CSS를 해킹해서 비밀번호를 훔치는 키로거가 등장

CSS를 해킹해서 비밀번호를 훔치는 키로거가 등장

CSS는 사용하는 폰트나 부품 색조 등 웹페이지의 스타일을 지정하는 파일입니다만, 그 CSS만을 이용해서 비밀번호를 훔치는 코드가 GitHub에서 공개되고 있습니다.

구조로서는, 비밀번호란에 문자가 입력될 때마다 그 말미의 문자를 취득하고, 그 문자에 따른 이미지를 외부 서버에서 다운로드한다고 합니다. 예를 들면 「a」라고 입력되었을 경우는 「http://keylogger.site/a」에 액세스한다고 하는 상태입니다. 액세스된 외부 서버에는 액세스 이력이 남기 때문에, 그 액세스 이력을 보면 입력된 비밀번호가 무엇이었던 것일지 판별할 수 있다라고 하는 것입니다.

단, 비밀번호란 문자를 취득하기 위해서는 홈페이지가 「React」등 특정한 프레임워크를 사용해서 작성된 필요가 있어, 유명한 사이트에서는 페이스북이나 인스타그램등이 해당합니다.

한편, 비밀번호 매니저나 브라우저 비밀번호 기억 기능 등을 이용해서 비밀번호를 입력하면 괜찮다라고 하는 보고도 오르고 있습니다만, 잠시동안은 신용할 수 없는 CSS를 Stylish등을 이용해서 독자적으로 적용하는 것은 그만두는 것이 좋을 것 같습니다.