Adathalászat: néhány éve terjedő módszer okozhat gondot még a legóvatosabbaknak is
A „böngésző a böngészőben” (Browser-in-the-Browser, azaz BitB) egy viszonylag új adathalász módszer, amelynek lényege, hogy a felhasználót egy megtévesztő, hamis bejelentkezési felületre vezetik – mutatja be az Origo a Nemzeti Kiberbiztonsági Intézet szakmai összefoglalója alapján. A csalók által létesített felület úgy néz ki, mintha egy ismert szolgáltató valódi bejelentkező ablaka lenne, még a címsor és a biztonsági jelzések (például a lakat ikon) is hitelesnek tűnnek. A támadás különösen veszélyes, mert a csalók teljesen élethűen tudják utánozni a böngészőablakot, így a felhasználók könnyen megadhatják a bejelentkezési adataikat anélkül, hogy észrevennék a csalást.
Néhány éve ismert ez az adathalász technika
A lap szerint a BitB technika 2022-ben bukkant fel először, és jelenleg is az adathalászat egy kifinomult módja.
A támadók legitimnek tűnő, hamis weboldalakat hoznak létre, amelyeken a felhasználók csak bejelentkezés után tudnak bárminemű műveletet végrehajtani, például hozzászólásokat írni vagy vásárolni, amihez például bankkártyájuk adatait kell megadniuk.
A bejelentkezéshez használt felugró ablakban olyan népszerű szolgáltatások bejelentkezési oldalait másolják le a támadók, mint a Microsoft, a Google vagy a Facebook.
A támadás során a hamis weboldalon felugrik egy hamis bejelentkezési ablak egy népszerű, megbízhatónak tűnő szolgáltató nevében, ám a valódi bejelentkezési oldal helyett a felhasználó egy hamis űrlappal találkozik, noha a bejelentkezési ablak címsorában az URL-cím is valódinak, legitimnek tűnik.
Mivel a támadók olyan URL-címet jelenítenek meg a böngészőablakban, amilyet csak szeretnének, és ugyanez igaz a HTTPS kapcsolatot jelző SSL tanúsítvány szimbólumra (lakat) is, a BitB támadásokat kifejezetten nehéz észrevenni.
Gyakran valamilyen sürgető vagy fenyegető üzenettel próbálják rávenni az áldozatot a bejelentkezésre. Például előfordulhat, hogy egy ismert platform nevében küldenek értesítést állítólagos szabálysértésről vagy gyanús aktivitásról, és azonnali intézkedést követelnek.
Látható tehát, hogy ez az először 2022-ben azonosított csalási módszer igen veszélyes, mert még az egyébként körültekintően eljáró felhasználókat is megtévesztheti. A kibercsalások minden évben több tízmilliárd forintos kárt okoznak a magyar lakosságnak.
Mindez ugyanakkor nem jelenti azt, hogy védtelenül állnánk előtte, több módon is lehet védekezni, hogy elkerüljük az áldozattá válást.
További részletek az Origo cikkében olvashatók.
