🤨 Скрытая подмена

На днях открыл для себя новый вид атаки — Tabnabbing attack. Гениальная атака методом социальной инженерии, открытая в 2010 году безопасником Aza Raskin из США.

Её суть заключается в том, что злоумышленник изменяет содержимое неактивной вкладки браузера, чтобы обмануть пользователя и заставить его ввести конфиденциальные данные (например, логин и пароль) на поддельной странице.

В чём отличие от обычного фишинга? А в том, что по началу пользователю предоставляется легитимный контент. Главная задумка — дождаться, пока пользователь уйдет с вкладки и забудет про данный сайт. Далее, когда он будет вновь проходиться по открытым вкладкам, наткнётся на тот же мошеннический сайт, но там уже будет, например, поддельная страница авторизации в Google.

А ещё есть Reverse Tabnabbing — атака, которая работает в обратную сторону. Вместо того чтобы обманывать пользователя поддельным сайтом (социальной инженерией), она использует уязвимости на сайте. Не путайте с обычной Tabnabbing атакой. Если интересно, сделаю пост именно про Reverse Tabnabbing в будущем.

А как часто у вас накапливаются вкладки браузера? :)

#хакинг