Ciò che il ricercatore di sicurezza informatica Marek Tóth ha scoperto è davvero incredibile ed è tra le rivelazioni più assurde nel mondo della cybersecurity. In pratica, le tue password non sarebbero al sicuro nemmeno nel password manager che utilizzi.
Sì, hai capito bene. Lo strumento che pensi sia la massima cassaforte e la più alta tecnologia per proteggere le tue credenziali potrebbe sbagliare e aprire le porte a una minaccia in grado di rubare tutte le tue informazioni sensibili, inclusi i dati delle tue carte di pagamento.
Tóth ha mostrato al mondo intero un attacco che può funzionare sulla maggior parte dei gestori di password basati su estensioni del browser. In pratica, sfruttano un codice dannoso è possibile manipolare la struttura di un sito web così da modificarne non solo l’aspetto, ma anche il comportamento.
Il risultato della mia ricerca è che il clickjacking rappresenta ancora una minaccia per la sicurezza, ma è necessario passare dalle applicazioni web alle estensioni del browser, oggi più diffuse (gestori di password, portafogli crittografici e altri).
Le tue password non sono al sicuro per colpa del clickjacking
Il ricercatore in questione ha spiegato perché le password non sono al sicuro nemmeno all’interno del password manager per colpa del clickjacking. “Un singolo clic in qualsiasi punto di un sito web controllato da un aggressore potrebbe consentire loro di rubare i dati degli utenti (dettagli delle carte di credito, dati personali, credenziali di accesso, incluso il TOTP)“, ha affermato Tóth.
Inoltre, ha anche precisato: “Tutti i gestori di password hanno inserito le credenziali non solo per il dominio ‘principale’, ma anche per tutti i sottodomini. Un aggressore potrebbe facilmente trovare vulnerabilità XSS o altre vulnerabilità e rubare le credenziali memorizzate dall’utente con un solo clic (10 su 11), incluso TOTP (9 su 11). In alcuni scenari, potrebbe essere sfruttata anche l’autenticazione con passkey (8 su 11)“.
Per evitare rischi, come consigliano gli esperti di Malwarebytes, disattiva la funzione di compilazione automatica del tuo password manager, per mettere al sicuro le tue password. Inoltre, attiva l’opzione che permette i riempimento automatico solo quando sei tu a cliccare sull’estensione del browser.
