Cookie利用の確認ボタンに透明なカード情報入力ボタンを隠すフィッシング詐欺が確認される。もう何も信じない

Cookieを許可したらアカウント情報が流出!? パスワード自動入力を悪用した攻撃に注意
https://news.yahoo.co.jp/articles/8ac43133a233bad69d3a8afdcfb617d8e00925f5
セキュリティ企業のSocketは8月20日、パスワードマネージャーが持つアカウント情報などの自動入力機能を悪用した攻撃について紹介。自動入力の表示の上に、別の要素を重ねて表示することで、ユーザーが意図せずプライベート情報を入力してしまうように仕向ける「クリックジャッキング攻撃」が可能だとし、注意を呼びかけている。

この手法は、世界最大級のハッキング/セキュリティカンファレンスであるDEF CON 33にて、セキュリティ研究者のMarek Tóth氏が報告したもの。パスワードマネージャーには、IDやパスワード、クレジットカード番号などの自動入力機能を持つものがあるが、これを悪用して機密情報の窃取を狙うという。

具体的には、Webページのログインフォーム周辺に出現する自動入力候補の上に、別の要素を重ねて表示されるよう細工する。
ユーザーから見ると、上層に表示された要素しか見えないため、意図せず自動入力を実行してしまい、機密情報を送信してしまう可能性がある。
具体的には、Cookieの利用の可否を確認するような表示が出てきて、「許可」の部分をクリックしたはずが、実際はその下に隠れている自動入力の候補をクリックしまうため、機密情報が入力されて盗まれてしまうといったかたちだ。

パスワードマネージャーの自動入力は、基本的に正しいドメインでしか機能しないように設計されている。
しかし、クロスサイトスクリプティング攻撃やサブドメインの乗っ取りなどと組み合わせることで、この手法によって機密情報を窃取される恐れがあるという。

いかそーす

(おわり)

>>2
そのリスクをカード会社が負ってくれる前提のクレカシステムだろ
使い道調べられて不正利用されたか電話で確認されたり巨額決済だとロックされたりするわけだ

>>1
https://x.com/mono_i_love/status/1957968191260619035?t=Yi8CyXPIDiQ4X_EPLcz1Kw&s=19

>パスワードマネージャーの自動入力は、基本的に正しいドメインでしか機能しないように設計されている。
>しかし、クロスサイトスクリプティング攻撃やサブドメインの乗っ取りなどと組み合わせることで、この手法によって機密情報を窃取される恐れがあるという。

そんなにリスク高くなさそうだな

firefoxの自動入力は選択する必要があるから平気そうだな

パスワードマネージャーなんて使うやつが悪い(´・ω・`)

これやべええな

だから漏れは同意系のボタンは何も押さない

>>10
パスキーと関係ないプリミティブな個人情報を要求されるからめんどいしキモい

もうクッキー表示は全て無視するしかないな

NoScript的なアドオンがないブラウザは無理

クレカ登録してあるような総合通販サイト以外は代引き、銀行振り込みなんでカードの自動入力はないかな

広告の閉じるボタンは大丈夫かな

俺はいつもCookie許可しないで隙間から覗いてるけど

こういうの怖いのとグーグル信用してねえから記憶はさせてねえけど、説明されてもわけわからんような抜き取り方すんだな

ジャップは許可しかさせないしょうもないサイトばっか作ってないでちゃんと拒否させろや
冗談抜きでそういうとこやぞ

そもそもクッキーのAcceptなんて押さんからな
セッティングで極力拒否する

広告ブロッカーでcookie確認もブロックしてるからヘーキヘーキ

普通Cookie確認のダイアログ自体を広告ブロッカーで消すよね