Se upp för falska obamacare-försäkringsmarknadsplatser

Mitt i striderna i Washington och rapporterna om avbrott på Marketplace-webbplatsen har en fråga kring Affordable Care Act (aka Obamacare) inte tagits upp: bedragare.

Säkerhetsföretaget Trend Micro rapporterade att de redan ser skräppost riktad mot ord som "medicare", "registrering" och "medicinsk försäkring." Dessa villkor är inte riktigt på plats just nu, men Trend Mikros hotkommunikationschef Christopher Budd sa till SecurityWatch att djupa problem med Marketplace-webbplatserna kan göra saker mycket värre.

En förvirrande webb

"De flesta stater har sina egna officiella statliga webbplatser, och sedan kan du ha tredjeparts mäklarsajter, " förklarade Budd och berörde hur försäkringsmarknadsplatserna är organiserade. "Miljön som skapas direkt från grinden är så förvirrande att det skapar utrymme för phishing."

Budd säger att utan ett tydligt sätt att verifiera om en webbplats är officiell eller inte, riskerar människor att hitta sig själva tappade av övertygande utseende bedrägliga webbplatser. Vi har redan sett hur spammare och bedragare är mycket skicklig skräddarsy sina meddelanden för att matcha zeitgeist . Och eftersom dessa webbplatser hanterar medicinska problem och försäkringar, är människor redan beredda att lämna ut massor av personlig information - som deras personnummer. Det är värre än att vissa kommer att registrera sig för hela familjerna, vilket kan ge tjuvar tillgång till mycket personlig information.

Det största problemet, säger Budd, är att vissa av de statliga webbplatserna inte följde bästa praxis för säkerhet - eller till och med tillräckligt märke sig som en del av ACA. "För att ge kredit, den federala webbplatsen är professionell, välmärkt och tillhandahåller SSL, " sade Budd och påpekade hur HealthCare.gov automatiskt använde SSL.

Marknadsplatser på statlig nivå samlades inte så bra. "Det finns några statliga webbplatser som om du går i HTTPS ger det dig ett 404-fel", sade Budd. Andra stater hade testcertifikat istället för legitima, och en tredjepartswebbplats rullade automatiskt Budd tillbaka till HTTP när han försökte ansluta via HTTPS.

Hur man kan vara säker

För att undvika bedrägerier sa Budd att människor inte bör börja med att använda sökmotorer för att hitta information. Sökresultat kan lätt besväras av phishing-webbplatser, och inriktning på populära fraser är en nyckelstrategi som används av scammers.

Istället bör människor börja på https://www.healthcare.gov. Härifrån kan de hitta rätt Marketplace-webbplats för sin stat. Information om legitima tredjepartsförsäkringsleverantörer kan också hittas på dessa webbplatser.

När det är möjligt, anslut via SSL och använd HTTPS istället för HTTP i början av URL: n. På HTTPS-webbplatser bör en liten låsikon visas till vänster om URL: n. Du kan klicka på detta och verifiera webbplatsens äkthet.

Om certifikatet har löpt ut eller om du inte är säker på att du kan lita på webbplatsen av någon anledning, ta det offline. Budd berättade för SecurityWatch att vissa försäkringsleverantörer kan nås via telefon eller personligen.

De flesta moderna webbläsare, som Chrome, kommer att kasta upp en varningsskärm om de upptäcker något otrevligt om webbplatsens certifiering. "Om din webbläsare ger en varning, stanna där om du inte vet vad du gör, " sade Budd.

Dags för förändring

Budd erkände att stater har en uppåtgående kamp som hanterar säkerhetsfrågorna kring marknadsplatserna. Han sade att infrastrukturen med nyckelord, den kryptografiska tekniken som säkerställer den här typen av kommunikation, var "en av de mest komplicerade, kostsamma och förvirrande teknologier där ute." Lägg till det faktum att de flesta stater har fastnat kontanter i dag, och det är inte förvånande att dessa problem finns.

För att skydda användare från svindlare, sade Budd att den första prioriteringen borde vara att få SSL på plats för varje webbplats som är associerad med ACA. Därefter föreslog han att ett segel skulle skapas - som det som används av Verisign - så att mindre tekniskt kunniga människor vet att de är på en legitim webbplats. Han föreslog också att den federala regeringen kunde följa ledningen för finansbranschen och granska ACA-webbplatser.

Budd betonade att försäkringsmarknaderna - verkligen hela denna tjänst - är helt nya. Han pekade igen på finanssektorn, som tog år att finjustera sin strategi för onlinetjänster. Med tanke på intresset för detta program kommer inte scammers och spammers vara långt efter. Förhoppningsvis kommer Marketplace-webbplatserna att mogna tillräckligt snabbt för att möta dessa hot.