Pass på falske obamacare-forsikringsmarkedssider

Midt i kampene i Washington og rapportene om nettstedbrudd på Marketplace, har ikke ett spørsmål rundt Affordable Care Act (også kjent som Obamacare) blitt adressert: svindlere.

Sikkerhetsselskapet Trend Micro rapporterte at de allerede ser spam som er målrettet mot ord som "medicare", "påmelding" og "medisinsk forsikring." Disse vilkårene er ikke helt på nettet ennå, men Trend Micros trusselkommunikasjonssjef Christopher Budd sa til SecurityWatch at dype problemer med Marketplace-nettsteder kan gjøre ting mye verre.

Et forvirrende nett

"De fleste stater har egne offisielle statlige nettsteder, og da kan du ha tredjeparts meglersider, " forklarte Budd og berørte hvordan forsikringsmarkedene er organisert. "Miljøet dette skaper rett ut av porten er så forvirrende at det skaper rom for phishing."

Budd sier at uten et klart middel for å bekrefte om et nettsted er offisielt eller ikke, risikerer folk å finne seg selv lurt av overbevisende utseende uredelige nettsteder. Vi har allerede sett hvordan spammere og svindlere er veldig flink skreddersy meldingene deres slik at de passer til zeitgeisten . Og fordi disse nettstedene omhandler medisinske problemer og forsikring, er folk allerede i gang med å utlevere mange personopplysninger - som personnummer. Enda verre er det at noen mennesker vil registrere seg for hele familiene, og potensielt gi tyvene tilgang til mye personlig informasjon.

Hovedproblemet, sier Budd, er at noen av de statlige nettstedene ikke fulgte beste praksis for sikkerhet - eller til og med tilstrekkelig merke seg som en del av ACA. "For å gi æren, er det føderale nettstedet profesjonelt, godt merket og gir SSL, " sa Budd og påpekte hvordan HealthCare.gov automatisk brukte SSL.

Markedsplasser på statlig nivå ble ikke satt så godt sammen. "Det er noen statlige nettsteder som hvis du går i HTTPS, gir det deg en 404-feil, " sa Budd. Andre stater hadde testbevis i stedet for legitime, og en tredjeparts nettsted rullet Budd automatisk tilbake til HTTP da han prøvde å koble seg til via HTTPS.

Slik holder du deg trygg

For å unngå svindelsteder sa Budd at folk ikke burde begynne med å bruke søkemotorer for å finne informasjon. Søkeresultatene kan lett males av phishing-nettsteder, og målretting av populære setninger er en nøkkelstrategi som brukes av svindlere.

I stedet bør folk starte på https://www.healthcare.gov. Herfra kan de finne det aktuelle nettstedet Marketplace for staten. Informasjon om legitime tredjepartsforsikringsleverandører kan også finnes på disse nettstedene.

Når det er mulig, koble til via SSL og bruk HTTPS, i stedet for HTTP, i begynnelsen av URL-en. På HTTPS-nettsteder skal et lite låseikon vises til venstre for URLen. Du kan klikke på dette og bekrefte ektheten av nettstedet.

Hvis sertifikatet er utløpt, eller hvis du ikke er sikker på at du kan stole på nettstedet av en eller annen grunn, kan du ta det offline. Budd fortalte SecurityWatch at noen forsikringsleverandører kan nås via telefon eller personlig.

De fleste moderne nettlesere, som Chrome, vil kaste opp en advarselskjerm hvis de oppdager noe uvedkommende om nettstedets sertifisering. "Hvis nettleseren din reiser en advarsel, kan du stoppe der med mindre du vet hva du gjør, " sa Budd.

Tid for forandring

Budd erkjente at statene har en oppoverbakke kamp for å takle sikkerhetsspørsmålene rundt markedsplassene. Han sa at offentlig nøkkelinfrastruktur, den kryptografiske teknologien som sikrer denne typen kommunikasjon, var "en av de mest kompliserte, kostbare og forvirrende teknologiene der ute." Legg til det faktum at de fleste stater er festet med kontanter i disse dager, og det er ikke overraskende at disse problemene eksisterer.

For å beskytte brukere mot svindlere sa Budd at den første prioriteringen burde være å få SSL på plass for hvert nettsted tilknyttet ACA. Deretter foreslo han at det skulle opprettes et sel - som det som ble brukt av Verisign - slik at mindre teknisk kyndige mennesker vet at de er på et legitimt nettsted. Han foreslo også at den føderale regjeringen kunne følge ledelsen til finansnæringen og revidere ACA-nettsteder.

Budd understreket at forsikringsmarkedene - faktisk hele tjenesten - er helt nye. Han pekte igjen på finanssektoren, som tok år å finjustere tilnærmingen til online-tjenester. Gitt nivået av interesse for dette programmet, vil ikke svindlere og spammere være langt etter. Forhåpentligvis vil Marketplace-nettstedene modnes raskt nok til å møte disse truslene.