Du kan ikke stole på din browser. Selvom browserens adressebjælke viser en adresse, som du kender og har tillid til, kan du risikere at kriminelle har overtaget forbindelsen og opfanger alle de data, som du indtaster i browseren. Det amerikanske firma Netcraft advarer om en ny form for netsvindel, som udnytter et sikkerhedshul der findes hos selv de største og mest respekterede websites.
Den såkaldte cross-site scripting-fejl kan udnyttes af kriminelle til at sende deres egne JavaScript-programmer til legitime hjemmesider. På den måde kan man sammenblande ægte og falsk indhold for at lokke brugeren til at indtaste sine personlige data.
I en aktuel sag modtog flere amerikanske internet-brugere en mail med en link til CitizensBank.com, som fik et program på bankens server til at loade JavaScript-kode fra angriberens server hos Telecom Italia.
Kunderne kom frem til en side med CitizensBank.com i adressebjælken, mens browservinduet viste en formular fra Telecom Italia-serveren, som bad om at indtaste login-data. Informationer, som derefter blev sendt til afsenderen af phishing-mailen.
Angriberne fandt et ubeskyttet søgeprogram på bankens hjemmeside, som blev brugt til at opbygge den falske kopi af banksiden. Tricket kan gøre det meget svært at kende forskel mellem en ægte og falsk hjemmeside.
Netcraft tilbyder et gratis program, Netcraft Toolbar, som blokerer for mistænkelige websider.
