Wyłudzanie danych w przeglądarce przy użyciu autouzupełniania przy użyciu ukrytych pól formularza - strzeż się i bądź bezpieczny

Jeśli korzystasz z autouzupełniania przeglądarki internetowej na każdej odwiedzanej stronie, oto kilka ważnych wiadomości dla Ciebie. Stwierdzono, że przeglądarki internetowe, takie jak Chrome, Safari lub inne, które obsługują automatyczne wypełnianie wielu formularzy, mogą zostać oszukane w celu ujawnienia informacji, nawet numerów kart kredytowych, dat ich wygaśnięcia i kodów CVV na stronach internetowych.

Jak działa phish?

Witryna wyłudzająca informacje może mieć widoczne pola formularza lub pola tekstowe do gromadzenia podstawowych informacji, takich jak nazwa użytkownika i adres e-mail. Ponadto strona będzie miała skonfigurowane inne pola formularza, aby pozostały ukryte na stronie internetowej, przy użyciu ujemnych marginesów lub ewentualnie innych metod CSS. Gdy użyjesz autouzupełniania do wypełnienia widocznych pól formularza, ukryte pola formularza również uzyskają odpowiednie dane.

Fiński twórca stron internetowych i haker Viljami Kuosmanen odkrył tę podatność. Założył także stronę demonstracyjną, na której możesz zobaczyć, jak działa phish. Odwiedź jego stronę projektu GitHub, aby uzyskać więcej informacji.

Jeśli spojrzysz na kod źródłowy strony demonstracyjnej, zobaczysz, że dodatkowe pola formularza istnieją na stronie internetowej, ale nie pojawiają się na ekranie. Po wypełnieniu niewinnie wyglądającego pola tekstowego „Nazwa” za pomocą funkcji autouzupełniania pozostałe pola zostaną wypełnione automatycznie. Po kliknięciu przycisku Prześlij wszystkie informacje zostaną opublikowane na stronie.

Firefox nie jest wrażliwy, ponieważ nie obsługuje automatycznego wypełniania wielu formularzy. W przeglądarce Firefox należy wybrać każde pole i wpisać literę początkową lub kliknąć dwukrotnie pole lub nacisnąć strzałkę w dół i kliknąć jeden z elementów listy rozwijanej. Dane nie będą automatycznie wypełniane w ukrytych polach tekstowych.

Zespół Google Chrome może spodziewać się poprawki, ponieważ na pierwszy plan wysunęła się prosta, ale skuteczna metoda phishingu. Do tego czasu wyłącz autouzupełnianie w przeglądarce internetowej lub przynajmniej nie używaj autouzupełniania w witrynach, którym nie w pełni ufasz.

Wyłącz autouzupełnianie w Chrome

W Chrome otwórz Ustawienia, kliknij Pokaż ustawienia zaawansowane.

Odznacz „Włącz autouzupełnianie, aby wypełnić formularze internetowe jednym kliknięciem” w „Hasłach i formularzach”.

Wyłącz autouzupełnianie w Operze

W Operze ustawienie autouzupełniania jest dostępne w Ustawienia> Prywatność i bezpieczeństwo> „Autouzupełnianie”. Odznacz „Włącz automatyczne wypełnianie formularzy na stronach internetowych”.

przez Lifehacker.

Aktualizacja: Właśnie odkryłem, że Yoast napisał o tej luce w 2013 roku. Sprawdź, dlaczego nie należy używać autouzupełniania • Yoast