نوع جدیدی از فیشینگ توسط مجرمان برای سرقت و فروش مجدد حساب های Steam استفاده می شود. این همان چیزی است که کارشناسان به آن حمله مرورگر در مرورگر می گویند، که نشان می دهد صفحه ورود به سیستم به صورت پاپ آپ ظاهر می شود.
این تکنیک جدید قبلاً در اوایل سال جاری توسط محققی با نام مستعار کشف شده بود mr.d0x. اکنون تحقیقات شرکت امنیتی Group IB نشان میدهد که از این تکنیک برای رهگیری اعتبار حسابهای استیم استفاده میشود. مشابه روش های فیشینگ شناخته شده، قربانی به یک وب سایت جعلی که توسط هکر راه اندازی شده هدایت می شود. در مورد این حملات به کاربران Steam نیز چنین است. قربانیان به وب سایت مسابقات Counterstrike جذب می شوند و باید با حساب Steam خود وارد شوند.
به طور معمول، گواهی ssl و اغلب آدرس اینترنتی نشان می دهد که یک سایت قانونی نیست. با استفاده از تکنیک مرورگر در مرورگر، مشاهده این موضوع بسیار دشوارتر است، زیرا این سایت فیشینگ از جاوا اسکریپت برای نمایش یک پنجره ورود به سیستم پاپ آپ استفاده می کند که تقریباً از یک پنجره ورود واقعی Steam قابل تشخیص نیست.
پنجره را می توان به سادگی در برگه باز منتقل کرد. علاوه بر این، URL در پنجره جعلی نیز قانونی به نظر می رسد و قفل سبز برای گواهی SSL صحیح نمایش داده می شود. تنها زمانی که قربانی اولین پنجره را ببندد، مشخص می شود که صفحه پاپ آپ بخشی از صفحه فعلی است.
لحظه ای که قربانی با موفقیت از طریق پنجره جعلی وارد می شود، مجرمان به حساب Steam دسترسی خواهند داشت. برای اینکه قربانی هشدار داده نشود، پس از ورود موفقیت آمیز، آنها به صفحه تایید ورود به مسابقات هدایت می شوند.