ब्राउज़र बग ई-मेल के बिना फ़िशिंग की अनुमति दे सकता है

सभी प्रमुख ब्राउज़रों में मिली एक बग सुरक्षा विक्रेताओं ट्रस्टियर के शोधकर्ताओं के मुताबिक अपराधियों के लिए "इन-सत्र फ़िशिंग" नामक एक नए प्रकार के हमले का उपयोग करके ऑनलाइन बैंकिंग प्रमाण-पत्र चोरी करना आसान बना सकता है।

इन-सत्र फ़िशिंग (पीडीएफ) बुरे लोगों को इन दिनों फिशर्स का सामना करने वाली सबसे बड़ी समस्या का समाधान देती है: नए पीड़ितों तक कैसे पहुंचे। पारंपरिक फ़िशिंग हमले में, स्कैमर लाखों फनी ई-मेल संदेश भेजते हैं जैसे वे बैंक या ऑनलाइन भुगतान कंपनियों जैसे वैध कंपनियों से आते हैं।

उन संदेशों को प्रायः स्पैम-फ़िल्टरिंग सॉफ़्टवेयर द्वारा अवरोधित किया जाता है, लेकिन इन-सत्र फ़िशिंग के साथ, ई-मेल संदेश समीकरण से बाहर निकाला जाता है, जिसे पॉप-अप ब्राउज़र विंडो द्वारा प्रतिस्थापित किया जाता है।

[आगे पढ़ने: अपने विंडोज पीसी से मैलवेयर कैसे निकालें]

यहां एक हमला है काम करेगा: बुरे लोग एक वैध वेब साइट हैक करते हैं और एचटीएमएल कोड लगाते हैं जो पॉप-अप सुरक्षा चेतावनी विंडो की तरह दिखता है। पॉप-अप तब पीड़ित से पासवर्ड और लॉगिन जानकारी दर्ज करने के लिए कहेंगे, और संभावित रूप से बैंकों द्वारा अपने ग्राहकों की पहचान सत्यापित करने के लिए इस्तेमाल किए गए अन्य सुरक्षा प्रश्नों का उत्तर देगा।

हमलावरों के लिए, कठिन हिस्सा पीड़ितों को विश्वास दिलाएगा कि यह पॉप -अप नोटिस वैध है। लेकिन ट्रस्टियर के मुख्य प्रौद्योगिकी अधिकारी अमित क्लेन ने कहा, "ब्राउजर इंजन के सभी सबसे व्यापक रूप से उपयोग किए जाने वाले ब्राउज़रों के जावास्क्रिप्ट इंजन में मिली बग के लिए धन्यवाद, इस प्रकार का हमला अधिक विश्वासयोग्य लगता है।

ब्राउजर के तरीके का अध्ययन करके जावास्क्रिप्ट का उपयोग करें, क्लेन ने कहा कि उन्हें यह पहचानने का एक तरीका मिला है कि कोई वेबसाइट पर लॉग इन है या नहीं, बशर्ते वे एक निश्चित जावास्क्रिप्ट फ़ंक्शन का उपयोग करें। क्लेन इस समारोह का नाम नहीं देंगे क्योंकि यह अपराधियों को हमला शुरू करने का एक तरीका देगा, लेकिन उन्होंने ब्राउज़र निर्माताओं को अधिसूचित किया है और उम्मीद है कि बग अंततः पैच हो जाएगा।

तब तक, अपराधियों को जो दोष की खोज करते हैं, वे कोड लिख सकते हैं चाहे वेब सर्फर लॉग इन हैं, उदाहरण के लिए, 100 बैंकिंग साइटों की पूर्व निर्धारित सूची। उन्होंने कहा, "इस यादृच्छिक फ़िशिंग संदेश को सिर्फ पॉप अप करने के बजाय, हमलावर जांच कर और यह पता लगाकर अधिक परिष्कृत हो सकता है कि उपयोगकर्ता वर्तमान में 100 वित्तीय संस्थानों में से एक में लॉग इन है या नहीं।"

"तथ्य यह है कि आप ' वर्तमान में सत्र में फ़िशिंग संदेश में बहुत सी विश्वसनीयता प्रदान की जाती है। "

सुरक्षा शोधकर्ताओं ने यह निर्धारित करने के अन्य तरीकों का विकास किया है कि पीड़ित किसी निश्चित साइट पर लॉग इन है या नहीं, लेकिन वे हमेशा विश्वसनीय नहीं होते हैं। क्लेन ने कहा कि उनकी तकनीक हमेशा काम नहीं करती है लेकिन इसका इस्तेमाल बैंकों, ऑनलाइन रिटेलर्स, गेमिंग और सोशल नेटवर्किंग साइटों सहित कई साइटों पर किया जा सकता है।