zaufanym hostingu i kradzież sesji adversary-in-the-middle — bezpiecznie i z pełnym audytem, a nasi eksperci pomagają projektować scenariusze, wdrażać kampanie i interpretować dane o ekspozycji na użytkownika i dział. Efektem są ukierunkowane szkolenia i czytelne pulpity, które zamieniają Twoich pracowników w niezawodną warstwę zgłoszeniową uzupełniającą Zscaler, zamiast od niego zależeć.