Tabnabbing

Název útoku byl vytvořen na počátku roku 2010 Azou Raskinem, bezpečnostním výzkumníkem a designovým expertem.[1][2] Útok zneužívá uživatelské důvěry a nepozornosti k detailu, co se týče karet prohlížeče, a schopnosti moderních webových stránek přepsat svůj obsah dlouho poté, co byla stránka načtena. Tabnabbing funguje opačným způsobem oproti většině phishingovým útokům v tom, že nenabízí uživateli možnost kliknutí na podvodný odkaz, ale místo toho načte podvodnou stránku do jedné z karet v prohlížeči.[3]

Exploit využívá skript k přepsání webové stránky imitací známé webové služby poté, co byla daná stránka ponechána nějakou dobu bez povšimnutí. Uživatel, který ke stránce po chvíli vrátí, nalézá přepsanou webovou stránku, může být přesvědčen o její autenticitě a zadá své uživatelské údaje, heslo a další osobní údaje, které mohou být posléze zneužity. Útok pak má větší šanci na úspěch, pokud skript kontroluje sítě, které uživatel procházel v minulosti, nebo jejichž stránky má otevřené v jiných záložkách. Útok může být též proveden i se zakázaným JavaScriptem prostřednictvím použití tagu meta refresh používanému k přesměrování, který způsobí opětovné načtení specifikované nové stránky po zadaném časovém intervalu.[4]

Například rozšíření NoScript pro prohlížeč Mozilla Firefox je schopen zabránit útokům založeným jak na JavaScriptu, tak bezskriptovým útokům založeným právě na tagu meta refresh prostřednictvím znemožnění neaktivním kartám změnit adresu načtené stránky.[5]

V tomto článku byl použit překlad textu z článku Tabnabbing na anglické Wikipedii.