A volte non c'è bisogno di violare direttamente un dispositivo per ingannare gli utenti: può bastare un utilizzo scaltro (e malevolo) di funzionalità perfettamente legittime.

Per esempio lo sviluppatore Jim Fisher ha dimostrato sul proprio blog personale quanto sia semplice sostituire la barra degli indirizzi e delle schede in Chrome per Android con una copia fasulla semplicemente usando alcune tecniche di progettazione web.

In Chrome per Android, quando si fa scorrere verso il basso una pagina web, la barra degli indirizzi viene nascosta automaticamente. Fisher ha scoperto un metodo per impedire che ricompaia quando si fa nuovamente scorrere la pagina verso l'alto e mostrare invece una barra finta, magari completa di indirizzo fasullo e l'icona del lucchetto che indica il sito come "sicuro".

Spunti di approfondimento:

GitLab Duo a rischio: manipolare l'IA è tutt'altro che difficile

Google Chrome dirà addio al lucchetto da settembre

L'email di phishing che arriva davvero da PayPal

Scarica app truffa dall'App Store, perde 600.000 dollari in Bitcoin

Quella ideata da Fisher è soltanto una dimostrazione e per il momento non viene adoperata per condurre alcun tipo di attacco ai danni degli utenti di Chrome, ma il pericolo che ciò possa avvenire nel prossimo futuro è reale.

Oltre a ingannare gli utenti ed esporli al phishing, la tecnica rende difficile abbandonare il sito che la impiega in quando l'interfaccia di Chrome è a tutti gli effetti irraggiungibile, e per chi progetta siti web non è difficile impedire anche il funzionamento del pulsante Indietro.

Per sincerarsi che l'indirizzo mostrato dalla barra corrisponda davvero a quello del sito che si sta visitando il modo più semplice al momento consiste nel bloccare il telefono e poi sbloccarlo: a quel punto Chrome dovrebbe visualizzare la barra reale.