Ti è mai successo di usare la single sign-on option per accedere a un sito terzo? Questa procedura è oggi alla base della tecnica di phishing «Browser-in-the-Browser»
Con il termine phishing si intende un tipo di truffa effettuata su Internet attraverso la quale un hacker cerca di ingannare la vittima convincendola a fornire informazioni personali, dati finanziari o codici di accesso, fingendosi un ente affidabile in un ambiente digitale. Questa truffa esiste da lungo tempo e spesso a farne le spese sono gli utenti meno attenti di internet.
Se in passato era molto più semplice accorgersi col dovuto anticipo di una potenziale minaccia di phishing, che spesso ci appariva sotto forma di email dal contenuto ambiguo pieno di errori grammaticali, oggi la situazione è ben diversa. Con lo sviluppo di internet e la nascita delle nuove tecnologie, anche gli hacker, spesso malintenzionati, hanno migliorato le loro capacità di trarre in inganno i malcapitati utenti.
La tecnica di phishing Browser-in-the-Browser si verifica quando l’hacker predispone, una volta entrati in una determinata pagina, l’apertura di un falso pop-up nel quale è richiesto di inserire le credenziali di uno dei nostri social per poter accedere al contenuto o al servizio; una volta immesse, queste ci vengono sottratte. La funzione alla base di questa truffa si chiama single sign-on option (SSO) o opzione di iscrizione singola.
Questa ci consente di accedere a un sito che richiederebbe un’iscrizione separata, utilizzando le credenziali di un sito web al quale siamo già iscritti (Twitter, Google, Facebook).
L’utilità di questa opzione giace nel consentirci di accedere a un sito senza dover effettuare una nuova registrazione (e risparmiandoci quindi l’ennesima password da ricordare).
Come difendersi dall’attacco Browser-in-the-Browser
Purtroppo non è semplice riconoscere quando si è a rischio di un attacco di questo tipo, infatti, con il tempo gli hacker sono diventati sempre più bravi a rendere i pop-up falsi uguali a quelli originali.
Naturalmente, sembra irragionevole smettere di usare una funzione comoda come SSO per colpa di questo rischio, è anche vero che dal momento che questo tipo di attacco si sta diffondendo diventa necessario prestare maggiore attenzione.
Fortunatamente, un modo per riconoscere questa truffa c’è: quando andremo a premere sul tasto “accedi con...” (Facebook, Google o altri strumenti) su un sito genuino, una volta aperto il pop-up saremo liberi di spostarlo o nasconderlo dietro a un’altra finestra.
Qualora invece si trattasse di un tentativo di phishing, il pop-up rimarrà ancorato alla pagina, impedendoci di spostarlo.
Nel caso in cui questo si verifichi è necessario astenersi dall’inserire le proprie credenziali, chiudere la pagina e se possibile segnalarla alle autorità competenti come la polizia postale.
© RIPRODUZIONE RISERVATA
