Ризики автозаповнення в браузері
Приховані поля непомітно викрадають дані, які підставляє автозаповнення.
Що таке Ризики автозаповнення в браузері?
Автозаповнення підставляє дані в усі відповідні поля сторінки, зокрема приховані стилями CSS або винесені за межі екрана. Безкоштовна реєстрація на конференцію просить ім'я, електронну адресу, компанію й посаду, а потім картку, щоб закріпити місце. Поля, яких ви не бачите, забирають вашу домашню адресу, номер телефону та строк дії картки. Ви пройдете шлях від сповіщення про шахрайство до коду сторінки, побачите, як побудовано приховані поля, і подасте звіт про інцидент. Після цього ви вимкнете автозаповнення для платіжних даних та адрес.
Що ви дізнаєтесь у Ризики автозаповнення в браузері
- Розпізнавайте, як приховані поля форм використовують автозаповнення в браузері, щоб забирати чутливі дані без відома користувача
- Налаштовуйте автозаповнення в браузері так, щоб воно не підставляло платіжні дані й адреси
- Перевіряйте справжність сайту за статусом HTTPS і доменом, перш ніж надсилати дані форми
- Дійте за правилами реагування на інциденти, якщо виявили викрадення даних через автозаповнення
- Пояснюйте технічний механізм атак через приховані поля та те, чому браузери заповнюють невидимі поля
Ризики автозаповнення в браузері — Кроки навчання
-
Звичайний вівторок
Вівторок, ранок. Аліса переглядає пошту перед дзвінком із клієнтом об 11:00. У неї є кілька хвилин, щоб розібрати внутрішні листи.
-
Запрошення на конференцію
Надходить новий лист від Маркуса Чена, колеги з команди стратегії.
-
Сторінка реєстрації
Алісі конференція здається корисною для роботи. Вона переходить за посиланням, щоб зареєструватися до дзвінка об 11:00.
-
Проста форма
Сторінка реєстрації виглядає професійно: охайний дизайн, фото спікерів і проста форма з чотирьох полів. Вона просить лише базові дані.
-
Закріпіть місце
З'являється друга сторінка: реєстрація безкоштовна, але організатор просить картку, щоб закріпити місце. Сьогодні нічого не спишуть, сказано на сторінці, а 49 доларів стягнуть, лише якщо Аліса не прийде. Аліса вважає це розумним. Браузер пропонує їй збережену картку Visa, тож їй навіть не доводиться шукати гаманець.
-
Реєстрацію завершено
На сторінці з'являється підтвердження з номером реєстрації. Нічого незвичного. Аліса закриває вкладку й повертається до справ.
-
Тривожне сповіщення
Через три дні Аліса починає ранок і бачить терміновий лист від компанії, що видала її кредитну картку.
-
Сповіщення від ІТ-безпеки
Перш ніж Аліса встигає розібратися зі сповіщенням про шахрайство, надходить ще один лист — цього разу від служби ІТ-безпеки Crestline.
-
Прихована пастка
Криміналісти зі служби ІТ-безпеки проаналізували сторінку реєстрації TechPulse і підготували розбір того, що насправді було у формі. Посилання на їхній криміналістичний аналіз є в листі зі сповіщенням.
-
Що розкрило автозаповнення
Під видимими полями криміналістичний аналіз показує другий набір полів, які були повністю приховані від очей.
Охоплення стандартів безпеки
MITRE ATT&CK
- T1555.003 Credentials from Password Stores: Credentials from Web Browsers
CIS Controls
- CIS 9 Email and Web Browser Protections
NIST CSF
- PR.AT-01 Personnel are provided with awareness and training so that they possess the knowledge and skills to perform general tasks with cybersecurity risks in mind
- PR.PS Platform Security