Óvakodj a hamis Obamacare biztosítási piactérről

A washingtoni harcok és a Marketplace helyszíni leszakadásainak jelentése között a Megfizethető Ápolási Törvényt (más néven Obamacare) érintő egyik kérdésre nem került sor: a csalókra.

A Trend Micro biztonsági társaság arról számolt be, hogy máris olyan spam-eket látnak, amelyek olyan szavakkal célozódnak meg, mint a „medicare”, „beiratkozás” és az „egészségbiztosítás”. Ezek a kifejezések még nem igazán pontosak, de a Trend Micro fenyegetéskommunikációs menedzsere, Christopher Budd elmondta a SecurityWatch-nek, hogy a Marketplace webhelyek mély problémái még sokkal rosszabbá tehetik a helyzetet.

Zavaró web

"A legtöbb államnak saját hivatalos állami weboldala van, és akkor harmadik fél brókerekkel is rendelkezhet" - magyarázta Budd, miközben a biztosítási piacok felépítését vizsgálta. "Az a környezet, amelyet ez a kapun kívül hoz létre, olyan zavaró, hogy teret teremt az adathalászathoz."

Budd azt mondja, hogy egyértelmű eszközök nélkül annak ellenőrzésére, hogy egy weboldal hivatalos-e vagy sem, az embereknek fennáll annak a kockázata, hogy meggyőzni magukat egy meggyőző megjelenésű, hamis webhelyekkel. Már láttuk, hogy a spamküldők és a csalók milyen nagyon ügyes, az üzeneteiket a zeitgeisthez igazítva . Mivel ezek a webhelyek orvosi kérdésekkel és biztosításokkal foglalkoznak, az embereket már megkíséreljük arra, hogy rengeteg személyes információt adjanak át - például a társadalombiztosítási számukat. Még ennél is rosszabb, hogy néhány ember egész családját feliratkozza, és ezzel a tolvajok számára sok személyes információhoz férhet hozzá.

A fő probléma - mondja Budd - az, hogy néhány állami webhely nem követte a biztonsággal kapcsolatos bevált gyakorlatokat - sőt, még az ACA részeként sem vállalta megfelelő módon a márkajelzést. "A hitel nyújtása érdekében a szövetségi webhely professzionális, jól megjelölt és SSL szolgáltatást nyújt" - mondta Budd, rámutatva, hogy a HealthCare.gov automatikusan használja az SSL-t.

Az állami szintű piacterek nem voltak olyan jól összeállítva. "Vannak olyan állami webhelyek, amelyeknél a HTTPS-be lépve 404-es hibát kapsz" - mondta Budd. Más államokban teszt tanúsítványok voltak a törvényesek helyett, és egy harmadik fél webhelye automatikusan visszaállította a Buddot a HTTP-re, amikor megpróbált csatlakozni a HTTPS-en keresztül.

Hogyan lehet biztonságban maradni?

A webhelyek átverésének elkerülése végett Budd elmondta, hogy az embereknek nem szabad keresőmotorokkal keresniük információkat. Az adathalász webhelyek könnyen elronthatják a keresési eredményeket, és a népszerű mondatok célzása a csalók által alkalmazott kulcsstratégia.

Ehelyett az embereknek a https://www.healthcare.gov oldalon kell kezdődniük. Innentől megtalálhatják az államuknak megfelelő Marketplace-webhelyet. Ezeken a webhelyeken találhat információkat a törvényes harmadik fél biztosítótársaságokról is.

Amikor csak lehetséges, csatlakozzon SSL-en keresztül és használja a HTTPS-t a HTTP helyett az URL elején. A HTTPS webhelyein egy kis zár ikonnak kell megjelennie az URL bal oldalán. Kattintson erre, és ellenőrizheti a weboldal hitelességét.

Ha a tanúsítvány lejárt, vagy ha nem biztos abban, hogy valamilyen okból megbízható-e a webhely, akkor offline állapotban helyezze el. Budd elmondta a SecurityWatch-nek, hogy néhány biztosítási szolgáltatót telefonon vagy személyesen lehet elérni.

A legtöbb modern böngésző, például a Chrome, figyelmeztető képernyőt jelenít meg, ha valami nem kívánatosat észlel a webhely tanúsításával kapcsolatban. "Ha a böngésző figyelmeztetést ad, akkor álljon meg, hacsak nem tudja, mit csinál" - mondta Budd.

Ideje változtatni

Budd elismerte, hogy az államoknak felfelé zajló csatája van a piacterekkel kapcsolatos biztonsági kérdések megoldása érdekében. Azt mondta, hogy a nyilvános kulcsú infrastruktúra, a kriptográfiai technológia, amely biztosítja az ilyen típusú kommunikációt, "az egyik legbonyolultabb, költségesebb és leginkább zavaró technológia". Adjuk hozzá azt a tényt, hogy manapság a legtöbb államban nincs szükség készpénzre, és nem meglepő, hogy ezek a kérdések léteznek.

A felhasználók védelme érdekében a csalóktól Budd elmondta, hogy az elsődleges prioritásnak az kell, hogy legyen az SSL az ACA-val társított összes webhelyen. Ezután javaslatot tett egy pecsét létrehozására - hasonlóan a Verisign által használthoz -, hogy a kevésbé tech-hozzáértésű emberek tudják, hogy törvényes oldalon vannak. Azt is javasolta, hogy a szövetségi kormány kövesse a pénzügyi ágazat vezetését és ellenőrizze az ACA helyszíneit.

Budd hangsúlyozta, hogy a biztosítási piacok - sőt, az egész szolgáltatás - vadonatújak. Ismét rámutatott a pénzügyi szektorra, amely évekbe telt, hogy finomítsa az online szolgáltatásokkal kapcsolatos megközelítését. Tekintettel a program iránti érdeklődésre, a csalók és a spamerek nem maradnak messze. Remélhetőleg a piactér helyszínei elég gyorsan érik el ezeket a fenyegetéseket.