Специалисты Trusteer обнаружили новую форму фишинга

Специалисты Trusteer обнаружили новую форму фишинга

Специалисты из компании Trusteer, которая занимается системами для безопасного подключения клиентов к сайтам финансовых компаний и банков, обнаружили новую форму фишинга. Хотя сфера потенциального применения этого способа, получившего название «in-session», относительно невелика, с его помощью можно обмануть даже опытных пользователей.

Новый способ фишинга «in-session» базируется на уязвимости одной из функций JavaScript, часто используемой на сайтах банков, финансовых компаний, сайтах онлайновых азартных игр и в других веб-приложениях. Дело в том, что после входа в систему эта функция оставляет в памяти компьютера своего рода отпечаток, который можно прочитать из сценариев, исполняемых на других открытых в браузере страницах. В результате злоумышленники могут определить, что у пользователя в текущий момент открыта вкладка с интересующим их сайтом.

Возможный сценарий фишинга с использованием найденной уязвимости примерно таков – если пользователь вошел на защищенный веб-сайт, а в другой вкладке открыл зараженный сайт, может появиться всплывающее окно, похожее на окно защищенного сайта по оформлению. В качестве примера авторы исследования приводят окна с онлайн-опросами или мини-играми. Для продолжения работы со всплывающим окном вредоносный сценарий попросит заново ввести регистрационные данные. Само собой, если пользователь поддастся на эту уловку, преступники смогут получить доступ к его счету в банке или в других службах.

Чтобы этот метод выманивания регистрационных данных сработал, необходимо совпадение двух условий. Во-первых, нужно заразить достаточно популярный сайт, чтобы пользователь с большой вероятностью мог держать открытым вкладку с этим сайтом и вкладку с сайтом своего банка. Во-вторых, злоумышленники должны иметь возможность определить, вошел ли пользователь на нужный сайт в соседней вкладке или уже закончил сеанс.

Для борьбы с фишингом по методу «in-session» исследователи предлагают несколько мер: использование пакета Rapport, который производит их компания, устранение уязвимости в механизме обработки сценариев, который использует браузер, либо обязательный выход из защищенных сеансов подключения перед открытием новых страниц, вкладок, сайтов и т.д. Уязвимости, которую использует фишинг «in-session», подвержены многие популярные браузеры, в том числе IE, Firefox, safari и Chrome. Конечно, эту уязвимость обязательно устранят, но пользователям следует быть максимально внимательными и не вводить свои регистрационные данные ни в каких всплывающих окнах – только в главных страницах защищенных сайтов.

Отчет компании Trusteer о найденной уязвимости в JavaScript и возможных способах ее использования для фишинга «in-session» можно загрузить в виде PDF-документа здесь.

Источник

Сбер разрешил возвращать случайные переводы через СБП без поддержки

«Сбер» запустил новую функцию в «Сбербанк Онлайн», которая позволяет самостоятельно вернуть отправителю перевод, пришедший через Систему быстрых платежей. Идея у сервиса вполне практичная: он должен снизить число мошеннических схем, построенных на так называемых случайных переводах.

Сценарий здесь давно известный. Человеку приходят деньги от незнакомца, а потом с ним связываются и просят вернуть сумму, но уже не туда, откуда она пришла, а на другие реквизиты или какой-нибудь «технический счёт».

В итоге жертва, сама того не понимая, может поучаствовать в выводе похищенных денег и фактически стать дропом.

Теперь в таких случаях деньги можно вернуть прямо в приложении на тот же адрес, с которого они были отправлены. То есть без переписок с неизвестными людьми, без поиска контактов отправителя и без обращения в поддержку банка.

В «Сбере» уточнили, что вернуть перевод таким способом можно в течение 10 дней с момента зачисления средств. Функция будет появляться у пользователей «Сбербанк Онлайн» на Android, начиная с версии 17.3.

Ранее похожий механизм уже работал внутри самого «Сбера» между его клиентами, а теперь возможность распространили и на переводы через СБП.

На фоне борьбы с дропперами новость выглядит вполне логично. В декабре 2025 года Банк России сообщал, что объём операций по подставным счетам снизился более чем втрое по сравнению с 2024-м.

RSS: Новости на портале Anti-Malware.ru