Фішинг під час сеансу — це форма потенційної фішингової атаки, яка базується на тому, що один сеанс може виявити наявність іншого сеансу (наприклад, відвідування вебсайту онлайн-банкінгу) у тому самому веббраузері, а потім запустити спливаюче вікно, яке видається відкритим із цільового сеансу. Це спливаюче вікно, яке користувач тепер вважає частиною цільового сеансу, потім використовується для крадіжки даних користувача так само, як і під час інших фішингових атак.
Перевага фішингу під час сесії для зловмисника полягає в тому, що він не потребує якої-небудь вразливості у цільовому вебсайті, покладаючись замість цього на комбінацію витоку даних у веббраузері, здатність веббраузерів запускати активний вміст та підтримувати більше одного сеансу одночасно та соціальну інженерію користувача.
Метод, який використовував уразливість у опрацюванні Javascript основними браузерами, був знайдений Амітом Кляйном, технічним директором постачальника безпеки Trusteer, Ltd. Подальші оновлення безпеки браузерів, ймовірно, зробили цей метод неможливим.
Примітки