The Hacker News piše o novoj tehnici phishinga koja uvelike otežava njegovo otkrivanje. Pomoću tehnike Preglednik u pregledniku (eng. Browser-in-the-browser (dalje: BitB)) moguće je simulirati skočni prozor preglednika kako bi se lažirala legitimna domena, a phishing napad izgledao uvjerljivo.
Ova vrsta napada iskorištava mogućnost Single sign-on prijave (SSO) koja omogućava prijavu pomoću jednog računa u različite, neovisne sustave (npr. prijava Facebook računom u web aplikaciju Canva).
Prilikom odabira opcije „Prijavite se Google računom“ (ili Facebook, Apple, Microsoft) uobičajeno je da se pojavi skočni prozor koji traži potvrdu autentifikacije. BitB napad pokušava imitirati cijeli proces, skočni prozor i formu za prijavu kombinacijom HTML i CSS koda. Kombiniranjem dizajna skočnog prozora i iframe-a, teško je razlikovati legitimno od zlonamjernog web sjedišta. Budući da lažni skočni prozor i forma izgledaju uvjerljivo povećana je šansa za nasjedanje na phishing i odavanje svojih podataka.
Dosad se mislilo da je dovoljno prijeći kursorom preko gumba kako bi se vidjela poveznica na koju gumb vodi ako ga se klikne (“jer poveznica ne laže”). Ali, mr.d0x navodi kako i to više nije dovoljno. Naime, svojstvo poveznice (href) koje se prikazuje prilikom postavljanja kursora preko gumba, može biti lažirano pomoću JavaScripta. Ako se gumbu doda događaj (eng. event) (npr. „onclick“) koji prilikom klika vodi na poveznicu drugačiju od one navedene u href svojstvu, href svojstvo se ignorira, ali se i dalje prikazuje prilikom prijelaza kursorom preko gumba.
Napad može biti toliko vješto izveden da otkrivanjem operacijskog sustava, preglednika i teme koju koristite, prilagodi izgled skočnog prozora svakom korisniku.
Kako bi došli do koraka prijave u formu unutar lažnog skočnog prozora prvo se korisnika mora namamiti na zlonamjerno web sjedište. Zato je iznimno važno prilikom posjeta web sjedištu paziti na uobičajene detalje (https protok, lokot, naziv domene i sl.) kako bi na vrijeme prepoznali prijevaru, jer se otvaranjem lažnog skočnog prozora za prijavu (zbog njegovog uvjerljivog izgleda) uvelike povećava šansa za krađu podataka.
