Attaque Browser-in-the-Browser et substitution instantanée d'inventaire
La fausse fenêtre contextuelle intègre visuellement une barre d'adresse avec un cadenas HTTPS sécurisé et le domaine officiel du service ; cependant, il s'agit techniquement d'un élément de mise en page du site de phishing. Le script automatisé du côté de l'escroc saisit instantanément le code Guard reçu, régénère la clé API du compte et confirme le transfert d'objets de valeur vers un profil sous son contrôle.
Règles pour vérifier l'authenticité d'une fenêtre de connexion
- Essayez de faire glisser la fenêtre pop-up d'authentification en dehors des limites de la fenêtre principale du navigateur.
- Vérifiez la pré-authentification : si le compte est déjà ouvert dans le navigateur, le service officiel se connecte en un seul clic.
- Vérifiez l'absence de clés API tierces actives dans les paramètres de sécurité de votre profil.
- N'entrez jamais de codes de confirmation d'échange (trade) pour participer à des tournois amateurs ou des votes.