Browser-in-the-browser: conheça o ‘phishing 2.0’ que rouba logins e senhas

Muitos usuários já estão acostumados o phishing, a técnica clássica de golpes digitais envolvendo páginas falsas que tentam forçar você a colocar dados em um formulário falso. O problema? Agora, uma espécie de evolução dessa técnica já começou a circular e tem mais chances de fazer novas vítimas.

O mecanismo se chama browser-in-the-browser (BitB), ou “navegador-dentro-do-navegador” em uma tradução livre para o português. Ele foi descrito há alguns anos por um pesquisador de cibersegurança como uma possibilidade, mas só agora apareceu como uma possibilidade real de crime virtual.

Browser-in-the-browser

O browser-in-the-browser é uma forma de phishing que simula a abertura de uma janela pop-up dentro de uma página do seu navegador. Dessa forma, você acha que está inserindo as informações de acesso em uma nova janela legítima, em vez de ser só mais uma armadilha dos criminosos;

• O ataque normalmente imita páginas de acesso de serviços mais populares e de empresas de renome, como Microsoft, Google, Facebook e Apple. 
• Ele começa com algum tipo de aviso via email sobre o impedimento de uma ação, como não poder fazer compras ou comentários, ou então a falsa possibilidade de exclusão da sua conta a não ser que você faça o login no sistema usando o navegador;

• É neste ponto que está o diferencial do golpe: em vez de abrir a página de autenticação do serviço na tela seguinte, o site exibe um formulário falso renderizado dentro do próprio site malicioso, como se fosse um pop-up;
• Como ela é uma janela falsa, a própria URL dela na barra de endereços é editada para parecer legítima — enquanto o endereço original da página que você acessou para dar início ao golpe segue sendo fraudulenta;
• O usuário desavisado ou desatento acaba inserindo as informações de acesso na janela e concluindo o login, levando ao roubo dos dados;

Quem identificou a técnica pela primeira vez foi o pesquisador mr.d0x, em 2022. Agora, porém, já há ao menos um exemplo real de uso desse mecanismo para simular o site do Facebook e a tendência é de que isso fique cada vez mais comum, na medida em que os grupos de cibercrime estão cada vez mais especializados em desenvolvimento web.

Evitando o novo golpe

De acordo com a Kaspersky, que documentou a descoberta e a evolução dessa técnica, existe uma forma eficaz de verificar se uma janela de login é legítima: usar um gerenciador de senhas, que avisa você se a URL da página não bater com o endereço atribuído aos seus dados de acesso.

Além disso, ter autenticação em dois fatores ou trocar senhas por chaves de acesso também são considerados um passo a mais para evitar que você perca o acesso à conta tão facilmente, já que esses sites fraudulentos podem não replicar essas etapas mais sofisticadas de login.

Como identificar phishing e se proteger de e-mails fraudulentos? Confira este guia do TecMundo!