Naše najnovije istraživanje otkrilo je da se klikabilni linkovi na veb sajtovima često mogu preusmeriti na maliciozne destinacije. Ove linkove nazivamo „linkovi podložni otmicama“ i pronašli smo ih u milionima širom interneta, uključujući i na pouzdanim sajtovima.

Što je zabrinjavajuće, ove linkove podložne otmicama pronašli smo na sajtovima velikih kompanija, verskih organizacija, finansijskih firmi pa čak i vlada. Ovi linkovi mogu biti oteti bez aktiviranja bilo kakvih alarma. Samo budni – neki bi rekli paranoični – korisnici mogli bi da izbegnu ove zamke.

Ako smo mi uspeli da pronađemo ove ranjivosti širom interneta, isto mogu učiniti i drugi. Evo šta treba da znate.

Šta su linkovi podložni otmicama?

Ako napravite grešku pri unosu veb adrese vaše banke, možete slučajno završiti na sajtu za phishing – sajtu koji imitira ili „falsifikuje“ veb sajt vaše banke kako bi ukrao vaše lične podatke.

Ako ste u žurbi i ne pregledate sajt pažljivo, mogli biste uneti osetljive lične podatke i platiti visoku cenu za svoju grešku. To može uključivati krađu identiteta, kompromitovanje naloga ili finansijski gubitak.

Nešto još opasnije dešava se kada programeri pogreše prilikom kucanja veb adresa u svom kodu. Postoji mogućnost da njihova greška usmeri korisnike na internet domen koji nikada nije kupljen. Ove domene nazivamo „fantomski domeni“.

Na primer, programer koji pravi link ka theconversation.com može slučajno povezati sa tehconversation.com – obratite pažnju na pravopisnu grešku. Ako je pogrešno napisani domen nikada nije kupljen, neko bi mogao da ga kupi za oko 10 australijskih dolara, otme dolazni saobraćaj. U tim slučajevima, cenu grešaka programera plaćaju korisnici.

Ove greške u povezivanju ne samo da riskiraju usmeravanje korisnika ka phishing ili falsifikovanim sajtovima. Oteti saobraćaj može biti usmeren ka različitim zamkama, uključujući zle skripte, dezinformacije, uvredljiv sadržaj, viruse i sve druge hakove koje budućnost donosi.

Više od pola miliona fantomskih domena

Koristeći visoko performansne računarske klastere, obradili smo čitav pretraživi web u potrazi za ovim ranjivostima. Na skali koja nikada nije viđena u istraživanjima, analizirali smo podatke sa više od 10.000  hard-diskova.

Tokom istraživanja, pronašli smo više od 572.000 fantomskih domena. Linkovi podložni otmicama koji korisnike upućuju na njih pronađeni su na mnogim pouzdanim veb sajtovima. U ironičnom preokretu, ovo je uključivalo čak i veb-bazirane softvere dizajnirane za sprovođenje zakona o privatnosti na veb sajtovima.

Istražili smo koje greške su prouzrokovale ove ranjivosti i klasifikovali ih. Većina je rezultat grešaka u hyperlinkovima, ali smo takođe pronašli i drugi tip ranjivosti koju su generisali programeri: domeni za rezervisanje.

Kada programeri razvijaju veb sajt koji još nema specifičan domen, često unose linkove ka fantomskom domenu u očekivanju da će linkovi kasnije biti ispravljeni.

Otkrili smo da je ovo čest slučaj sa šablonima za dizajn veb sajtova, gde se estetski elementi veb sajta kupuju od drugog programera umesto da se razvijaju interno. Kada se dizajnerski šablon kasnije instalira na veb sajt, fantomski domeni često se ne ažuriraju, što omogućava da se linkovi ka njima otmu.

Kako bismo utvrdili da li se oteti hiperlinkovi mogu praktično iskoristiti, kupili smo 51 od fantomskih domena na koje upućuju i pasivno pratili dolazni saobraćaj. Iz ovoga smo detektovali značajan saobraćaj koji dolazi sa otetih linkova. U poređenju sa sličnim novim domenima koji nemaju otete linkove, 88% naših fantomskih domena je dobilo više saobraćaja, čak do deset puta više posetilaca.

Šta se može učiniti?

Za prosečne korisnike veba, ključna je svest. Linkovi se ne mogu pouzdano verifikovati. Budite oprezni.

Za one koji su odgovorni za kompanije i njihove veb sajtove, preporučujemo nekoliko tehničkih mera zaštite. Najjednostavnije rešenje je da operatori veb sajtova redovno pretražuju svoje sajtove u potrazi za neispravnim linkovima. Postoji bezbroj besplatnih alata za ovu svrhu. Ako se pronađu neispravni linkovi, popravite ih pre nego što budu oteti.

Mi, kao veb

Britanski naučnik Sir Tim Berners-Lee prvi put je predložio veb na CERN-u 1989. godine. U svom najranijem opisu – koji je i dalje široko dostupan na vebu kao svedočanstvo samog sebe – postoji odeljak pod nazivom „nepotrebne stvari“, gde se obrađuje bezbednost. Ovaj odeljak uključuje sudbonosnu frazu:

[Bezbednost podataka je] sekundarna u CERN-u, gde je razmena informacija još važnija.

Iako je ovo bilo tačno za CERN 1989. godine, veb je sada primarni medij za razmenu informacija u savremenom dobu.

Počeli smo da tretiramo veb kao spoljnu komponentu naših vlastitih mozgova. To se vidi u popularnosti velikih jezičkih modela poput ChatGPT-a, koji su sami obučeni na podacima sa veba.

Kako naša zavisnost raste, možda je vreme da mentalno prekategorizujemo bezbednost podataka na vebu sa „nepotrebne stvari“ na „važan zahtev“.