Il phishing è una delle tecniche di truffa online più utilizzate sin dalla preistoria del web, cercando di far abboccare gli utenti meno esperti, ingannandoli così da recuperare credenziali di accesso, password, codici e altri dati sensibili. Nei primordi del cybercrimine, questi attacchi non erano così sofisticati perché di solito il linguaggio è assai maccheronico, le immagini sgranate e evidentemente manipolate e, soprattutto, l’indirizzo url era farlocco e in bella mostra. Ma oggi quei tempi sembrano molto lontani perché la nuova generazione di attacchi phishing sembra molto più temibile, rendendosi molto più complicata da rilevare anche a un occhio più eserto.
Il nuovo sistema adottato da malintenzionati è quello del cosiddetto browser-in-the-browser o bitb che, come suggerisce il nome, simula una finestra del browser che mostra un dominio legittimo così come una grafica e testi del tutto identici a quelli del portale originario. Come spiegato dal ricercatore di sicurezza mr.dOx, questa tecnica sfrutta la possibilità di accedere a siti tramite terze parti o third-party single sign-on (sso) come per esempio tramite utenza Google, Apple, ma anche Microsoft o Facebook.
Questa pratica di login è ormai utilizzata da tantissimi utenti, che per comodità (e pigrizia) non prestano troppa attenzione alla finestra che si apre per dare il permesso di accesso al sito tramite le credenziali di grandi fornitori, limitandosi a un rapido sguardo alla grafica e alla url. L’attacco bitb replica in modo fedele il sign-in, miscelando sapientemente codice html e css, e “Combina il design della finestra con un iframe che punta al server malevolo che ospita la pagina di phishing - ha spiegato mr.dOx - rendendolo praticamente indistinguibile. JavaScript può essere facilmente utilizzato per far apparire la finestra su un collegamento o un clic su un pulsante, sul caricamento della pagina e così via”.
Semplificando, funziona un po’ come le vecchie truffe ai bancomat con i malintenzionati che applicavano una sorta di fessura secondaria su quella legittima: anche qui c’è una maschera sviluppata ad hoc per apparire in sovraimpressione e trarre in inganno l’utente. Come fare per accorgersi di questo attacco così ben realizzato? Come nel caso di un bitb che aveva colpito Steam, serviva spostare la finestra con il mouse, così da accorgersi se sopra la finestra legittima in pop-up era presente la maschera malevola. Ecco la disamina tecnica completa di mr.dOx su questo attacco.
Dolce&Gabbana sarà presente alla Digital Fashion Week di Milano, sfilando il 15 luglio alle 17:30 nei giardini del Campus University dell’Ospedale Humanitas.
Digitando il prezzo, il venditore di un token di Bored Ape ha messo una virgola fuori posto. Il prezioso token è stato subito comprato, ritornando in commercio per quasi 250mila dollari
L’Italia non segue la scelta della Francia di rinviare la giornata dello shopping scontato. Categorie divise: aumentano le pmi che sfruttano i canali ecommerce
Il social network avrebbe voluto cambiare le proprie regole per imporre agli utenti profilazione e pubblicità personalizzata, ma senza consenso e senza alcuna possibilità di rifiutarle, ma ha desistito
Dolce&Gabbana sarà presente alla Digital Fashion Week di Milano, sfilando il 15 luglio alle 17:30 nei giardini del Campus University dell’Ospedale Humanitas.
Dal 2015 al 2021 i giocatori in Africa sono aumentati da 77 a 186 milioni. Una popolazione giovanissima e la rapida penetrazione dei dispositivi mobili sono le chiavi per la crescita, che tra il 2021 e il 2026 si stima sarà del 12%
Questo sito utilizza cookie tecnici funzionali all’esperienza di navigazione e cookie di terze parti. Per maggiori informazioni sui cookie utilizzati da questo sito e/o negare il Suo consenso alla loro installazione, La invitiamo a prendere visione della Cookie policy del sito. La prosecuzione della navigazione mediante accesso ad altra area del sito o selezione di un suo elemento (ad esempio cliccando su un’immagine o un link) comporta la prestazione del consenso all’uso dei suddetti cookie.
