Browser-in-the-Browser(BITB) とは？

2022 年に mr.d0x 氏により公開されたフィッシング手法で、下記のような手順を用います。

偽サイトやフィッシングを目的としつつ、ユーザーの関心を集めるようなサイトを作成し、ユーザーを誘導する
サイト上でユーザーにはログインをするような UI を提供し、Signin with Google のような外部サービスを経由して当該サイトへログインを行うよう促す
2 を実行したユーザーにはポップアップ画面が表示され、正規サイトへのログインを行ってもらう

この 3 におけるポップアップ画面はブラウザ上で描画された偽のポップアップ画面であり、正規サイトと思われるサイトは Google などのアカウントの認証情報を盗むためのサイトです。

この手法の利点は「ポップアップ画面に表示されるドメインが完璧に正規のドメインであること」です。ポップアップ画面そのものをブラウザ上で描画しているので、アクセス先の URL 情報は改ざんが可能で、正規のドメインを表示しておくことで、ユーザーを騙すことが出来ます。

デモ

mr.d0x 氏がデモ用の Github を作成しています。

これを少しだけ弄って Microsoft へのログインを装った形に変えてみました。

着目して欲しい点は下記の通りです。

ポップアップウィンドウの作り込みは甘いですが、もう少し実際のポップアップウィンドウに近い形で実装することでより騙しやすい UI になる可能性があります。

対策としては、下記辺りが考えられそうです。

あくまで「このような手法がある」という注意喚起を目的としたものであり、悪用はしないようにしてください（この技術を利用したことによる責任は一切負いません）。

正直に申し上げますと、この技術が実際に利用されている！というケースは見たことが無いです。ただし、それでも知っておくに値する概念ではあるなと思っています。
ポップアップウィンドウでは URL すら改ざんされて表示される可能性がある、ということを頭の片隅に置いてくれると嬉しいです。