Suplantación de identidad durante la sesión

El phishing dentro de la sesión es una forma de ataque de phishing potencial que se basa en que una sesión de navegación web pueda detectar la presencia de otra sesión (como una visita a un sitio web de banca en línea ) en el mismo navegador web y luego abrir una ventana emergente que simula haber sido abierta desde la sesión objetivo. ^{[ 1 ]} Esta ventana emergente, que el usuario ahora cree que forma parte de la sesión objetivo, se utiliza para robar datos del usuario de la misma manera que en otros ataques de phishing. ^{[ 2 ]}

La ventaja del phishing en sesión para el atacante es que no necesita que el sitio web objetivo esté comprometido de ninguna manera, sino que se basa en una combinación de fugas de datos dentro del navegador web, la capacidad de los navegadores web para ejecutar contenido activo, la capacidad de los navegadores web modernos para admitir más de una sesión a la vez y la ingeniería social del usuario. ^{[ 3 ]}

La técnica, que explotaba una vulnerabilidad en el manejo de JavaScript de los principales navegadores, fue descubierta por Amit Klein, CTO del proveedor de seguridad Trusteer , Ltd. ^{[ 4 ] [ 5 ]} Las actualizaciones de seguridad posteriores a los navegadores pueden haber hecho imposible la técnica.

• Eisen, Ori (marzo de 2009). "Phishing en sesión y conocer a tu enemigo". Seguridad de redes . 2009 (3): 8–11 . doi : 10.1016/S1353-4858(09)70027-3 .
• Nuevo ataque de phishing ataca las sesiones de banca en línea con ventanas emergentes falsas.
• Un nuevo ataque de phishing durante la sesión podría engañar a usuarios experimentados.