La vulnerabilidad la ha descubierto una pequeña firma británica de analítica web, Spider.io, que demuestra en un vídeo debajo cómo funcionaría. Ofrece además este enlace donde, utilizando IE, podemos comprobarlo por nuestra cuenta.
¿Cómo funciona? Lo único que tiene que hacer un atacante para aprovecharse de esta vulnerabilidad es comprar un anuncio/banner en una web que visitemos. Puede ser YouTube, un diario online, da igual, cualquier página que muestre ese banner. Mientras tengamos esa ventana abierta, incluso si está minimizada, al otro lado pueden ver y almacenar los movimientos del ratón sobre la pantalla.
“Es una trampa muy similar al phishing. Mediante técnicas adicionales como el CSS history hack es posible conocer el historial de navegación del usuario. Si además tienes los movimientos de ratón mientras accede a la cuenta online del banco utilizando el teclado virtual, entonces es relativamente fácil adivinar la contraseña”, confirma telefónicamente Douglas de Jager, responsable de Spider.io. El fallo permite rastrear también cuándo se pulsan las teclas Ctrl, Shift y Alt
[center]
La compañía contactó con Microsoft en Octubre para alertarle del fallo en el navegador. El Centro de Respuesta de Seguridad de Microsoft ha reconocido la existencia de la vulnerabilidad pero de momento no tiene planes inmediatos de lanzar una actualización. Según Spider.io, dos grandes agencias de publicidad online están ya aprovechando el fallo para saber si los anuncios que insertan son vistos o no por los internautas, aunque de momento, dicen, no pueden desvelar los nombres.
¿Conclusión? Si utiliza IE y accede a su cuenta bancaria online con los teclados virtuales que ofrecen las entidades (precisamente para evitar el rastreo del tecleo mediante malware), quizás mejor pasarse a otro navegador durante un tiempo hasta que la vulnerabilidad se solucione. Y no es que el resto de navegadores no tengan fallos, todos los tienen. Esta vez le ha tocado a IE.
Fuente
