Un nuovo tipo di phishing viene utilizzato dai criminali per rubare e rivendere account Steam. Questo è ciò che gli esperti chiamano attacco browser-in-browser, il che suggerisce che una schermata di accesso appare come un pop-up.
La nuova tecnica è stata già scoperta all'inizio di quest'anno da un ricercatore con lo pseudonimo sig.d0x. Ora un'indagine della società di sicurezza Group IB mostra che questa tecnica viene utilizzata per intercettare le credenziali dell'account Steam. Simile alle tecniche di phishing note, la vittima viene reindirizzata a un sito Web falso creato dall'hacker. Questo è anche il caso di questi attacchi agli utenti di Steam. Le vittime vengono attirate su un sito Web di tornei Counterstrike e devono accedere con il proprio account Steam.
Normalmente, il certificato SSL e spesso anche l'URL mostrano che non è un sito legittimo. Con la tecnica browser-in-browser, questo è molto più difficile da vedere, perché questo sito di phishing utilizza JavaScript per visualizzare una finestra di accesso pop-up, che è quasi indistinguibile da una vera finestra di accesso di Steam.
La finestra può essere semplicemente spostata all'interno della scheda aperta. Inoltre, anche l'URL nella finestra falsa appare legittimo e viene visualizzato il lucchetto verde per un certificato SSL corretto. Solo quando la vittima chiude la prima finestra diventa chiaro che la schermata pop-up fa parte della pagina corrente.
Nel momento in cui una vittima accede con successo attraverso la finestra falsa, i criminali hanno accesso all'account Steam. Per non allarmare la vittima, una volta effettuato l'accesso, verrà inoltrata a una pagina di conferma dell'iscrizione al torneo.