Selaimen virhe voi sallia tietojenkalastelun ilman sähköpostia

Kaikissa tärkeimmissä selaimissa löydetty vika saattaa helpottaa rikollisten varastamista verkkopankkiin liittyviin tunnistetietoihin käyttämällä uudenlaista hyökkäystä, joka on nimeltään "istuntoinen tietojenkalastelu", tietoturvan myyjän Trusteerin tutkijoiden mukaan.

Istuntojen jälkeinen tietojenkalastelu (pdf) antaa roistoille mahdollisuuden ratkaista suurin ongelma, joka kohdistuu salailijoihin näinä päivinä: kuinka päästä uudet uhrit. Perinteisessä verkkourkintahyökkäyksessä huijarit lähettivät miljoonia väärennettyjä sähköpostiviestejä, jotka näyttävät olevan peräisin laillisilta yrityksiltä, ​​kuten pankkeilta tai verkkomaksayhtiöiltä.

Nämä viestit ovat usein estäneet roskapostisuodatusohjelmiston, mutta

[Lue lisää: Haittaohjelmien poistaminen Windows-tietokoneelta]

Seuraavassa kerrotaan, miten hyökkäys on käynnissä. toimisi: pahat tekijät hakkasivat laillisen Web-sivuston ja kasvattivat HTML-koodin, joka näyttää ponnahdusikkunan varoitusikkunasta. Ponnahdusikkuna pyytää sitten uhria syöttämään salasanan ja kirjautumistietonsa ja mahdollisesti vastaamaan muihin turvallisuuskysymyksiin, joita pankit käyttävät asiakkaidensa henkilöllisyyden tarkastamiseen.

Hyökkääjille kova osa olisi vakuuttavia uhreja, että tämä pop -ilmoitus on oikeutettu. Mutta kaiken yleisimmin käytettyjen selainten JavaScript-moottoreissa löydetyn vian ansiosta on olemassa tapa, jolla tällainen hyökkäys näyttää uskottavalta, kertoo Trusteerin johtava teknologiajohtajan Amit Klein.

Tutkiessaan selaimen tapaa käytä JavaScriptä, Klein kertoi löytäneensä tavan tunnistaa, onko joku kirjautunut Web-sivustoon, edellyttäen että he käyttävät tiettyä JavaScript-toimintoa. Klein ei nimittäisi toimintoa, koska se antaisi rikollisille keinon käynnistää hyökkäys, mutta hän on ilmoittanut selainpäätöksentekijöille ja odottaa, että vika loppuu.

Siihen asti virheet havaitsevat rikolliset voivat kirjoittaa koodia, joka tarkistaa onko Web-surffaajat kirjautunut esimerkiksi ennalta määritettyyn 100 pankkialueen sivustoon. "Sen sijaan, että pelkäsit vain tämän satunnaisen tietojenkalastelun viestin, hyökkääjä voi saada hienompaa tunnistamalla ja selvittämällä, onko käyttäjä kirjautunut johonkin 100: n rahalaitoksen verkkosivustosta."

"Se, että olet"

Turvallisuustutkijat ovat kehittäneet muita tapoja selvittää, onko uhri kirjautunut tiettyyn sivustoon, mutta he eivät aina ole luotettavia. Klein sanoi, että hänen tekniikkansa ei aina toimi, mutta sitä voidaan käyttää useilla sivustoilla, kuten pankkeihin, online-jälleenmyyjiin, pelaamiseen ja sosiaalisiin verkostoihin.