No es real hijacking pero serious security concern de todos modos.
Ok, al periodista le encanta usar palabras fuertes. Por lo tanto, colocar el secuestro en el título es correcto para atrapar a los lectores.
No es realmente un secuestro, ya que el enlace estuvo presente en el sitio web de victim de manera intencional.
Pero.
Como algunos de estos sitios están protegidos, mientras que Facebook no, creo que parece haber un truco para encontrar algo así como una forma de crear un MITM mediante la creación de scripts entre sitios. (Poner una página trampa en Facebook es trivial).
Editar:
Para ser más explícitos: si este caso no tiene una implicación de seguridad directa , revela una posible forma de hacer algo como:
- romper Facebook (sin duda, es difícil de hacer, pero seguramente es menos que romper la gran cantidad de bancos que tienen un botón facebook-i-Like en el sitio web)
- errores en las páginas de redirección y errores para redireccionar a un sitio pirata en origen de envío para una buena selección de la plantilla del sitio.
- diseño de suplantación y apariencia del sitio solicitado.
- recopilar la contraseña de la víctima e iniciar una corrupción de transacción MITM.
... Con la esperanza de que la víctima (que haya hecho clic en la URL habitual en el navegador) haya hecho su transacción sin volver a leer la barra de URL de su navegador. .
Pero, de todos modos, si hace clic en un enlace habitual, cuando ve que viene el sitio correcto, ¿tiene confianza o lo hizo cada vez que una comprobación de la barra de URL?
Nota: si funcionó bien, podría encontrar un bot que haga el trabajo para los puntos 2 y 3 ... y 4.
Recuerde: ¡En esta historia, el usuario no hizo clic en ningún lugar antes de la redirección! Según mi punto de vista, ¡esta es una preocupación de seguridad grave !
Mi conclusión / recomendación
Creo que el sitio que tiene una verdadera preocupación de seguridad (como los bancos) debe eliminar este tipo de enlaces de sus sitios web, hasta que la preocupación se revise por completo.