Atak typu Browser In The Browser na użytkowników platformy Steam, czyli dobry menedżer haseł i/lub klucz sprzętowy (dodatkowym) strażnikiem Twojego bezpieczeństwa

W ostatnich godzinach “w internetach” – choć głównie tych związanych z bezpieczeństwem – głośno o nowej kampanii, w której oszuści w mediach społecznościowych za pomocą reklam, próbują zwabić użytkowników na stronę z fałszywym oknem logowania do serwisu Steam (tego z m.in. grami). I nie byłoby w tym nic ciekawego, gdyby nie to, że mamy tu do czynienia z techniką zwaną “Browser In The Browser”, która teoretycznie może zmylić osoby, które “nawet” weryfikują, czy adres strony w pasku adresu przeglądarki jest prawidłowy.

A wszystko dlatego, że na oszukańczej stronie jest wyświetlane coś w rodzaju popupu, ale takiego, które udaje okno przeglądarki. A skoro udaje, to można tam również udawać, że adres jest prawidłowy. Natomiast nie jest to idealne, więc raczej choć trochę czujne osoby nie powinny się nabrać.

Ale sama notatka na ten temat powstaje dlatego, że w poradach, jak się ustrzec (również) przed tego typu oszustwem, często pojawia się jako rozwiązanie sprzętowy klucz typu U2F, jak np. YubiKey. I choć sam posiadam kilka takich kluczy (YubiKey 5 NFC i YubiKey 5C NFC), z których korzystam, to daleki jestem od polecania tego rozwiązania mniej zaawansowanym użytkownikom. Nie dlatego, że korzystanie z nich jest trudne, bo wręcz przeciwnie (np. włóż do portu USB i dotknij, gdy pojawi się odpowiedni komunikat). Po prostu jest to kolejny element, który najlepiej nosić przy sobie, a do tego zawsze koniecznie dodawać do konta minimum dwa takie klucze, albo alternatywną metodę uwierzytelnienia. A to oznacza i “zamieszanie”, i koszty… Dlatego zamiast tego, albo jak u mnie – do tego, proponuję menedżer haseł, który nie tylko pozwoli sprawniej zarządzać hasłami, ale też właśnie sprawdzi “za nas” (samemu też weryfikujemy!), czy strona, na której jesteśmy, jest faktycznie tą, za którą się podaje. I tu polecam usługę, z której sam korzystam, czyli Bitwarden. Nawet w wersji bezpłatnej…