Maklumat telah diterbitkan mengenai kaedah pancingan data yang mencipta ilusi borang pengesahan yang sah dengan mencipta semula antara muka penyemak imbas di kawasan yang dipaparkan pada tetingkap semasa menggunakan iframe. Walaupun penyerang sebelum ini cuba menipu pengguna dengan mendaftarkan domain yang dieja sama atau memanipulasi parameter URL, kaedah yang dicadangkan menggunakan HTML dan CSS untuk memaparkan elemen yang menyerupai antara muka penyemak imbas di bahagian atas tetingkap timbul, termasuk bar tajuk dengan butang kawalan tetingkap dan bar alamat yang mengandungi alamat yang tidak sepadan dengan alamat kandungan sebenar.
Memandangkan banyak tapak web menggunakan borang pengesahan melalui perkhidmatan pihak ketiga yang menyokong protokol OAuth, dan borang ini dipaparkan dalam tetingkap berasingan, menghasilkan antara muka penyemak imbas palsu boleh mengelirukan walaupun pengguna berpengalaman dan prihatin. Kaedah yang dicadangkan, sebagai contoh, boleh digunakan pada tapak web yang digodam atau tidak boleh dipercayai untuk mendapatkan kata laluan pengguna.
Penyelidik yang mengenal pasti isu itu menerbitkan set mockup siap sedia yang mensimulasikan antara muka Chrome dalam tema gelap dan terang untuk macOS dan Windows. Tetingkap pop timbul dijana menggunakan iframe yang dipaparkan di atas kandungan. Untuk menambah realisme, pengendali JavaScript dilampirkan untuk membolehkan tetingkap dummy dialihkan dan butang kawalannya diklik.
Sumber: opennet.ru
