Când vezi o fereastră de autentificare cu Google, Microsoft sau alt serviciu cunoscut, primul impuls este să verifici adresa din bara de sus. Problema este că, în atacurile de tip Browser-in-the-Browser, acea „fereastră” poate să nu fie o fereastră reală a browserului. Poate fi doar o bucată de pagină desenată de atacator, suficient de convingătoare încât să imite un pop-up OAuth legitim.
Tehnica a fost documentată public de cercetătorul cunoscut ca mr.d0x în 2022 și rămâne relevantă pentru phishing, mai ales în contexte în care oamenii sunt obișnuiți să apese „Conectează-te cu Google”, „Sign in with Microsoft” sau „Continuă cu Apple”. Nu vorbim despre o vulnerabilitate nouă confirmată într-un browser, ci despre abuzarea încrederii utilizatorului în elemente vizuale familiare.
Ce este, de fapt, Browser-in-the-Browser
Într-un flux OAuth normal, un site te poate redirecționa către furnizorul de identitate sau poate deschide o fereastră separată de autentificare. Acolo verifici domeniul, introduci parola sau aprobi accesul cerut de aplicație.
În varianta falsă, atacatorul construiește în propria pagină o fereastră care arată ca un pop-up de browser: are bară de adresă, titlu, butoane de închidere și uneori chiar un domeniu aparent corect. Diferența importantă este că acea bară nu aparține browserului. Este doar grafică în interiorul paginii atacatorului.
Asta schimbă modul în care trebuie să privim verificarea linkurilor. Sfatul „uită-te la adresă” rămâne util, dar trebuie aplicat la bara reală a browserului, nu la o bară desenată în mijlocul paginii.
Semne care ar trebui să te oprească
Primul semn este comportamentul ferestrei. O fereastră reală de browser poate fi mutată în afara tabului, poate fi separată de pagina inițială și se comportă ca o aplicație proprie. O fereastră falsă rămâne captivă în pagină. Dacă o tragi spre marginea ecranului și dispare sub limita tabului, e un semnal clar că nu este o fereastră reală.
Al doilea semn este bara de adresă principală. Domeniul important este cel din partea de sus a browserului, nu cel din pop-up-ul desenat. Dacă pagina principală este pe un domeniu necunoscut, prescurtat, ciudat sau diferit de serviciul la care crezi că te autentifici, oprește-te.
Al treilea semn este graba. Phishingul încearcă des să te facă să acționezi rapid: cont blocat, document urgent, factură, ofertă limitată, problemă de securitate. CISA și NCSC recomandă prudență la mesaje care cer acțiuni imediate, date personale sau accesarea unor linkuri neașteptate.
OAuth nu înseamnă doar parolă
Un risc separat este așa-numitul consent phishing. Microsoft explică faptul că atacatorii pot încerca să convingă utilizatorii să acorde permisiuni unei aplicații cloud malițioase. În acest caz, poate nici nu ți se cere parola; ți se cere să aprobi acces la date, e-mail, fișiere sau profil.
De aceea, e important să citești ecranul de consimțământ. Dacă o aplicație necunoscută cere acces larg la cont, mesaje, fișiere sau contacte, refuză. Pentru firme, administratorii ar trebui să limiteze aplicațiile care pot primi permisiuni și să verifice periodic aplicațiile conectate.
Ce faci practic înainte să te autentifici
Intră manual în serviciul respectiv, tastând adresa cunoscută în browser sau folosind aplicația oficială. Nu te autentifica din linkuri primite pe e-mail, mesagerie sau reclame, mai ales dacă nu ai inițiat tu acțiunea.
Activează autentificarea în doi pași, preferabil cu o aplicație de autentificare sau o cheie de securitate, acolo unde este posibil. Nu aprobă notificări de autentificare dacă nu ai încercat chiar tu să intri în cont.
Pentru conturile importante, verifică periodic lista de aplicații conectate și revocă accesul aplicațiilor pe care nu le recunoști. Într-o firmă mică, această verificare ar trebui tratată ca parte din igiena digitală de bază, la fel ca actualizările și backupurile.
Browser-in-the-Browser funcționează pentru că arată familiar, nu pentru că este magie tehnică. Cea mai bună apărare este să încetinești puțin: verifică bara reală a browserului, comportamentul ferestrei și permisiunile cerute. Dacă ceva pare prea urgent sau prea bine aranjat ca să fie firesc, închide pagina și intră în cont pe calea oficială.
