Tabnapping, il phishing che rapisce le tab.

Di Redazione di Zeus News.

Aprire molte schede nel browser può essere pericoloso: possono trasformarsi all'improvviso in trappole e sottrarre dati sensibili.

L'ultima frontiera del phishing si chiama tabnapping (gioco di parole tra tab - linguetta, ma anche "scheda" nel browser - e kidnapping - rapimento) e sfrutta una delle abitudini ormai consolidate di molti navigatori: aprire diverse schede in contemporanea all'interno della finestra del browser e poi, con calma, visitarle a una a una.

Questo comportamento apparentemente innocente nasconde un'insidia. Come abbiamo detto può infatti capitare, navigando nel Web, di aprire un certo numero di schede (tab, appunto) con l'intenzione di consultarle con calma in successione; ovviamente, mentre si sta valutando il contenuto di una scheda le altre restano dormienti finché non giunge il loro turno.

Maggiore è il numero di schede aperte, maggiori sono anche le possibilità che non ci si ricordi esattamente tutti i siti che queste dovrebbero ospitare; ed è sfruttando questa debolezza che un malintenzionato può piazzare la propria trappola.

Il primo passo è far capitare l'utente ignaro sul proprio sito, in modo che questo venga aperto insieme ad altri e finisca in una delle schede dormienti. A quel punto, uno script si assicurerà che l'utente sia concentrato su un'altra tab (registrando l'inattività sulla propria) e, silenziosamente, "rapirà" la propria scheda dirigendola su un'altra pagina, magari costruita appositamente per somigliare a un sito famoso, di cui rubare le credenziali (Gmail, per esempio).

Quando l'utente tornerà sulla scheda in questione, non troverà ad attenderlo la pagina che aveva aperto in principio, ma molto probabilmente non se ne ricorderà nemmeno: vedrà Gmail - o chi per essa - che gli chiederà di fare login, inserirà con leggerezza i propri dati e li consegnerà nelle mani del genio del male che avrà architettato l'inganno.

L'attacco può ulteriormente essere raffinato sfruttando la cronologia del browser per scoprire quali siti l'utente visiti abitualmente e personalizzare così la trappola.

Vedere con i propri occhi una dimostrazione di questo sistema è più facile che spiegarlo. Ecco perché Aza Raskin, Creative Lead di Firefox, ha creato sul proprio blog una pagina adatta allo scopo: per vedere il sistema in funzione è sufficiente aprirla e poi spostarsi su un'altra tab per almeno cinque secondi. Scaduto il tempo, si sarà trasformata nella schermata di login di Gmail.

Raskin ammette che, per semplicità e pigrizia, ha usato uno screenshot della vera pagina di Gmail; ma nulla vieta a un vero malintenzionato di ricreare un convincente facsimile in Html.

Zeus News.