Ada serangan Phishing baru yang dinamakan Tabnabbing. Phishing merupakan serangan yang sering digunakan untuk memancing user untuk memasukkan username dan passwordnya ke sebuah website palsu. Umumnya cara kerja phishing misalnya penyerang berpura-pura mengaku dari sebuah bank, mengirim email kepada pelanggan bahwa ada update pada sistem e-banking. Kemudian email tersebut meminta user untuk login pada halaman bank untuk dapat melakukan aktifasi. Email tersebut mencantumkan link alamat bank yang sebenarnya adalah alamat palsu. User yang tertipu akan memasukkan login dan passwordnya. Login dan password ini kemudian digunakan penyerang untuk menguras rekening korban.
Nah Aza Raskin, pada websitenya mendemonstrasikan sebuah serangan phishing tipe baru. Misalnya kita sedang browsing dengan membuka beberapa tab. Kemudian kita membuka sebuah website. Website ini akan menampilkan informasi yang tidak mencurigakan, tapi kemudian ketika kita membuka tab baru, maka website tadi akan secara diam-diam merubah isinya dan menampilkan halaman login web tertentu. Misalnya login gmail, dan menampilkan icon gmail. Disinilah kemudian terjadi phishing, dimana user akan menganggap website tersebut adalah website gmail dan memasukkan login dan password gmail.
Biar lebih jelas silahkan dicoba membuka link alamat blog aza raskin berikut: http://www.azarask.in/blog/post/a-new-type-of-phishing-attack/ blog tersebut akan menampilkan informasi tentang tabnabbing, kemudian cobalah untuk membuka tab baru di browser. Nah setelah beberapa saat tab yang sebelumnya berisi blog aza raskin, akan diam- diam berubah menjadi halaman login gmail. Nah ketika user login maka user akan langsung terhubung dengan gmail.
Raskin menjelaskan, halaman itu dibuat dengan menggunakan javascript yang akan mendeteksi ketika user berpindah tab, kemudian secara diam-diam merubah tampilan website. Raskin juga menjelaskan dia membuat script yang bisa mendeteksi socia; media apa yang sering digunakan oleh user. Sehingga halaman phishing tidak hanya bisa menampilkan halaman gmail, tapi bisa menyesuaikan dengan social media apa yang sering digunakan user. Nah serangan ini bisa diatasi dengan menonaktifkan javascript atau menggunakan Noscript.
Semoga bermanfaat!