Мой офицер безопасности пришел ко мне вчера и сказал, что генеральный директор нажал на всплывающее окно «Обнаружены вирусы, нажмите« Да »для сканирования», после чего, конечно, его ноутбук кишел вирусами. Поэтому SO хочет распространять указания о том, как удержать людей от совершения одной и той же ошибки.
Он спросил меня: «Если я скажу:« Просто закройте всплывающие окна, ничего не нажимайте в нем », это достаточно хорошо?«Я планирую поговорить с ним о блокировщиках всплывающих окон и объяснить пользователям аспект социальной инженерии того, что они видят, но мне интересно, как ответить на его вопрос.
В частности, потому что я знаю, что злонамеренный кодер мог бы поместить ловушку событий onunload() или unbeforeunload() во всплывающий код, поэтому, если они закрывают окно, (я предполагаю) тот же код, который запускается, когда вы нажимаете «Да, пожалуйста, сделайте беспорядок» моего компьютера "можно запустить, когда вы нажмете кнопку Закрыть. Но с другой стороны, если это правда, если хакер заставил вас открыть всплывающее окно, которое полностью находится под его контролем, зачем вам вообще нужно нажимать кнопку? Почему бы просто не запустить код атаки во всплывающем окне?