Ecco un nuovo tipo di attacco, nipote del phishing e figlio degli attacchi da XSS ad attacco di phishing (in quanto viene comunque sfruttato del codice JS).

Molti di voi ormai, sapranno sicuramente che cos’è un attacco di phishing: per i più pigri che non vogliono leggersi il nostro articolo al riguardo, la tecnica di phishing consiste nel ingannare l’utente facendogli eseguire il login su una pagina che è perfettamente identica al servizio di cui ci vogliono rubare i dati di accesso.

Il TabNabbing, è quindi una tecnica con cui cercano di estorcere dati personali sempre attraverso una pagina di login identica al servizio interessato, ma il modo con cui finiamo a inserire i nostri dati sul form malevolo è differente.

Un tipico attacco di phishing, infatti, perviene solitamente attraverso una mail o un messaggio personale.

La caratteristica di questa nuovo tipo di attacco è che và a colpire chi naviga in molti siti dislocati in molte tab aperte contemporaneamente.

Le tab, sono lo schede del nostro browser e ad ogni scheda corrisponde un sito o comunque una pagina.

I navigatori più assidui possono, per abitudine, lasciare schede aperte per una futura consultazione: è proprio lì, quando le lasciamo a riposare, che avviene il fulcro di questo attacco.

Il codice che sarà presente dentro alla pagina, controllerà se la state guardando. Se l’avete lasciata riposare per un tempo prestabilito l’intero sito web (URL escluso ovviamente) si trasformerà magicamente nella pagina di login del servizio che vogliono rubarci.
Phishing
Questa tecnica è molto potente e pericolosa, ma colpirà sopratutto quelli di voi che navigano spesso su molti siti contemporaneamente.

Eccone una dimostrazione in un video dello scopritore di questa tecnica:

La cosa incredibile, è il fatto che la pagina web con lo script può prendere esattamente le stesse sembianze dei siti che visitiamo di solito: favicon compresa.