Riesgo de phishing en el autocompletado

Los perfiles de autocompletado de los navegadores web pueden ser utilizados para ataques de phishing, de forma que los atacantes pueden recopilar información de los usuarios a través de campos ocultos o invisibles, que son rellenados automáticamente por el navegador con la información personal, que luego es enviada de forma inconsciente por el usuario.

Los perfiles de autocompletado son una característica que recientemente se ha incluido en los navegadores web y permiten al usuario crear perfiles que almacenan diferentes detalles sobre él mismo y que generalmente son introducidos en los formularios web.

autocompletado texto

Cuando el usuario tiene que rellenar un formulario, puede simplemente seleccionar un perfil de autocompletado y el navegador web introducirá la información preestablecida en los distintos campos, ahorrando así tiempo a la hora de cumplimentarlo.

Hace unas semanas se publicó una demostración en GitHub llevada a cabo por el desarrollador Viljami Kuosmanen, la cual mostraba cómo un atacante puede aprovecharse de la característica de perfiles de autocompletado a través de un simple formulario web en el cual sólo se ven los campos del nombre y el email y el botón de enviar.

El usuario no será consciente del ataque a no ser que mire el código fuera de la página web y descubra que hay otros seis campos ocultos adicionales, y tampoco sabrá que también está enviando datos como teléfono, dirección, código postal, país…  Si el usuario tiene un perfil de autocompletado, cuando rellene esos dos campos visibles también rellenará los otros seis invisibles. Siguiendo este proceso, los piratas informáticos podrán recolectar todo tipo de información personal de los usuarios.

Este ataque es muy similar a los honeypots, los cuales se usan en muchas ocasiones para evitar el spam. Este abuso de los perfiles de autocompletado coincide con las mismas características, aunque atrapa el navegador web del usuario en lugar de un bot de red.

Actualmente los navegadores que soportan los perfiles de autocompletado son Google Chrome, Safari y Opera, mientras que en Mozilla Firefox aún está en fase de desarrollo.

Para evitar cualquier tipo de ataque, se recomienda inhabilitar los perfiles de autocompletado.

Community Manager y apasionada de las redes sociales

 

Acerca de

Nethive es una consultora tecnológica independiente especializada en la prestación de servicios informáticos con amplia experiencia en el sector de las telecomunicaciones.

En este blog nuestros técnicos publican información relevante sobre la industria tecnológica internacional, imprescindible para conocer, por ejemplo, ciberataques y riesgos que puedan comprometer la seguridad de su empresa.

Solicitar presupuesto sin compromiso

Ofrecemos servicios informáticos que ayudarán a su empresa a ser más eficiente, efectiva y competitiva. Si cree que podríamos encajar en sus necesidades, deje que nos pongamos en contacto.