Il tabnabbing è una tecnica di attacco informatico che sfrutta i link aperti in una nuova scheda del browser: la pagina di destinazione sostituisce in silenzio la scheda di partenza con una copia fraudolenta.
L’utente torna indietro, riconosce il sito che aveva lasciato aperto e inserisce credenziali o dati personali in un modulo controllato dall’aggressore.
Come funziona il tabnabbing?
Il meccanismo si appoggia all’attributo target="_blank".
Quando un link apre una nuova scheda, questa riceve un riferimento JavaScript alla pagina di origine, disponibile come window.opener, e può cambiarne l’indirizzo.
Il nome descrive il gesto: sottrarre la scheda mentre l’attenzione è altrove. La variante che agisce dal sito visitato verso quello di provenienza si chiama reverse tabnabbing.
Come si previene il tabnabbing?
La protezione sta in una riga di codice. L’attributo rel="noopener" azzera quel riferimento; rel="noopener noreferrer" oscura anche l’URL di provenienza.
Dal 2021 i browser aggiornati applicano noopener in automatico su ogni target="_blank", tuttavia l’attributo esplicito resta consigliato per i browser datati e per superare gli audit di sicurezza.
Per chi gestisce un sito vale una regola di manutenzione ordinaria: ogni link in uscita merita l’attributo corretto, allo stesso modo di rel=”sponsored” sui contenuti commerciali.
È la stessa cura che si dedica alla bonifica dei broken link e protegge insieme i dati di chi naviga e la reputazione del marchio.