Tissy Tech

Aza Raskin (il figlio del celebre Jef Raskin , che avviò il progetto Macintosh per Apple)  ha segnalato un nuovo metodo di phishing che si chiama tabnabbing.

Finora il phishing era attuato tramite una mail  inviata ai malcapitati contenente un link (che porta ad una pagina identica a quella di un servizio usato dalla vittima, ad es bancoposta) e l’invito a cliccare e inseire propri dati di autenticazione.

Ormai è talmente noto e stranoto che dubito ci sia ancora qualcuno che cada nel tranello.

Il tabnabbing è più insidioso e funziona bene con le persone che, tipo me, tengono aperti tantissimi tab nel proprio browser.

- Di cosa si tratta?di un codice javascript inserito in una qualsiasi pagina web, più il contenuto è interessante più è probabile che la persona che lo sta visitando lasci la pagina aperta e prosegua con la navigazione aprendo un nuovo tab…

-   La pagina contenente il javascript “si accorge” di essere inattiva e dopo qualche secondo muta il suo contenuto, la favicon e il titolo simulando perfettamente gmail, facebook o qualsivoglia servizio.

-  La maggior parte degli utenti non immagina neanche che una pagina possa essere cambiata e quindi crederà di aver lasciato gmail (ad es) aperto e inserirà i dati di accesso

- i dati vengono salvati sul server del ‘truffatore’ o inviati a un indirizzo email e poi trasmessi alla vera pagina del servizio (in questo modo gli utenti non sospetteranno nulla di anomalo perché accederanno effettivamente al servizio)

ovviamente basterebbe dare un’occhiata all’url per accorgersi dell’inganno ma sono certa che sono pochissimi quelli che lo farebbero, senza contare che esistono metodi per mascherare anche l’url effettivo.

Un esempio pratico lo trovate sulla pagina di Aza Raskin , dopo averla caricata aprite un nuovo tab e aspettate qualche secondo. Il primo tab cambierà aspetto e diventerà un perfetto fake di gmail.
(ho provato con internet explorer, con chrome, con firefox e ha sempre funzionato )

Se volete provare il javascript lo trovate qui (ovviamente a solo scopo di studio, non vi sto invitando a trasformarmi in “pescatori” ecc ecc )

Qui sotto invece potete gustarvi un video dimostrativo:

AGGIORNAMENTO LUGLIO 2011: Attenzione io non fornisco password di terze persone e cancello sempre tutti i commenti di persone che si spacciano per hacker pronti a trovarvi la password dietro compenso per due motivi 1) è illegale appropriarsi di password altrui ed utilizzarle  2) la maggior parte di questi sedicenti esperti sono truffatori quindi non fatevi abbindolare!!!