CAPTCHA normalde güvenlik kapısıdır. Site, karşısındakinin insan mı otomatik sistem mi olduğunu anlamaya çalışır. Bu yüzden kullanıcı olarak CAPTCHA gördüğümüzde genelde rahatlarız: “Demek ki site güvenliği düşünüyor.” Sahte CAPTCHA tuzakları tam bu rahatlığı kullanır. Güvenlik işaretini güvenlik açığına çevirir.
Son dönemde sahte doğrulama kutuları, kullanıcıdan garip izinler istemek, panoya komut kopyalatmak, tarayıcı bildirimlerini açtırmak veya zararlı bir dosyayı “doğrulama aracı” gibi indirtmek için kullanılıyor. Ekrandaki kutu tanıdık görünür ama yaptığı iş tanıdık değildir.
Sahte CAPTCHA’nın Kokusu
Gerçek doğrulama genelde basit bir tıklama, görsel seçimi veya kısa bir kontrol ister. Sahte olan ise senden tarayıcı ayarını değiştirmeni, bildirim izni vermeni, bir dosya indirmeni, panoya kopyalanan şeyi çalıştırmanı veya komut satırı açmanı ister. Bir doğrulama senden bilgisayarına komut çalıştırmanı istiyorsa bu artık doğrulama değildir.
- “Doğrulamak için izin ver” diyorsa dur.
- “Bu kodu kopyalayıp çalıştır” diyorsa kapat.
- Dosya indirtmeye çalışıyorsa güvenme.
- Alan adı tuhafsa sayfadan çık.
- Bildirim izni istiyorsa reddet.
Güvenlik Gibi Görünen Sosyal Mühendislik
Bu tuzakların başarılı olmasının nedeni teknik karmaşıklık değil, alışkanlıklarımızdır. İnternette sürekli kutucuk işaretliyoruz, çerez kabul ediyoruz, izin pencerelerini kapatıyoruz. Sahte CAPTCHA bu otomatik davranışı hedefler. Düşünmeden tıklamanı ister.
En iyi savunma yavaşlamaktır. CAPTCHA sayfasında beklenmedik bir şey oluyorsa siteyi kapat. Aynı içeriğe arama motorundan veya resmi adresten tekrar ulaşmayı dene. Tarayıcı bildirimlerini düzenli kontrol et. Bilmediğin sitelere verilen bildirim izinlerini kaldır.
Kural basit: İnsan olduğunu kanıtlamak için bilgisayarına komut çalıştırman gerekmez. Gerekiyorsa sorun sende değil, sayfadadır.
written by serz 🙂
