Podvodný útok Browser-in-the-Browser a jak se mu bránit

Přihlašování přes Google nebo Microsoft účet se stalo standardem moderního webu. Jedno kliknutí, vyskakovací okno, potvrzení a jste přihlášeni. Co se ale stane, když toto okno není reálným prohlížečem, ale pouze dokonalou vizuální iluzí vykreslenou v kódu stránky? Právě tak funguje rafinovaná kybernetická hrozba známa jako útok Browser-in-the-Browser. Tato metoda dokáže obelstít i velmi zkušené uživatele, kteří jsou jinak zvyklí kontrolovat adresní řádek a přítomnost bezpečnostního certifikátu. Sofistikovanost této techniky posouvá klasický phishing na zcela novou úroveň.

Jak přesně útok Browser-in-the-Browser funguje?

Při běžném přihlášení přes SSO (Single Sign-On) otevře webové rozhraní samostatné pop-up okno operačního systému. V něm proběhne autentizace na oficiální doméně. Při metodě zvané útok Browser-in-the-Browser však útočník na podvržené stránce vytvoří simulované okno prohlížeče za použití běžného kódu HTML, CSS a JavaScriptu.

Toto okno vypadá k nerozeznání od skutečného. Obsahuje tlačítka pro zavření, minimalizaci, kompletní grafické prvky Chrome nebo Edge a především plně funkčně vypadající adresní řádek. Ten zobrazuje legitimní adresu, například accounts.google.com, včetně green lock ikony. Vše je ale pouze vizuální trik uvnitř samotné zákeřné záložky.

Podvržené okno nelze přetáhnout mimo hranice mateřské záložky prohlížeče, což je jeho největší slabina.

Proč na tuto techniku naletí i zkušení uživatelé

Bezpečnostní experti roky vštěpovali veřejnosti jednoduché pravidlo: vždy zkontrolujte URL adresu v adresním řádku. Útok Browser-in-the-Browser tuto obrannou linii dokonale obchází. Uživatel totiž po kliknutí na tlačítko přihlášení vidí přesně to, co očekává – správnou doménu a šifrované spojení.

Navíc tyto skripty podporují i tmavý režim nebo přizpůsobení jazyku operačního systému. Pokud zadáte své přihlašovací údaje a jednorázový kód z dvoufázového ověření, útočník je v reálném čase zachytí a okamžitě použije k převzetí vašeho skutečného účtu.

Jak se efektivně chránit před moderním phishingem

Přestože je iluze téměř dokonalá, existují způsoby, jak tento typ manipulace odhalit a účinně se bránit:

• Zkuste okno přetáhnout: Zkuste pop-up okno posunout přes okraj hlavní záložky nebo mimo obrazovku. Pokud okno zmizí pod okrajem prohlížeče, jde o podvrh.
• Používejte správce hesel: Důvěryhodní správci hesel rozpoznají reálnou doménu webu. Na podvržené okně vám automaticky nenabídnou vyplnění údajů, protože se stále nacházíte na útočníkově webu.
• Hardware klíče (FIDO2/YubiKey): Fyzické bezpečnostní klíče jsou vůči této metodě imunní, jelikož kryptograficky ověřují reálnou doménu v prohlížeči.

Ochrana před moderními hrozbami vyžaduje neustálou ostražitost. Sofistikovaný útok Browser-in-the-Browser ukazuje, že vizuálním prvkům na obrazovce již nelze slepě důvěřovat a klíčovou roli přebírají automatizované bezpečnostní nástroje.

Setkali jste se již s tímto typu podvodu, nebo spoléháte na správce hesel a hardwarové klíče? Podělte se o své zkušenosti v komentářích!