Фишинг-атака крадет ваши личные данные из автозаполнения браузера и менеджеров паролей

Мы все используем функцию автозаполнения браузера для заполнения личной информации, которая постоянно требуется для регистрации на новых сервисах или для таких вещей, как онлайн-покупки. Функция автозаполнения возникла из нашей необходимости, но недавно было обнаружено (уже довольно давно), что браузер может выдавать вашу информацию фишерам. К сожалению, то же самое касается и менеджеров паролей, инструмента, который мы используем для генерации надежных паролей для различных сайтов и их сохранения.

Вильями Куосманен, финский веб-разработчик и хакер, обнаружил, что несколько браузеров, включая Chrome, Safari от Apple, Opera и утилиты, такие как LastPass, могут быть обмануты, чтобы выдавать личную информацию пользователей, которую браузеры получают из систем автозаполнения, связанных с профилями.

Атака основывается на обмане пользователей: когда пользователи вводят информацию в любое из полей, автозаполнение вводит другую информацию в любые другие поля, даже те, которые не видны на странице. Что происходит здесь, так это то, что когда пользователь намеревается предоставить только основную информацию, фишер получает доступ ко всей информации, хранящейся в автозаполнении. Не нужно говорить, что фишер также получит доступ к другой информации, включая информацию о кредитных картах, почтовые адреса и другие сервисы, на которые пользователь подписался. Если вам интересно, вы можете проверить этот демонстрационный сайт, который попросит вас ввести вашу электронную почту и имя, но после отправки отобразит другую личную информацию, используя ваш номер мобильного телефона и дату рождения.

Вот почему мне не нравится автозаполнение в веб-формах. #фишинг #безопасность #инфобезопасность pic.twitter.com/mVIZD2RpJ3 — viljami.io 🇺🇸 (@anttiviljami) 4 января 2017

Тем не менее, Firefox, похоже, является единственным браузером, который защищен от таких атак, поскольку он еще не поддерживает систему автозаполнения для нескольких полей, поэтому не может быть заставлен заполнять другую информацию без активации текстовых полей. Фишинг-атака все еще основывается на обмане пользователей, побуждая их хотя бы ввести какую-то информацию с помощью автозаполнения, и тогда путь для атакующих свободен. Усугубляет ситуацию тот факт, что автозаполнение включено по умолчанию в некоторых браузерах, включая Google Chrome, и рекомендуется отключить его, чтобы защитить себя от такой атаки. Тем временем также будьте внимательны к подозрительным страницам, прежде чем предоставлять какие-либо данные.