Aprire molte schede nel browser può essere pericoloso: possono trasformarsi all'improvviso in trappole e sottrarre dati sensibili.
[ZEUS News - www.zeusnews.it - 25-05-2010]
L'ultima frontiera del phishing si chiama tabnapping (gioco di parole tra tab - linguetta, ma anche "scheda" nel browser - e kidnapping - rapimento) e sfrutta una delle abitudini ormai consolidate di molti navigatori: aprire diverse schede in contemporanea all'interno della finestra del browser e poi, con calma, visitarle a una a una.
Questo comportamento apparentemente innocente nasconde un'insidia. Come abbiamo detto può infatti capitare, navigando nel Web, di aprire un certo numero di schede (tab, appunto) con l'intenzione di consultarle con calma in successione; ovviamente, mentre si sta valutando il contenuto di una scheda le altre restano dormienti finché non giunge il loro turno.
Maggiore è il numero di schede aperte, maggiori sono anche le possibilità che non ci si ricordi esattamente tutti i siti che queste dovrebbero ospitare; ed è sfruttando questa debolezza che un malintenzionato può piazzare la propria trappola.
Quando l'utente tornerà sulla scheda in questione, non troverà ad attenderlo la pagina che aveva aperto in principio, ma molto probabilmente non se ne ricorderà nemmeno: vedrà Gmail - o chi per essa - che gli chiederà di fare login, inserirà con leggerezza i propri dati e li consegnerà nelle mani del genio del male che avrà architettato l'inganno.
L'attacco può ulteriormente essere raffinato sfruttando la cronologia del browser per scoprire quali siti l'utente visiti abitualmente e personalizzare così la trappola.
Vedere con i propri occhi una dimostrazione di questo sistema è più facile che spiegarlo. Ecco perché Aza Raskin, Creative Lead di Firefox, ha creato sul proprio blog una pagina adatta allo scopo: per vedere il sistema in funzione è sufficiente aprirla e poi spostarsi su un'altra tab per almeno cinque secondi. Scaduto il tempo, si sarà trasformata nella schermata di login di Gmail.
Raskin ammette che, per semplicità e pigrizia, ha usato uno screenshot della vera pagina di Gmail; ma nulla vieta a un vero malintenzionato di ricreare un convincente facsimile in Html.
Se questo articolo ti è piaciuto e vuoi rimanere sempre informato con Zeus News
ti consigliamo di iscriverti alla Newsletter gratuita.
Inoltre puoi consigliare l'articolo utilizzando uno dei pulsanti qui
sotto, inserire un commento
(anche anonimo)
o segnalare un refuso.
© RIPRODUZIONE RISERVATA |
|
|
||
|
bdoriano