Quante volte hai cliccato “Continua con Google” o “Accedi con Facebook” senza pensarci?
È comodo, veloce, e sembra sicuro. Ed è esattamente per questo che i truffatori lo hanno trasformato in un’arma.
La tecnica del momento: Browser-in-the-Browser (BitB)
Da inizio 2026, i ricercatori di sicurezza di Trellix documentano un aumento significativo di campagne di phishing che usano la tecnica Browser-in-the-Browser per colpire gli utenti Facebook.
Come funziona:
- Arrivi su una pagina che ti chiede di autenticarti per accedere a un servizio, a un gioco, a un concorso o a una risorsa
- Si apre quella che sembra una finestra di login Google o Facebook — con tanto di barra degli indirizzi, lucchetto HTTPS e URL apparentemente corretto
- In realtà quella finestra non è reale: è un elemento grafico costruito con codice HTML/CSS per imitare alla perfezione una finestra del browser
- Le credenziali che inserisci vanno direttamente ai criminali
Il risultato: l’utente crede di stare usando il sistema di autenticazione ufficiale di Google o Meta, mentre sta consegnando username e password a una pagina truffa.
Il problema con i token OAuth
Esiste un’ulteriore variante ancora più sofisticata, che non ruba la password ma il token di accesso.
Il protocollo OAuth è quello che permette al sito di “sapere che sei tu” senza conoscerti la password: Google o Facebook rilasciano un token temporaneo, e il sito lo usa per autenticarti.
Il problema: se un’app o un sito ti convince a concedere permessi OAuth in modo fraudolento, ottiene quel token e può accedere al tuo account senza aver mai visto la tua password — e l’autenticazione a due fattori non serve a nulla in quel momento perché l’accesso risulta già autorizzato.
Come si finisce nella trappola
Questi attacchi arrivano tramite:
- Link su Facebook Messenger o DM sui social (“guarda questa foto”, “hai vinto”, “verifica il tuo account”)
- Siti di giochi, concorsi o strumenti online gratuiti che chiedono l’accesso con Google o Facebook
- Email che simulano avvisi di Meta con link a pagine di autenticazione false
- Annunci sponsorizzati su social media che portano a landing page con falsi login
Come riconoscere la finestra falsa
Una finestra di login Google o Facebook legittima ha queste caratteristiche:
- Si apre come una vera finestra separata del sistema operativo, ridimensionabile e trascinabile fuori dalla pagina
- L’URL nella barra degli indirizzi è reale e interattivo — puoi cliccarci sopra e modificarlo
- Se provi a trascinarla fuori dalla finestra del browser, ci riesce
Una finestra falsa (BitB):
- Rimane “incollata” alla pagina — non puoi trascinarla fuori dalla finestra del browser
- Sembra un elemento della pagina stessa, non una finestra indipendente
- L’URL potrebbe sembrare giusto ma non è interattivo come una vera barra degli indirizzi
Cosa fare
- Verifica le app connesse al tuo account Google e Facebook regolarmente: vai in Impostazioni → Sicurezza → App collegate e rimuovi tutto quello che non riconosci
- Attiva l’autenticazione a due fattori — non protegge dagli attacchi OAuth avanzati ma blocca la maggior parte dei tentativi classici
- Prima di inserire credenziali in una finestra di login, prova a trascinarla fuori dal browser: se non si muove, è falsa
- Se ricevi messaggi urgenti su Facebook che parlano di blocco account o violazioni, non cliccare mai il link e accedi direttamente all’app
- Considera di usare le passkey dove disponibili — eliminano completamente il problema delle password rubabili
Il gesto più semplice del web — “Continua con Google” — è diventato uno dei fronti più caldi della sicurezza digitale nel 2026. Non basta avere una password forte: bisogna capire a cosa stiamo dando accesso.
#CheckBlacklist #OAuth #BrowserInTheBrowser #Phishing #FacebookSecurity #SicurezzaDigitale #CyberSecurity
Lascia un commento