El phishing en sesión es una forma de ataque de phishing potencial que se basa en que una sesión de navegación web pueda detectar la presencia de otra sesión (como una visita a un sitio web de banca en línea ) en el mismo navegador web y luego lanzar una ventana emergente que simula haber sido abierta desde la sesión objetivo. [1] Esta ventana emergente, que el usuario ahora cree que es parte de la sesión objetivo, se utiliza luego para robar datos del usuario de la misma manera que con otros ataques de phishing. [2]
La ventaja del phishing en sesión para el atacante es que no necesita que el sitio web atacado se vea comprometido de ninguna manera, sino que se basa en una combinación de fuga de datos dentro del navegador web, la capacidad de los navegadores web para ejecutar contenido activo, la capacidad de los navegadores web modernos para soportar más de una sesión a la vez e ingeniería social del usuario. [3]
La técnica, que explotaba una vulnerabilidad en el manejo de JavaScript de los principales navegadores, fue descubierta por Amit Klein, CTO del proveedor de seguridad Trusteer , Ltd. [4] [5] Las actualizaciones de seguridad posteriores a los navegadores pueden haber hecho que la técnica sea imposible.
{{cite web}}: CS1 maint: archived copy as title (link)[ Se necesita cita completa ]