В статье рассказывается о том, что такое фишинг паролей, как он осуществляется, для чего используется злоумышленниками и как от него обезопасить себя.
Начало
Еще каких-то 15 лет назад далеко не все могли похвастаться наличием домашнего компьютера, а о быстром и безлимитном Интернете оставалось лишь мечтать. К счастью, развиваются подобные технологии очень быстро, и уже в наше время никого не удивишь наличием ПК или доступом в Сеть. С каждым годом цифровые технологии становятся все более доступными, простыми и привлекательными. На электронную форму документооборота перешли практически все предприятия, учреждения и организации, а спектр услуг, оказываемых через Интернет, постоянно растет и ширится.
Все это приводит к тому, что в виртуальном пространстве сосредотачивается все больше важной персональной или секретной информации. К примеру, данные электронных кошельков, пароли к ним и т. п. Естественно, все это привлекает и злоумышленников, и давно уже никого не удивить историями о том, как нанимают хакеров, дабы те «положили» сайт конкурентов или добыли компрометирующую информацию.
Помимо перечисленных ценностей и информации, злоумышленников также интересуют и нематериальная ее составляющая. К и пароль к аккаунту какой-нибудь онлайн-игры, платного сервиса и т. п. И часто, помимо обычной вирусной атаки, они применяют такой метод, как фишинг. Так что такое фишинг паролей и как от него обезопасить себя? В этом мы и разберемся.
Определение
Для начала немного поговорим о терминологии. Слово «фишинг» пришло к нам из английского языка (англ. fishing — рыбная ловля, выуживание). Как и в случае с настоящей рыбной ловлей, смысл этого действия в том, чтобы закинуть «наживку» пользователю и просто ждать, пока последний попадется на крючок и «сольет» пароли с логинами. Но что такое фишинг паролей и как он технически реализован?
В отличие от троянских программ, кейлогеров и бэкдоров, фишинг паролей реализован более просто, но в то же время и более хитро, и часто пользователи совсем не замечают подвоха. Так как же реализован этот метод?
На самом деле все довольно просто. Злоумышленник копирует исходный код страницы, к примеру, авторизации почтового сервиса, и загружает на свой арендованный хостинг, где он, само собой, разместил свои фиктивные данные. Затем он создает адрес этой страницы очень похожий на оригинальный, к примеру, если подлинный адрес выглядит как e.mail./login?email, то поддельный имеет вид e..mail./login?email. Как видим, разница в одной лишь точке, согласитесь, не все ее заметят. Также фиктивная страница настроена так, что после ввода данных (логина и пароля) они сохраняются на сайте хакера. Так что теперь мы знаем, что такое фишинг паролей.
Естественно, при авторизации пользователь получит ошибку, но в некоторых случаях, дабы ввести в дополнительное заблуждение, злоумышленник создает скрипт, который сообщит что связка логин-пароль неверна, и пользователя перенаправит на настоящую страницу авторизации.
Защита паролей от фишинга. Что это?
Теперь мы подошли к тому, как же защититься от подобного воровства. Во-первых, никогда не стоит переходить по подозрительным ссылкам, особенно если это формы авторизации каких-то сервисов и прочих служб, данные которых вам важны. Особенно в том случае, если вы уже были авторизованы там, и сессия не завершалась. Во-вторых, всегда обращайте внимание на адрес страницы. Естественно, его делают максимально похожим, но отличия все же существуют. Ну и в-третьих, важно помнить, что на любом устройстве с выходом в Сеть, которым часто пользуются, должен стоять антивирус, будь то ПК, планшет или смартфон. Все современные версии умеют распознавать поддельные страницы.
Ну и дополнительно: многие службы и сервисы сами защищают себя от этого, делается это особым кодом страницы и скриптами, из-за которых их код нельзя просто скопировать и использовать как приманку.
Массовое распространение
Особенно сильно этот вид мошенничества получил распространение около 10 лет назад, в то время появилась такая вещь, как программа для фишинга паролей. Смысл этого софта был в том, что с его помощью любой желающий мог легко и быстро создать копию страницы для фишинга. К счастью, сейчас подобные программы малоактуальны, так как дизайн форм авторизации и их код часто меняется, чтобы не допустить воровства паролей и логинов.
Смысл воровства
В наше время ценность электронных данных и прочей информации сложно недооценивать. Понимают это и злоумышленники, потому всяческими способами стараются их добыть. Причем интересуют их не только конкретные важные данные, к примеру, номер кредитной карты, пароли доступа к электронным кошелькам, но и данные доступа к почте, социальным сетям и т. п.
Так что теперь мы знаем, что значит защита паролей от фишинга и насколько это важно.
К примеру, получив доступ к странице в социальной сети, мошенник может узнать множество компрометирующей информации о человеке и позже заняться его шантажом. А обилие сервисов для «пряток» в Интернете, анонимные платежные системы и прочее лишь упрощают это, и поймать такого хакера очень и очень сложно. Хотя в последние годы это происходит все чаще.
Заключение
Также у всех на слуху популярный в последнее время вид «развода», когда, заполучив пароли, хакер от имени жертвы просит ее друзей занять деньги. Так что защита пароля от фишинга - это важный аспект компьютерной безопасности. Пренебрегать ею явно не стоит.
Защита от фишинга (разновидность мошенничества, целью которого является получение паролей, банковских данных и другой личной информации пользователя) присутствует в большинстве популярных веб обозревателей. Яндекс.Браузер не исключение, такая защита, использующая технологии Safe Browsing (по сути чёрный список неблагонадёжных веб-сайтов), работает в браузере с момента его появления.
Защита с помощью чёрных списков (будь это Safe Browsing Яндекса, Google или другие аналоги) долгое время оставалась единственным решением. Проблема в том, что, на сегодняшний день, создание сайтов-подделок, их публикация, рассылка спама через соц. сети и прочее происходит настолько быстро, по причине автоматизации этих процессов, что новая фишинг страница успевает достаточно навредить до того, как попадёт в список плохих сайтов и будет блокироваться браузером.
Новый алгоритм защиты от фишинга, используемый в Яндекс.Браузере теперь стал ещё эффективнее. В дополнение к Safe Browsing и защите паролей, которая уже год работает в Яндекс Браузере, новая версия браузера получила технологию, защищающую номера банковских карт. В основе данной технологии использованы наработки Яндекса в области машинного обучения и компьютерного зрения.
Узнать более подробно как Яндекс.Браузер защищает от фишинга можно в официальном блоге компании на Хабрахабр .
Последнюю версию Яндекс.Браузер можно .
Команда разработчиков браузера Google Chrome призывает всех пользователей этого браузера как можно скорее обновиться до последней версии. Так, сообщае...
Компания ECS (Elitegroup Computer Systems) представила мини-ПК Liva Q2. Габариты новинки составляют всего: 70 x 70 x 33,4 мм., масса – 260 грамм. А...
В последней тестовой сборке Windows 10 с индексом 18836 появилась новая возможность, позволяющая взаимодействовать с файлами подсистемы Linux непосред...
Злоумышленники, специализирующиеся на воровстве паролей, номеров банковских карт и прочей личной информации, появились еще в прошлом веке и с тех пор их число только растет. Согласно отчету Лаборатории Касперского , от 9% до 13% их пользователей в России сталкиваются с фишингом. Ежегодно в мире фишинг и другие формы кражи личных данных наносят ущерб в $5 млрд, согласно оценкам Microsoft . Это в целом соответствует нашим наблюдениям и объясняет, почему в любом более-менее популярном браузере есть защита от фишинга, основанная на «черных списках». В Яндекс.Браузере она тоже есть. Казалось бы, зачем изобретать что-то еще?
Safe Browsing
Самое очевидное решение для защиты пользователей – это использование готовой базы со списком фишинг-сайтов. Проверяем по «черному списку» посещаемые страницы и предупреждаем, если нашлось совпадение. На этой идее и основана защита с использованием технологии Safe Browsing, которая работает в Яндекс.Браузере с момента его появления.Немного о том, как это работает. В Браузере регулярно обновляется список плохих сайтов весом в несколько мегабайт. На самом деле опасных сайтов очень много, а степень сжатия ограничена, поэтому вместо явных адресов локально храним лишь префиксы (т.е. начальная часть) их хэшей. Посещаемые сайты проверяем по локальной базе. Если нашли совпадение, то префикс отправляем на сервер, в ответ получаем полные хэши, перепроверяем, если и здесь совпадение, то показываем предупреждение. Цепочка выглядит длинной, но работает за доли секунды, не плодит запросы и, что наиболее важно, защищает пользователя.
Списки Safe Browsing пополняются с помощью поисковых и антивирусных технологий Яндекса, детали которых раскрывать по понятным причинам не стоит. Однако сторонние разработчики тоже могут воспользоваться результатами в своих продуктах (в том числе в браузерах) с помощью нашего Safe Browsing API .
Защита с помощью списков плохих сайтов (будь то Safe Browsing Яндекса, Гугла или другие аналоги) долгое время была единственным применяемым способом в браузерной индустрии. Проблема в том, что современные фишеры уже не такие медленные, как раньше. Создание сайтов-подделок, их публикация, рассылка спама через социальные сети – все это уже давно автоматизировано. Пока новая фишинг-страница дойдет до полной базы, а затем до легкой локальной она вполне может успеть кому-то навредить. Нам нужно было научиться бороться с проблемой в условиях отсутствия точных знаний.
Защита паролей
Злоумышленники с помощью фишинга активно воруют пароли от банков, платежных систем, социальных сетей и даже админок управления сервером. Как их защитить, если браузер еще не знает, хороший или плохой сайт открыт в нем? Предупреждать при каждом вводе пароля и просить убедиться, что это именно тот самый сайт? Это не просто навязчиво, но и бесполезно в перспективе. Если пользователь 100 раз подтвердит, что перед ним настоящий сайт Сбербанка, а не поддельный, то на 101 раз он просто не станет проверять сайт, который по закону подлости обязательно окажется мошенническим.К слову, есть распространенное заблуждение, что двухфакторная авторизация на банковских сайтах спасет от кражи денег, даже если человек попался на фишинг. Спасет, конечно, но далеко не всегда. В нашей практике мы сталкивались с примерами опасных сайтов, которые после ввода логина и пароля умели инициировать отправку СМС настоящим банком. Код из СМС пользователь вводил на уже открытой фишинг-странице, и злоумышленники использовали его, получая полный доступ к личному кабинету. Но мы отвлеклись.
Изначально идея была достаточно проста. Нужно присматривать за паролями, уже сохраненными в браузере. Если пользователь вводит пароль на сайте, который явно не совпадает с сайтом из менеджера паролей в браузере, то нужно его остановить и предупредить. Проблема в том, что встроенным менеджером паролей пользуются далеко не все. Даже простые пользователи, которые никогда не слышали о LastPass, KeePass или 1Password, не спешат сохранять свои пароли, нередко предпочитая вводить их по памяти или из блокнота (бумажного, а не из Windows). Причем именно эта категория пользователей наиболее уязвима перед фишингом, а значит, такое простое решение не подходило.
Использовать уже сохраненные пароли не было смысла, но вместо отказа от всей идеи мы научили Браузер самостоятельно запоминать хэши вводимых паролей. Почему хэши? Потому что их вполне достаточно для сравнения паролей, к тому же хранить хэши все же безопаснее. Конечно же, мы дали опцию отключить функцию для тех, кто и хэшам не доверяет. Итак, если пользователь хотя бы раз вошел, например, на настоящий Альфа-Банк, то Браузер предупреждал его при попытке ввода пароля на фишинговых копиях. Казалось бы, можно было идти пить шампанское, но не все так просто.
Память пользователей не подчиняется закону Мура, поэтому многие предпочитают придумать один пароль на все сайты. Это ужасно с точки зрения безопасности, но такова реальность. Если бы мы включили защиту паролей на всех пользователей для всех сайтов, то изобрели бы не только хорошую защиту от фишинга, но и отличный способ распугать аудиторию. Поэтому по умолчанию защита была включена только для наиболее популярных среди мошенников сайтов. Для любого другого ее можно включить вручную.
Эта функция была внедрена примерно год назад, и все это время она не только защищает от фишинга, но и привлекает внимание людей к теме безопасности паролей. Вот только пароли – это не единственный вид конфиденциальных данных, которые любят воровать.
Защита карт
Чтобы украсть деньги, не обязательно воровать пароли от онлайн-банков и продумывать логику с обходом двухфакторной авторизации. Можно просто выкрасть данные банковской карты. Про необязательный 3-D Secure вспоминать тоже не стоит – пользователь и CVV-код не забудет ввести на фишинг-странице. После кражи данных карты остается только придумать, как забрать оттуда деньги. Способы бывают разные. Например, кто-то туристам билеты с 50% скидкой, по факту покупая их с украденной карты по полной стоимости. С переменным успехом подобные операции удается вовремя оспорить через свой банк, но лучше до этого не доводить и защищать данные своей банковской карты.В отличие от защиты паролей, где можно было однозначно контролировать пары «пароль-сайт», банковские карты могут использоваться где угодно. Мы можем контролировать крупные площадки, но длинный хвост онлайн-магазинов все равно не покроем. Да и что вообще значит «контролировать»? Не давать вводить номер карты? Если предупреждать, то о чем? Осознав, что вряд ли на уровне Браузера можно сделать однозначный вывод о плохих намерениях сайта, мы взглянули на ситуацию под другим углом – с точки зрения шифрования.
Наличие SSL-сертификата – обязательное условие для любого сайта, который работает с конфиденциальными данными пользователей, в особенности с банковскими данными. Если ресурс просит ввести номер карты, но не поддерживает защиту и работает по HTTP, то тут возможны сразу две разные проблемы. Во-первых, ваши данные кто-то может перехватить по пути из открытого трафика. Например, через незащищенную Wi-Fi точку в кафе. Во-вторых, владелец такого ресурса как минимум не заботится о безопасности своих посетителей, а, возможно, просто ворует данные. В любом случае, вводить номер карты на таком сайте не стоит. Если проблему с перехватом мы еще как-то решаем с помощью функции , то от мошенника шифрование канала никак не спасет. Точнее спасет данные от мошенников-перехватчиков и доставит их в целостности мошенникам-фишерам. И вот здесь нужно было что-то делать.
Итак, мы локализовали проблему. Если пользователь заходит на HTTP-сайт, который просит ввести номер банковской карты, то это повод предупредить. Но чтобы показать сообщение, нужно для начала распознать ввод карты. Специальный банковский тип тега input еще никто не придумал, а относительно свежий атрибут для браузерного автозаполнения autocomplete=cc-number мало кто использует. Команда Chromium, конечно, не бросает идею научить браузер самостоятельно подставлять номера карт и даже внедряет эвристику , которая угадывает по названиям полей и некоторым другим данным, но работает это не везде. В общем, анализ полей ввода – не вариант. Но зато мы можем ловить ввод цифр. Например, если пользователь ввел 16 цифр, то можно предположить, что это банковская карта. Проблема в том, что это не всегда так. К счастью, существует алгоритм Луна.
Думаю, многие знают, что последняя цифра в номере карты нужна для проверки корректности всего номера. А саму проверку можно легко провести с помощью алгоритма Луна. Он достаточно простой. В каждой паре цифр номера карты первое число умножаем на 2. Если после умножения число становится больше 9, то нужно сложить составные цифры. А затем все сложить. Если итоговая сумма кратна 10, то перед нами номер банковской карты. С вероятностью ошибки в 10%.
Алгоритм Луна снижает вероятность ложного срабатывания в разы. Но существует дешевый способ снизить ошибку еще немного – контролировать первые цифры в номере. Именно в начале номера закодирована платежная система, поддерживающая карту. Если в начале стоит цифра 4, то это VISA. Что-то из диапазона 51-55 – это MasterCard. 34-37 – это American Express. Аналогично для некоторых других систем. Вероятность ошибки, конечно же, всегда остается, но уже на допустимом уровне.
Мы научили Браузер распознавать ввод определенного количества цифр (от 15 до 19), проверять их по алгоритму Луна и на соответствие кодам известных платежных систем. И все это работает полностью локально – номер карты Браузер никуда не отправляет и не хранит. Если все условия выполняются, то пользователь видит такое предупреждение:
Подобное же сообщение мы показываем и для ряда других опасных ситуаций. Например, если сам сайт защищен HTTPS, но ввод номера происходит в HTTP-фрейме. Или если сертификат сайта не валиден.
Существуют ситуации, для которых в силу широкой распространенности и относительной безопасности не стоит показывать предупреждение, но дать возможностям пользователям разобраться все же надо. Например, если форма ввода номера карты находится во фрейме на другом домене (и сайт, и фрейм при этом HTTPS). Это встречается сплошь и рядом, потому что онлайн-магазинов много, но далеко не все из них способны проработать собственный модуль оплаты, предпочитая встраивать фреймы популярных платежных систем. Или другой пример. Сайт не использует шифрование, но карту принимает через HTTPS-фрейм на своем же домене. Для таких ситуаций Браузер не показывает предупреждение, но добавляет в адресную строку значок карты. Если кликнуть по нему, то можно узнать, кому именно вы доверяете свои данные.
Вся наша вышеописанная защита вертится вокруг наличия SSL-сертификата. Это обоснованно, потому что пользователи в массе своей еще не привыкли обращать внимание на замочек в адресной строке, и у фишеров нет мотивации использовать сертификаты. Но постепенно все меняется. Установить бесплатный сертификат от того же Let"s Encrypt уже не проблема. А значит, рано или поздно мы вновь вернемся к ситуации, когда защищать как-то надо, но данных на клиенте недостаточно. И чтобы не проиграть фишинг-сайтам в будущем, готовиться мы начали уже сейчас.
Машинное обучение
Любой сайт в интернете обладает совокупностью характеристик, по которым его можно оценить. Например, размер аудитории, время жизни, наличие SSL-сертификата, его надежность или даже уникальность адреса (фишеры любят использовать максимально схожие адреса). И наше с вами доверие к тому или иному сайту во многом определяется именно ими. Опытный пользователь, глядя на неизвестный сайт, может для себя решить, вызывает ли эта площадка доверие. С компьютером все сложнее. Задача определения «подозрительности» сложно поддается формализации и не укладывается в простые алгоритмы. Понятно, что грубая ошибка в HTTPS - это сильный критерий, но я говорю о куда более неочевидных случаях. И здесь без машинного обучения уже не обойтись.Яндекс применяет машинное обучение не первый год. Наши технологии используются не только внутри компании (Поиск, Музыка, Маркет, ), но и доступны для внешних заказчиков через Yandex Data Factory . Именно машинное обучение позволяет компьютеру демонстрировать поведение, которое в него не было явно заложено. И для нашей задачи – предупреждать пользователей при оплате на подозрительных сайтах – подходит идеально.
Чтобы обучить машину искать подозрительные сайты, мы должны показать ей примеры заведомо плохих сайтов. С этим у нас нет проблем – спасибо технологии Safe Browsing. С другой стороны, мы указываем ей уже упомянутые выше характеристики (факторы), на которые стоит обращать внимание. А уже дальше наш метод машинного обучения Матрикснет учится выводить закономерности и строить формулы, которым можно было бы скормить адрес сайта, а на выходе получить вердикт. Максимально упрощенно это выглядит так.
У вас обновлен браузер и все дополнения. Но на каком-то сайте вы увидели уведомление о заражении своего компьютера и установили рекомендуемую защитную программу. После чего та предложила вылечиться за деньги, причем в системе стало невозможно работать.
Нет, конечно, с вами такого произойти не могло! Ведь вы опытный пользователь, который никогда не попадется на такие примитивные уловки мошенников. А как насчет ваших близких, друзей и знакомых — они тоже такие опытные? А может быть, вы считаете, что достаточно просто установить им антивирус, чтобы застраховаться от таких угроз?
Кстати, вы сможете отличить поддельный антивирус Microsoft Security Essentials от настоящего?
На прошлой неделе моему брату разные знакомые привезли по компьютеру с фальшивыми защитными программами. Имевшиеся в системе бесплатные антивирусы от известных производителей оказались повержены более могучими поддельными собратьями.
Не секрет, что пользователи зачастую сами создают себе проблемы, устанавливая вредоносные программы, прячущиеся под маской легитимных приложений. Ситуация усугубляется тем, что во время установки фальшивки ведут себя прилично, не давая особого повода к ним придраться. И лишь потом они проявляют себя во всей дьявольской красе.
Почувствуйте себя… рыбой!
Фишинг (рыбалка, в буквальном переводе) – это сочетание приемов, с помощью которых злоумышленники стараются:
- завлечь вас на мошеннический сайт с целью выудить личную и финансовую информацию
- побудить вас к посещению зараженного ресурса, где эксплуатируются уязвимости браузеров и дополнений
- подсунуть вам замаскированную вредоносную программу, которая будет вымогать деньги или возьмет систему под свой контроль
Приведенный выше пример с фальшивым антивирусом – это классический фишинг. В качестве другого распространенного случая можно привести надстройки для просмотра видео. Помните огромную долю сайтов с порнографией и потоковым видео среди всех зараженных ресурсов? Там очень логично предлагать к загрузке какой-нибудь плеер. Хочешь бесплатной «клубнички»? Установи надстройку! И ставят:)
Репутация загружаемого файла устанавливается на основе:
- хэша, который уникален для каждого файла
- цифрового сертификата, которым подписан файл (один сертификат обеспечивает репутацию всем файлам, которые им подписаны)
Теперь сообщение о потенциальной опасности появляется только для исполняемых файлов без репутации, и по оценкам разработчиков увидеть его можно будет не чаще 2-3 раз в год.
Репутация работает только для исполняемых файлов программ (EXE), но не для архивов или мультимедиа файлов.
Загрузка файлов с репутацией и без нее
Когда исполняемый файл обладает репутацией, все происходит стандартно. Попробуйте скачать бесплатное видео – после проверки безопасности вы увидите обычное диалоговое окно.
А вот такой же файл, но уже без репутации. Загрузите это бесплатное видео, и вы увидите предупреждение фильтра SmartScreen.
Обратите внимание, что программу без репутации невозможно сразу запустить из браузера, хотя она уже сохранена на диске. Кнопку Выполнить заменяют кнопки Удалить и Действия . Последняя открывает диалоговое окно с подробным объяснением причины блокировки (то же самое происходит и в менеджере закачек IE9) .
Чтобы добраться до возможности запуска файла, здесь придется еще нажать кнопку со стрелкой Дополнительно . Особо настойчивые пользователи все равно его запустят, но по оценкам разработчиков в этом случае риск нарваться на что-то нехорошее составляет от 25 до 70%.
Анти-фишинговый фильтр браузера предоставляет дополнительный уровень защиты системы, поскольку проверка выполняется до запуска файла, т.е. перед тем, как он попадает в сферу наблюдения антивируса.
Те, кто отключает защиту от фишинга в браузере, считая достаточным лишь антивирусный щит, демонстрируют поверхностный подход к укреплению безопасности системы.
Кстати, не путайте эти сообщения с предупреждением о загрузке неподписанного файла (я сделал такой для примера). Оно появляется всегда при отсутствии цифровой подписи, и не является частью фильтра SmartScreen.
Ситуация для разработчиков бесплатных программ
Добавление репутации файлов к фильтру SmartScreen безусловно укрепляет защиту от фишинга в IE9. Однако репутацией могут не обладать не только новые вредоносные программы, но и вполне легитимные, но не массовые приложения. И, условно говоря, пока их не скачает достаточное количество человек, репутация не появится. А раз ее нет, IE9 будет затруднять запуск исполняемого файла.
Одно из решений проблемы – цифровая подпись кода. Между тем, сертификат на один год от VeriSign стоит $500, а от Thawte — $300. Можно найти и дешевле, но порядок суммы понятен. Далеко не каждый автор бесплатной утилиты для Windows, не извлекающий прибыли из своего проекта, готов потратить такие деньги.
Можно пойти дальше и включиться в программу Windows 7 Logo , подтвердив совместимость приложения, что обеспечит ему репутацию. Думаю, что в Microsoft вполне сознательно пошли на такой шаг, чтобы подтолкнуть разработчиков к написанию программ, полностью совместимых с Windows 7. Любопытно, что дополнения для IE, которые так нужны браузеру для борьбы за место под солнцем, в эту программу не принимаются.
Разработчики, которым не подходят эти варианты обеспечения репутации своей программы, могут упаковывать исполняемый файл в ZIP-архив. Это тоже затрудняет запуск установщика, но не отпугивает пользователей предупреждениями.
Рассказ о защитных функциях браузеров еще не закончен. Не все фильтры одинаково полезны, и об их сравнении мы поговорим через пару дней.
Один из моих читателей в обсуждении предыдущей статьи только что привел пример фишинга . А вы встречались с фишингом или его последствиями? Приходилось восстанавливать систему после фальшивого антивируса? Кстати, вы определили, какой из двух MSE фальшивый? Расскажите о своем опыте и системах, в которых наблюдалась проблема.
Firefox contains built-in Phishing and Malware Protection to help keep you safe online. These features will warn you when a page you visit has been reported as a Deceptive Site (sometimes called “phishing” pages), as a source of Unwanted Software or as an Attack Site designed to harm your computer (otherwise known as malware). This feature also warns you if you download files that are detected as malware.
Table of Contents
What are Deceptive/Phishing, Attack Sites, Unwanted Software and Malware?
Deceptive Site (also known as "Phishing")
Attack Sites
Attack Sites are websites that try to infect your computer with malware when you visit. These attacks can be very difficult to detect; even a site that looks safe may be secretly trying to attack you. Sometimes even the website’s owner doesn’t realize that the site has become an Attack Site.
Malware
Malware is software designed to infect your computer without your knowledge. Malware is most often used to steal personal information, send junk email (spam), or spread more malware.
You can learn more about malware and Attack Sites from StopBadware , a non-profit organization that works with partners like Mozilla to protect users from malware and other dangerous software.
Unwanted Software
Unwanted Software sites are websites that try to trick you into installing programs that harm your browsing experience (for example, by changing your homepage or showing extra ads on sites you visit). You can learn more about such software on the Google Unwanted Software Policy .
How does Phishing and Malware Protection work in Firefox?
Phishing and Malware Protection works by checking the sites that you visit against lists of reported phishing, unwanted software and malware sites. These lists are automatically downloaded and updated every 30 minutes or so when the Phishing and Malware Protection features are enabled.
When you download an application file, Firefox checks the site hosting it against a list of sites known to contain "malware". If the site is found on that list, Firefox blocks the file immediately, otherwise it asks Google’s Safe Browsing service if the software is safe by sending it some of the download’s metadata.*
* Windows users: This online check will only be performed in Firefox on Windows for those downloaded files that don’t have a known good publisher. Most of the common and safe software for Windows is signed and so this final check won’t always need to happen.
How do I use the Phishing and Malware Protection features?
These features are turned on by default so, unless your security settings have been changed, you are likely already using them. Phishing and Malware Protection options preferences can be found on the Security panel Privacy & Security panel :
To turn these features off, follow the preceding steps to return to the Security panel and remove the check marks.
To turn these features off, follow the preceding steps to return to the Privacy & Security panel and remove the check marks.
To see if Phishing Protection is active, visit our phishing test site . Likewise, you can visit our malware test site to confirm that Firefox is blocking Attack Sites as well as our unwanted software test site . With Phishing and Malware Protection turned on, all these sites should be blocked from loading.
What happens when a page or file is blocked?
Firefox will block the page from loading and display a Deceptive Site warning for phishing sites, Reported Unwanted Software Page for unwanted software sites and Reported Attack Page for malware sites.
If you download malware or spyware, Firefox displays a message about the file in the Downloads panel.
Unblock .
If you download malware or other software that is potentially unwanted or uncommon, Firefox displays a message about the file in the Downloads panel.
To ignore the warning and download such a file, right-click on it in the Downloads panel and select Allow Download .
What information is sent to Mozilla or its partners when Phishing and Malware Protection are enabled?
There are two times when Firefox will communicate with Mozilla’s partners while using Phishing and Malware Protection for sites. The first is during the regular updates to the lists of reporting phishing and malware sites. No information about you or the sites you visit is communicated during list updates. The second is in the event that you encounter a reported phishing or malware site. Before blocking the site, Firefox will request a double-check to ensure that the reported site has not been removed from the list since your last update. This request does not include the address of the visited site, it only contains partial information derived from the address.
In addition to the regular list updates mentioned above, when using Malware Protection to protect downloaded files, Firefox may communicate with Mozilla"s partners to verify the safety of certain executable files. In these cases, Firefox will submit some information about the file, including the name, origin, size and a cryptographic hash of the contents, to the Google Safe Browsing service which helps Firefox determine whether or not the file should be blocked.
The Mozilla Privacy Policy describes what data Firefox and Mozilla each receive and how it"s handled. The Google Privacy Policy explains how Google handles collected data.
I’ve confirmed that my site is safe, how do I get it removed from the lists?
If you own a site that was attacked and you have since repaired it, or if you feel that your site was reported in error, you can request that it be removed from the lists. We encourage site owners to investigate any such report thoroughly, though; a site can often be turned into an attack site without any visible change.
