Tabnabbing endrer en åpen fane i nettleseren i et forsøk på å lure deg. Foto: colourbox.com
Tabnabbing endrer en åpen fane i nettleseren i et forsøk på å lure deg. Foto: colourbox.comVis mer

Pass deg for tabnabbing

Dette phishing-trikset kommer du garantert til å se mer til.

Vi har ved flere anledninger omtalt konseptet phishing på DinSide. Dette er en teknikk hackere bruker for å stjele passordet ditt, der fremgangsmåten typisk er at du tilsynelatende får en epost fra banken din, eBay, Facebook eller andre der du blir bedt om å logge inn for å bekrefte ett eller annet.

Klikker du på lenka i e-posten kommer du til en nettside som er prikk lik innloggingssiden, men den observante vil se at URL-en i adressefeltet er feil. Biter du på, og oppgir brukernavn og passord, kan de som sitter i andre enden logge på med dine kontodetaljer senere og deretter opptre som deg.

Se hvor lett det er å bli lurt

I sammenheng med dette har et nytt konsept begynt å ta form. Tabnabbing, altså "faneknæbbing", er en teknikk som gjør at en fane i nettleseren din kan endre innhold; for eksempel etter noen sekunders inaktivitet. Dermed kan en av de slemme gutta lage en nettside som du klikker deg inn på, og hvis du fortsetter å ha den åpen mens du surfer videre i en annen fane, endres innholdet f.eks. til en side identisk med innloggingssiden for Facebook.

Med andre ord - er du da litt uoppmerksom og har tenkt til å logge inn på Facebook, kan det være at du åpner nettopp denne fanen. Taster du så inn brukernavnet og passordet ditt, har du gitt det bort til skaperen av siden.

Slik fungerer det i praksis

Her er et videoeksempel fra Aza Raskin (kreativ leder for Firefox) som viser hvordan Tabnabbing fungerer i praksis:


I blogginnlegget kan du lese mer om Tabnabbing og oppleve hvordan det virker. Du trenger bare å ha blogginnlegget åpent, bytte fane noen sekunder og vips, så er fanen endret til en side som er prikk lik innloggingssiden for Gmail. Raskin har heldigvis ikke tenkt til å snappe opp passordet ditt og viser deg blogginnlegget igjen så fort du trykker på musknappen.

Slik beskytter du deg

Det er vanskelig å sikre seg mot slike ting - man kan laste ned utvidelser til nettleseren som gjør at skript ikke eksekveres (f.eks. NoScript for Firefox) med mindre du har godkjent det på forhånd, men å godkjenne den ene nettsiden etter den andre vil selvsagt redusere surfeopplevelsen din ellers.

En annen mulighet er Web of trust, der brukerne bidrar til å rapportere om hvilke sider som er til å stole på og ikke, og dersom mange andre Wot-brukere har rapportert inn siden, vil du bli advart. Det hjelper dog ikke dersom du er førstemann. Web of trust er for øvrig en av våre Firefox-favoritter, og er også tilgjengelig for Chrome og Internet Explorer.

Det beste tipset for å unngå å oppgi brukernavn og passord til andre sider enn den du egentlig vil oppgi det til, er fortsatt å bruke en passordhåndterer som LastPass. Når du er logget på LastPass i nettleseren din, kan den automatisk fylle ut brukernavn og passord-felter, men vil da ikke fylle ut slike felter på sider med en annen URL enn den du har registrert.

Et godt tips er selvsagt at du alltid er på vakt og passer på hva som står i URL-feltet når du prøver å logge på en tjeneste.

Dersom nettadressen avviker fra den vanlige, bør det ringe noen bjeller.

Les også: Tre ting du tar dem på