W dniu 01.10.2020 o 15:41, Krzysztof Halasa pisze:
> Michal Jankowski <m...@f...edu.pl> writes:
>
>> Czyli - ofiara musi nie tylko zalogować się na fałszywą stronę i
>> zatwierdzić operację, ale jeszcze przekazać złodziejowi niezamówiony
>> sms dodający przeglądarkę do zaufanych.
>
> SMS mógł być "zamówiony", wystarczy np. włączyć kasowanie ciastek po
> zakończeniu sesji, i zawsze na wejściu dostajemy SMSa. Sesja mogła być
> podtrzymywana przez wiele godzin.

Czyja sesja? W twoim scenariuszu bank musi wysłać trzy smsy:

1. sms startujący prawdziwą sesję klientki
2. sms zatwierdzający dodanie zaufanego odbiorcy (błędnie zrozumiany
przez klientkę jako zatwierdzenie przelewu złotówki)
3. sms startujący sesję złodzieja

MJ