211service.com
Un portale per le tue password
Un ladro che vuole guadagnare denaro rubando informazioni sensibili online può irrompere nei sistemi bancari che memorizzano tali dati o appropriarsene mentre viaggiano su una connessione non sicura. Ma di questi tempi è molto più facile fare phishing, in altre parole, convincere gli utenti Internet incauti a consegnare loro stessi tali informazioni. Per fare ciò, i phisher in genere progettano versioni false di siti Web reali, come una banca o un rivenditore online, e inducono i navigatori inconsapevoli a inserire i propri dati di accesso o i dettagli della carta di credito. Uno stratagemma comune è quello di risucchiarli con un'e-mail che afferma di provenire da una banca reale ma in realtà contiene collegamenti a uno dei siti fasulli dei phisher.
Tuttavia, le potenziali vittime stanno diventando sempre più familiari con questo attacco di phishing di base e molti fornitori di e-mail e browser hanno introdotto contromisure per proteggerle. Quindi i phisher sono alla ricerca di nuovi modi per pungere gli incauti, dice Amit piccolo , CTO di fiduciario , con sede a Tel Aviv, Israele. Ad esempio, il sito di microblogging Twitter viene sempre più utilizzato per distribuire link di phishing.
Tuttavia, Klein afferma che l'attacco [di base] non avrà lo stesso successo in futuro come è stato fino ad ora e, nel tentativo di prevenire futuri attacchi di phishing, la sua azienda sta cercando modi migliori per truffare le persone prima di i cattivi possono. Una nuova preoccupante tattica esplorata da alcuni phisher, afferma Klein, prevede l'hacking in un sito Web legittimo per iniettare codice dannoso che apre una finestra pop-up che richiede nomi utente e password per un sito bancario. Questo approccio ha tuttavia un valore limitato, poiché la maggior parte degli utenti sarà sospettosa della richiesta improvvisa.
A vulnerabilità nei principali browser scoperti di recente da Trusteer potrebbe rendere questo trucco molto più pericoloso, consentendo il phishing in-session e un attacco più personalizzato. Utilizzando questa nuova vulnerabilità, un phisher potrebbe rilevare, tramite il sito compromesso, quando un utente era già connesso a un sito Web bancario. Il sito compromesso potrebbe quindi lanciare un pop-up che avverte l'utente che la sua sessione è scaduta e le chiede di reinserire i suoi dettagli di accesso. Questo approccio avrebbe meno probabilità di sollevare una bandiera rossa, afferma Klein, dal momento che il pop-up non appare completamente inaspettato.
Phishing 2.0 Nota: una vulnerabilità scoperta di recente dalla società di sicurezza Trusteer consentirebbe agli aggressori di lanciare pop-up corrispondenti a quelli di una banca a cui un utente ha già effettuato l'accesso, come mostrato sopra.
La vulnerabilità principale scoperta dai ricercatori israeliani è un difetto del browser Web che consente al phisher di vedere quali altri siti Web sta visitando. Klein spiega che una certa funzione JavaScript, comunemente utilizzata da rivenditori online, istituti finanziari e altri siti, lascia un'impronta che rivela che l'utente ha effettuato l'accesso a quel sito. Klein afferma che protezioni come il blocco dei pop-up non farebbero necessariamente fallire l'attacco perché il sito violato potrebbe essere esso stesso modificato per sembrare una richiesta di accesso di nuovo.
Penso che sia fantastico che stiamo cercando di identificare ulteriori sedi di attacchi di phishing come questo, afferma Nitesh Dhanjani , un ricercatore di sicurezza indipendente che studia i metodi e le tendenze del phishing. Per il momento, dice Dhanjani, questo tipo di attacco va oltre le capacità tecniche del phisher medio. L'asticella è troppo bassa per entrare nel gioco del phishing, quindi i phisher non hanno motivo di evolversi in una comunità sofisticata, dice. Tuttavia, poiché gli utenti sono meglio protetti contro i tipi di attacco più elementari, afferma, l'asticella tecnica per i phisher potrebbe iniziare a salire: forse questo è il momento in cui vedremo tecniche leggermente più avanzate incorporate nei kit di phishing.
Klein afferma che Microsoft, Apple e Mozilla gli hanno detto che intendono rilasciare correzioni per la vulnerabilità del browser scoperta da Trusteer. Aggiunge che gli utenti possono proteggersi facendo attenzione a disconnettersi dai siti bancari e di e-commerce prima di visitare altri siti web.