Предупреждения появятся c выходом 71 версии браузера в декабре.
В рамках кампании по борьбе с подозрительными элементами на страницах сайтов, начиная с 71 версии браузер Google Chrome будет выдавать предупреждение при заходе на сайт с мобильными подписками. В первую очередь это действие направлено против ресурсов, которые требуют ввод номера мобильного телефона для просмотра содержимого и не предупреждают о дополнительных подписках.
Согласно Google, миллионы людей каждый месяц сталкиваются со страницами без достаточной информации о мобильных подписках и неожиданно для себя становятся подписанными на платные текстовые рассылки. Сайтам предложено сделать платёжную информацию видимой (во время процесса подписки) и понятной пользователю, чтобы избежать случайных подписок.
Для ресурсов, не соответствующих новым требованиям Google, будет выдаваться предупреждение о неблагонадёжности платежей, а владельцы будут уведомлены о несоблюдении новых правил и 30 дней на исправление ситуации.
Новый метод защиты появится в Google Chrome 71, который выходит в декабре. Отключить данные предупреждения можно будет в настройках самого браузера.
Tj напрягся
ТиДжёрнал
(нопрягься)
okay
Комментарий недоступен
Это кем надо быть чтобы вводить свой номер на каком-то подозрительном сайте?
Часто не требуется. Про ткнул куда-то и уже подписан
А как они номер узнают?
Ты например залогинен в личном кабинете на сайте оператора. Хитрым способом на внешнем сайте ставится скрипт, который во время его посещения скрытно из твоего браузера (в котором стоят куки личного кабинета) запрашивает определенный адрес в личном кабинете, при запросе этого адреса происходит подписка на рассылку для залогиненного пользователя
А вот и нет. Опсосы сами предоставляют посредникам (партнерским программам) интерфес/шлюз для подписок в один клик. Чел заходит на сайт-прокладку, нажимает кнопку, и все остальное уже делает сам опсос. Да, опсосы наябывают своих пользователей. Ничего нового.
То, что ты описал ниже с невидимой кнопкой под курсором, называется clickjacking. Насколько я помню, сейчас это уже не работает.
Может быть. Опсосы тут имеют прибыль. Зная этих блядей, стригущих деньги на всём, я не удивлён.
Это не так работает.
Сайтам ОПСОСы номер отдают напрямую в заголовке запроса, после чего сайт редиректит на гейт у оператора (то есть — подписка осуществляется уже на сайте/гейте, захощенным у оператора).
Не нужно быть залогиненным в ЛК ОПСОСа.
Более того — ничего «неавторизованного» тут нет, это то, о чем операторы знают и продвигают.
Гугли «WAP Click».
Можно поподробнее?
Подробнее не знаю. В общих чертах описал, деталей не знаю, т.к. не сильно в этом шарю.
Короче, используют уязвимости лк операторов, чтобы делать неавторизированные запросы.
Такие штуки многие используют для накруток лайков в фб, показов видео в ютьюбе и т.д.
Например, заходишь на сайт, двигаешь мышью, а под курсором мыши постоянно висит полностью прозрачный блок лайка некой страницы в фейсбуке или запуска видео на ютьюбе без звука, или подписки на рассылку. Ты ничего не подозреваешь, наводишь курсор на какую-то ссылку на этом сайте, кликаешь, но клик срабатывает не на ссылке, а на прозрачном блоке прямо под курсором, который постоянно двигается за мышью и всегда находится под ней. Ты думаешь, что что-то не сработало, но ты уже нажал и выполнил неизвестно что - включил просмотр видео, подписался на рассылку, поставил лайк в фб левой странице итд , кликаешь ещё раз и теперь ссылка срабатывает.
Да, просмотры подобным методом легко накрутить, потому что для просмотра пользователю ничего и делать не надо, за него в фоне открывают страницу и все. Скрипту не надо с ней особенно взаимодействовать. С телефоном же такой фокус не пройдем, потому что зловредному скрипту надо получить данные из того фрейма, а браузер не даёт это сделать, если фреймы с разных доменов, то жаваскрипт не помжет обращаться к контенту из из одного в другой.
Телефон не нужно знать. В браузере уже стоят куки личного кабинета, связанные с телефоном юзера. Достаточно запросить урл личного кабинета типа /add_sibscribe.php?sub_id=12345 и ты подписан
Если твой лк даёт вот так подписаться просто по ссылке по гету это уже само по себе дичайшая дыра в безопасности. Надо такие вещи только по пост запросу делать плюс CSRF токен использовать. Это совсем азы веб безопасности, все таки хочется думать что операторы не такие дилетанты
Ниже написал про это
Да, сейчас почти везде используют csrf для защиты от подобного дерьма, но если люди продолжают неизвестно как подписываться, значит есть ещё незакрытые дыры, которые позволяют это делать
Социальная инженерия всегда была эффективнее технических хаков. Люди сами вводят данные куда не надо и тыкают куда не следовало бы. Тот же нашумевший "хак" серверов Демократичной Партии США в итоге оказался фишингом, те во многом человеческим фактором.
Сейчас почти все браузеры умеют подобное распознавать, но подобные схемы все больше усложняются и улучшаются
Комментарий недоступен
Комментарий недоступен
в яндекс-браузере (как ни странно) давно что-то такое есть. вообще, в плане защиты от фрода, на который поведутся твои родители, у них всё получше, чем в хроме.
О каких подписках речь? Подтверждение на подписку вроде обычно только с помощью смс осуществляется, не?
Комментарий недоступен
Тогда каким способом осуществляется подтверждение? Получается, что подписать можно любого, имея лишь номер телефона?
Комментарий недоступен
Хорошо, что у меня не подключен мобильный интернет.
Результат подписки - это смс-ки (типа гороскопы и пр.) или имеет какой-либо еще вид? Это к вопросу о том, как можно узнать о подписке ничего не подозревающему пользователю.
Комментарий недоступен
Комментарий недоступен
Комментарий недоступен
AdAway и не надо никакой функциональности дополнительной. Подписки и реклама режется еще на подходе и везде, а не только в браузере. А самый последний писк моды - это блокировка сразу на роутере, я у себя на Mikrotik это реализовал - ни дома, ни в офисе - никто не жалуется больше на рекламу.