Фишинг Browser-in-the-Browser, часто сокращаемый до BitB, — это приём, при котором обычная веб-страница рисует внутри себя поддельное окно браузера или входа. Имитация может содержать заголовок окна, адресное поле, значок замка, оформление знакомого поставщика удостоверений и кнопки, которые будто бы принадлежат настоящему всплывающему окну OAuth или SSO. Но всё это остаётся лишь содержимым страницы. Оно не управляет внешней адресной строкой браузера и не создаёт доверенного соединения с отображаемым именем.

Атака эксплуатирует полезную привычку: многие ожидают отдельное окно «Войти через…» и изучают это маленькое окно, а не страницу, которая его открыла. Современные HTML и CSS позволяют сделать имитацию очень убедительной. Microsoft описывает BitB как приём, который имитирует законное окно браузера внутри вредоносной страницы и может сочетаться с другими фишинговыми сценариями.［1］

Ключевые выводы

Считайте любое окно входа, нарисованное внутри страницы, недоверенным, пока не проверите настоящий источник (origin) с помощью элементов интерфейса, которыми управляет сам браузер.

Настоящее отдельное всплывающее окно можно перемещать независимо, оно появляется в переключателе окон, а его адресом управляет браузер, а не сайт под ним.

Менеджеры паролей, passkey и устойчивая к фишингу MFA снижают риск, но ни одно из этих средств не делает непроверенную страницу доверенной.

Реакция зависит от того, что произошло: простой просмотр имитации отличается от ввода учётных данных, подтверждения MFA или запуска загруженного файла.

Как работает фишинг Browser-in-the-Browser?

Сначала злоумышленник приводит посетителя на подконтрольную страницу — обычно через сообщение, рекламу, поддельный документ, результат поиска или взломанную учётную запись. Страница предлагает правдоподобное действие: открыть общий файл, присоединиться к встрече, подтвердить счёт или войти в рабочий портал. Когда посетитель выбирает знакомого поставщика входа, JavaScript показывает поверх страницы имитацию окна.

Имитацию можно перемещать внутри страницы и оформлять в стиле конкретной операционной системы. Её адрес и замок — просто изображение, поэтому они могут показывать точное официальное написание домена, никак не соединяясь с этим сервисом.

После отправки учётных данных страница может показать ошибку, перенаправить жертву на настоящий сервис, запросить подтверждение MFA или передать данные в другую фишинговую систему. MITRE относит целевые фишинговые ссылки (spearphishing link) к ссылкам, которые убеждают цель посетить инфраструктуру злоумышленника; окно BitB может быть обманным интерфейсом на такой странице.［2］ Визуальная уловка и канал доставки — отдельные части атаки.

Как отличить поддельное окно входа от настоящего?

Не полагайтесь на цвета, логотипы, написание, изображение замка или домен, показанный внутри окна. Вместо этого проверьте, какие элементы принадлежат браузеру, а какие — странице. Главный ориентир — внешняя адресная строка браузера. Она показывает источник страницы, которая рисует всё в своей области содержимого.

Попробуйте вывести предполагаемое всплывающее окно за края страницы. Поддельный элемент не может покинуть свою вкладку, хотя тщательно сделанная страница может сделать эту проверку менее очевидной. Переключите окна средствами операционной системы: настоящее отдельное окно браузера обычно отображается как самостоятельное окно, а элемент страницы — нет. Измените размер внешнего окна или сверните его и посмотрите, остаётся ли «всплывающее окно» заперто внутри.

Менеджер паролей, который обычно заполняет форму настоящего провайдера, может отказаться это делать, потому что фактический источник другой. В таком случае остановитесь и не вставляйте пароль вручную, чтобы обойти предупреждение.

Проверка	Имитация BitB	Настоящее окно OAuth или SSO
Адрес в маленькой рамке	Нарисован веб-страницей и может быть любым	Показывается браузером для реального источника всплывающего окна
Связь с внешней вкладкой	Заперта в содержимом страницы	Отдельное окно браузера с собственным контекстом просмотра
Переключение окон	Обычно не существует как самостоятельное окно	Обычно отображается как отдельное окно браузера
Сопоставление в менеджере паролей	Совпадает с реальным источником страницы атакующего, а не с нарисованным доменом	Может совпасть с реальным источником поставщика удостоверений
Безопасная проверка	Закройте окно и откройте сервис из доверенной закладки или приложения	Всё равно проверьте реальный источник и запрошенные разрешения

Интерфейсы браузеров различаются, поэтому самая надёжная проверка — отказаться от предложенного пути и открыть известный сервис самостоятельно. Законная задача должна быть видна и в официальном приложении или личном кабинете.

Чем BitB отличается от clickjacking и AiTM?

Эти атаки могут встречаться вместе, но опираются на разные механизмы. BitB рисует убедительный интерфейс в виде браузера внутри страницы, которую контролирует атакующий. Кликджекинг (clickjacking) скрывает настоящий интерактивный элемент или накладывает на него другой, чтобы клик запустил не то действие, которое ожидает пользователь. Форма BitB может быть полностью поддельной и не содержать никакой скрытой настоящей кнопки.

Фишинговая система «противник посередине» (adversary-in-the-middle, AiTM) проксирует настоящий обмен данными при входе и может перехватывать учётные данные, cookie или данные сеанса. Её страница может выглядеть как сайт провайдера и использовать похожий домен, но определяющий признак — ретрансляция трафика аутентификации, а не нарисованная рамка окна. Перехват сеанса — это последующее злоупотребление действующим сеансом; он возможен многими путями, не связанными с BitB.

Техника	Основной обман или возможность	Что прежде всего проверить
Browser-in-the-Browser	Поддельная рамка браузера и форма входа, нарисованные на странице	Внешнюю адресную строку и реальный источник
Настоящий OAuth/SSO	Окно настоящего провайдера просит пройти аутентификацию или дать согласие	Источник провайдера, приложение и запрошенные разрешения
Кликджекинг	Скрытый или замаскированный настоящий элемент получает клик	Неожиданные наложения, фреймы и запрошенное действие
AiTM и фишинг сеансов	Атакующий ретранслирует вход и может перехватить данные сеанса	Самостоятельно открытый аккаунт, уведомления о входе, активные сеансы

Пароль, отправленный в поддельную форму, нужно сменить. Ретранслированный сеанс может потребовать отзыва, а нежелательное согласие OAuth — удаления разрешения приложения. Начинайте с того, что вы действительно ввели или подтвердили.

Что включает проверка адресной строки браузера до ввода данных?

Остановитесь, если после неожиданной ссылки страница создаёт собственное окно входа. Прочитайте регистрируемый домен во внешней адресной строке, а не похожее на бренд слово в поддомене. Закройте страницу и зайдите в сервис организации через закладку, вручную введённый адрес или официальное приложение. Рабочий запрос подтвердите у отправителя по известному каналу или обратитесь в службу поддержки по уже имеющимся контактам.

Не используйте контакты поддержки с подозрительной страницы и не подтверждайте MFA для входа, который не начинали самостоятельно.

Проверяйте не только домен, но и саму задачу. Через настоящего поставщика удостоверений может запрашиваться согласие для незнакомого приложения. Правильный источник провайдера доказывает, где происходит аутентификация, но не то, что каждое запрашивающее приложение или разрешение уместно. Прежде чем подтверждать, прочитайте название приложения, сведения об издателе, используемый аккаунт и запрошенный доступ.

Останавливают ли менеджеры паролей, passkey и MFA фишинг BitB?

Менеджер паролей полезен тем, что связывает сохранённые учётные данные с источником. Если он не предлагает ожидаемые данные для входа, реальный источник может не совпадать. Это веская причина остановиться, но менеджер паролей не может оценить каждый сценарий, а пользователь может свести защиту на нет, скопировав пароль вручную.

Passkey привязан к проверяющей стороне (relying party) и способен противостоять повторному использованию учётных данных на чужом сайте. Устойчивая к фишингу аутентификация, например методы на основе FIDO, защищает надёжнее, чем коды или простые push-подтверждения. CISA рекомендует устойчивую к фишингу MFA, потому что она блокирует распространённые попытки перехватить или повторно использовать секреты аутентификации.［3］ Однако доступность метода, восстановление аккаунта, регистрация факторов и компрометация устройства по-прежнему важны. Пользователя также можно обманом заставить разрешить другое действие в настоящем сервисе.

MFA на основе кодов всё ещё можно выманить в реальном времени, а push-MFA — использовать с помощью вводящих в заблуждение запросов. Проверяйте действие и источник, даже если включён второй фактор.

Что делать после взаимодействия с поддельным окном?

Ориентируйтесь на самый высокий уровень воздействия, который действительно произошёл. Сохраните исходный URL, сообщение, примерное время и имя загруженного файла, но не возвращайтесь на страницу только ради снимков экрана.

Воздействие	Немедленное действие	Дальнейшая проверка
Только просмотр страницы	Закройте вкладку и не выдавайте разрешений	Сообщите о ссылке; проверьте, не скачал ли браузер что-нибудь автоматически
Введены учётные данные	Через доверенный путь смените пароль и отзовите активные сеансы	Смените пароль во всех других сервисах, где он использовался повторно; проверьте данные восстановления, правила пересылки и недавние входы
Подтверждены MFA или согласие	Отклоняйте дальнейшие запросы; отзовите сеансы и нежелательные разрешения приложений	Свяжитесь с администратором сервиса и проверьте активность аккаунта
Загружен или запущен файл	Не используйте устройство для входа в чувствительные сервисы и отключите его от сети, если подозреваете активную компрометацию	Используйте доверенные средства проверки или профессиональную помощь; защитите аккаунты с чистого устройства

Если был затронут рабочий аккаунт, сообщите об этом быстро, даже если пароль уже изменён. Журналы помогут специалистам по защите найти входы, токены, правила почты, подключённые приложения и других затронутых пользователей. Если вы передали финансовые данные, свяжитесь с организацией по доверенному номеру. Если вы установили программу или расширение браузера, оценивайте риск для устройства отдельно от риска для аккаунта.

Как организациям снизить риск, который несёт атака Browser-in-the-Browser?

Для чувствительных аккаунтов используйте устойчивую к фишингу аутентификацию, ограничьте рискованные устаревшие способы входа и сделайте законные процессы входа предсказуемыми. Пользователи должны знать, какой поставщик удостоверений, какие домены и какие экраны согласия для приложений ожидаются. Разрешения с высоким риском и новые приложения должны проходить дополнительную проверку.

Средства защиты могут блокировать известные адреса назначения, а мониторинг — отмечать необычные входы, сеансы, согласия и правила почты. Канал для сообщений должен позволять сообщить о подозрительной странице, не требуя сначала назвать технику атаки. Обучение должно объяснять разницу между элементами, которыми управляет браузер, и содержимым страницы, не опираясь на одну операционную систему. Обзор многоуровневой защиты аккаунтов, материалы о фишинговых сайтах и защите от фишинга дают более широкий контекст защиты аккаунтов и восстановления.

Итоги

Фишинг Browser-in-the-Browser срабатывает, потому что рисует доверенно выглядящее окно входа внутри недоверенной страницы. Текст и замок внутри этой рамки не подтверждают подлинность. Проверяйте внешнюю адресную строку и реальный источник или покиньте сценарий и откройте сервис самостоятельно. Менеджеры паролей, passkey и устойчивая к фишингу MFA создают ценные барьеры, но восстановление всё равно зависит от того, были ли раскрыты учётные данные, одобрен запрос MFA или согласие, скомпрометирован сеанс либо загружен или запущен файл.

Часто задаваемые вопросы (FAQ)

Может ли поддельное окно BitB показать правильный домен?

Да. Домен внутри поддельной рамки — обычное содержимое страницы, поэтому атакующий может показать точное официальное написание и изображение замка. Сообщить фактический источник рамки или окна может только интерфейс, которым управляет браузер.

Доказывает ли HTTPS подлинность окна входа?

Нет. HTTPS защищает соединение с доменом, на который вы попали. Атакующий может использовать HTTPS на обманном домене, а нарисованное адресное поле вообще не является индикатором безопасности браузера.

Если окно перетаскивается, оно настоящее?

Не обязательно. JavaScript позволяет сделать элемент перетаскиваемым внутри страницы. Более надёжный признак — может ли окно выйти за пределы внешней страницы, отображается ли оно как самостоятельное окно и есть ли у него сведения об источнике, которыми управляет браузер.

Менеджер паролей всегда обнаружит атаку BitB?

Он часто помогает, отказываясь заполнять данные на чужом источнике, но не является универсальным детектором. Никогда не обходите несовпадение ручной вставкой учётных данных, не открыв нужный сервис самостоятельно.

Защищают ли passkey от любого фишинга?

Passkey хорошо противостоят фишингу учётных данных, потому что привязаны к нужной проверяющей стороне. Но они не предотвращают все сценарии социальной инженерии, обмана с согласием, атак на восстановление, вредоносного ПО или уже скомпрометированного устройства.

BitB и поддельное обновление браузера — одно и то же?

Нет. BitB имитирует окно браузера или входа внутри страницы. Поддельное обновление браузера обычно вынуждает пользователя скачать или запустить программу. Одна кампания может использовать оба приёма, но запрашиваемые действия и реакция различаются.

Что делать, если я ввёл пароль, но MFA заблокировала вход?

Всё равно смените пароль, отзовите сеансы и проверьте активность аккаунта. Пароль раскрыт и может быть использован позже, опробован на другом сервисе или применён в новой атаке на процесс восстановления.

Стоит ли исследовать фишинговую страницу самостоятельно?

Нет. Сохраните URL и исходное сообщение, затем сообщите о них по доверенным каналам. Повторное открытие страницы может вызвать новые перенаправления, загрузки или отслеживание, а для обычной реакции пользователя оно почти никогда не требуется.

Материал содержит общую информацию о безопасности и не заменяет расследование или профессиональное реагирование на конкретный инцидент.

Источники

Microsoft Security Blog — https://www.microsoft.com/en-us/security/blog/2026/04/06/ai-enabled-device-code-phishing-campaign-april-2026/
MITRE ATT&CK — https://attack.mitre.org/techniques/T1598/003/
CISA — https://www.cisa.gov/sites/default/files/2023-01/fact-sheet-implementing-phishing-resistant-mfa-508c.pdf

Sources checked 28 августа 2026 г.

Что такое фишинг Browser-in-the-Browser?