A função de auto-preenchimento, presente na maioria dos navegadores e também em extensões de gerenciadores de senha, foi criada para agilizar a vida dos usuários. Entretanto, ela pode ser utilizada para roubar informações suas como nome completo, endereço e até cartão de crédito, conforme foi divulgado pelo The Guardian.
O desenvolvedor e hacker finlandês Viljami Kuosmanen descobriu que vários navegadores (Google Chrome, Safari e Opera, por exemplo) bem como alguns plugins e extensões (como a do LastPass) podem ser “enganados” e acabarem distribuindo informações pessoais de um usuário através dos seus sistemas de preenchimento automático.
O que acontece nesse ataque é que, para o usuário, ele está apenas preenchendo informações básicas (login e email, por exemplo) mas, na verdade, existem mais campos que estão “escondidos” e que também acabam sendo preenchidos automaticamente assim que o usuário “aceita” preencher os campos à mostra. Kuosmanem fez uma simulação e compartilhou a fim de divulgar a ameaça.
This is why I don't like autofill in web forms. #phishing #security #infosec pic.twitter.com/mVIZD2RpJ3
— Viljami Kuosmanen ⭐ (@anttiviljami) 4 de janeiro de 2017
É por isso que eu não gosto de preenchimento automático em formulários na web.
#phishing#security#infosec
No presente momento, o único navegador que está isento de problema é o Firefox (pelo fato de não ter ainda a função de preenchimento de múltiplos campos). Entretanto, a vulnerabilidade pode aparecer em próximas versões pois a funcionalidade está em desenvolvimento — como relata o engenheiro de segurança da empresa, Daniel Veditz.
Para evitar que este tipo de ataque aconteça com você, por enquanto, a opção é desligar a função de auto-preenchimento nos navegadores que você utilizar e também em plugins e extensões.
