Автозаполнение полей в Chrome, Safari открывает новый вектор для атак

Автозаполнение полей в Chrome, Safari открывает новый вектор для атак

У злоумышленников, занимающихся фишингом появился в арсенале новый инструмент. Обнаружено, что веб-браузеры Chrome и Safari вместе с расширением LastPass автоматически заполняют скрытые поля регистрационной формы.

Финский веб-разработчик Viljami Kuosmanen обнаружил недостатки, затрагивающие самый популярный браузер в мире и браузер от Apple.

Возможность атаки появляется, когда пользователь выбирает функцию автозаполнения при заполнении регистрационных форм – злоумышленники скрывают такие поля как «адрес», «дата рождения» и «номер телефона», отображая лишь основные вроде «имя» и «адрес электронной почты».

Когда пользователь начинает вводить имя, браузер предлагает ему подсказку, которая вставит все данные в поля. Таким образом, данные пользователя будут внесены и в скрытые для него поля и попадут в руки злоумышленников.

Эксперт в свое твиттере опубликовал GIF-анимацию для того, чтобы наглядно показать новый вектор атаки. Пользователи могут проверить свой браузер и расширение, используя специальный сайт, созданный исследователем.

Инженер Mozilla утверждает, что их браузер не затрагивает данная брешь, поскольку он заставляет пользователей вручную выбрать какие именно поля они хотят заполнить.

Anti-Malware Яндекс ДзенПодписывайтесь на канал "Anti-Malware" в Telegram, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

МУЛЬТИФАКТОР запустил пуш-сервис с локализацией данных в России

Компания «МУЛЬТИФАКТОР» объявила о запуске пуш-сервиса собственной разработки — Pushed. Новинка работает в реальном времени и по всему миру, включая Китай; данные обрабатываются и хранятся только на территории РФ.

Скорость доставки пуш-уведомлений составляет 0,1 с. От бесплатных аналогов Pushed также отличает высокий процент доставки (99%).

Сервис предоставляет возможность аналитики отправленных сообщений, отслеживания статуса, кастомизации и каскадирования (отправка СМС, если пуш не доставлен). Он пригоден для использования на устройствах Apple, Android (6+) и российских платформах — «Аврора», «РОСА Мобайл», KasperskyOS.

Разработка вначале предназначалась для внутреннего пользования — в качестве резервного пуш-сервиса для мобильного приложения Multifactor на случай потери доступа к Google Firebase и Huawei Mobile Services. Такой сценарий вполне вероятен из-за массового ухода зарубежных провайдеров с российского рынка.

«Pushed — это сервис пуш-уведомлений с простой интеграцией, высокой скоростью доставки сообщений и качественной конверсией, который работает по всему миру и не несёт санкционные риски, — отметил Константин Ян, генеральный директор МУЛЬТИФАКТОРа. — Главное преимущество продукта в том, что он не использует иностранные сервисы, поэтому все данные пользователей обрабатываются в пределах нашей страны, а это, в свою очередь, гарантирует безопасность и защиту информации».

Anti-Malware Яндекс ДзенПодписывайтесь на канал "Anti-Malware" в Telegram, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru