Предвид факта, че браузърът е мястото, където се достъпват и използват бизнес приложенията, логично е атаките да се случват именно там. Повечето пробиви днес започват в браузърна сесия. Често те никога не я напускат, като целият верижен процес на атаката — от първоначалния достъп до извличането на данни — се разиграва в браузъра.

Ето шестте най-опасни техники, които трябва да бъдат във фокуса на всеки екип по сигурност през 2026 г.

1. Фишинг за идентификационни данни и сесии

Модерните фишинг комплекти не просто крадат пароли — те прихващат активни сесии. Reverse-proxy комплектите за атаки от тип „нападател по средата“ (AiTM) като Tycoon2FA, Sneaky2FA и Evilginx препращат идентификационни данни и токени за сесии в реално време, заобикаляйки повечето форми на многофакторна автентификация (MFA). Тези комплекти се продават като готови платформи за фишинг като услуга (Phishing-as-a-Service) с защита срещу ботове, динамично генериране на стръв и автоматизирано възпроизвеждане на сесии — намалявайки бариерата за извършване на сложен фишинг практически до нула.

В същото време разпространението на фишинг се премести далеч извън електронната поща — атакуващите изпращат връзки през съобщения в реално време, социални мрежи, SMS, зловредни реклами и съобщения в приложенията. Според данни на Push, приблизително 1 на всеки 2 фишинг атаки се доставя изцяло извън имейл. А с 89% от фишинг домейните, активни за по-малко от два дни, организациите, разчитащи на черни списъци, играят губеща игра.

3. Фишинг за копиране и поставяне (ClickFix)

От края на 2024 г. атакуващите мамят потребителите да копират и изпълняват зловредни команди под предлог, че „коригират“ проблем — най-често фалшива CAPTCHA или проверка за потвърждение. Докладът за дигитална защита на Microsoft идентифицира ClickFix като най-честия вектор за първоначален достъп, представляващ 47% от наблюдаваните атаки. ClickFix се превърна в доминираща техника в откриванията на Push за първи път през второто тримесечие на 2026 г., достигайки 52% от общите откривания.

ClickFix е хибрид от таргетиране на браузъра и крайното устройство — стръвта се доставя през браузъра, но потребителят копира и стартира злонамерени скриптове локално, обикновено инсталирайки инструменти за отдалечен достъп (RAT) или зловреден софтуер за кражба на информация (infostealer). Четири от пет зловредни кода от тип ClickFix, прихванати от Push, са достъпени от търсачки чрез компрометирани сайтове, злонамерена реклама (malvertising) и SEO отравяне, заобикаляйки напълно сигурността на имейла.

Техниката продължава да се развива. InstallFix използва фалшиви инсталационни страници за инструменти за разработчици като Claude Code и NotebookLM, разпространявани чрез злонамерени реклами, където командата за инсталиране е заменена със зловредна. Кампанията LLMShare използва споделени разговори в платформи за AI чатботове за доставка на зловреден код чрез страници, хоствани на доверени домейни. Но всяка вариация споделя едно нещо: събитие за зловредно копиране и поставяне в браузъра.

3. Фишинг за оторизация

Нарастващ клас атаки таргетира случващото се след влизането в системата. Вместо да открадне сесия от процеса на автентификация, фишингът за оторизация злоупотребява с OAuth механизми — предоставяне на съгласие, процеси на оторизация на устройства и обмен на токени — за получаване на токени за достъп. Атакуващият никога не докосва процеса на автентификация, което означава, че всяка форма на MFA, включително защитените от фишинг passkeys, е безпредметна.

Три техники понастоящем попадат под този чадър. При фишинга за съгласие (Consent phishing) жертвата оторизира злонамерено приложение на трета страна чрез OAuth предоставяне на съгласие. Фишингът чрез код на устройство (Device code phishing) злоупотребява с RFC 8628 оторизацията за устройства, за да заобиколи напълно стандартната автентификация — Push вече проследява над 30 отделни комплекта, предлагащи тази техника. ConsentFix е хибрид между ClickFix и OAuth, забелязан за първи път в кампании на руската група APT29, който оттогава се е превърнал в комерсиализиран инструмент за киберпрестъпници.

4. Зловредни разширения за браузър

Киберпрестъпниците използват зловредни разширения, за да крадат данни, да записват натиснатите клавиши и да прихващат идентификационни данни и токени при преминаването им през браузъра. Повечето зловредни разширения не са започнали по този начин — атакуващите придобиват легитимни разширения и изчакват броят инсталации да достигне максимален ефект, преди да внедрят зловредно обновяване.

Анализ сред клиенти на Push установи, че 46.76% от разширенията имат комбинации от разрешения, необходими за превземане на профил без взаимодействие с потребителя. AI разширенията за браузър добавят допълнително измерение — Verizon DBIR 2026 установи, че над 15% от корпоративните потребители са инсталирали неоторизирани AI разширения за браузър, а Push откри средно по 17 уникални AI разширения на компания (като един екип е използвал 163), създавайки пътища за извличане на данни, независими от традиционните контроли за предотвратяване на изтичане на данни (DLP).

Статичната оценка на риска е лош предикатор за компрометиране на веригата за доставки — всеки голям пробив с разширение през последните 18 месеца е свързан с разширения, които преди това са били оценени като нискорискови. Подходът на блокиране по подразбиране с бял списък плюс мониторинг за събития на промяна е по-ефективен от премахването, базирано на оценка на риска.

5. Атака с компрометирани пароли и фантомни влизания

Компрометирането, базирано на пароли, остава една от основните причини за пробиви, което може да ви изненада, ако смятате, че SSO е разрешил атаките срещу идентификационни данни. Но SSO не е универсален — SAML често струва допълнително, самостоятелно внедрените приложения рядко се конфигурират, а повечето приложения позволяват едновременни методи за вход. Резултатът е фантомни влизания: резервни идентификационни данни извън SSO, невидими за логовете на IdP, създадени при внедряването и все още активни, освен ако не бъдат изрично деактивирани.

От последните един милион влизания, наблюдавани от Push, 1 на всеки 4 са били влизания с парола (не SSO), 2 на всеки 5 не са били защитени с MFA, и 1 на всеки 5 е използвал слаба, вече компрометирана или повторно използвана парола. Докладът за заплахите на Cloudflare за 2026 г. установи, че 63% от всички човешки влизания включват идентификационни данни, които вече са компрометирани на друго място.

6. Отвличане на сесии

Отвличането на сесии позволява на атакуващите да заобиколят напълно автентификацията, като вземат откраднат токен за сесия и го възпроизведат в собствения си браузър. Това побеждава дори защитени от фишинг контроли като passkeys, тъй като стъпката по автентификация вече е приключила.

Най-значимият източник на откраднати токени е зловредният софтуер за кражба на информация (infostealer), за който ClickFix в момента е основният механизъм за доставка. Verizon DBIR 2025 установи, че 46% от инфекциите с infostealer, водещи до корпоративни пробиви, произлизат от неуправляеми устройства — лични компютри, работни станции на разработчици и лаптопи на изпълнители, където липсва EDR. Функциите за синхронизация на браузъра създават друг мост, което означава, че компрометирането на личен профил може пряко да доведе до корпоративни пробиви.

Къде оставя това екипите по сигурност

Тези шест категории атаки се разиграват изцяло вътре в браузъра, възползвайки се от пролуките в традиционните инструменти за сигурност, работещи на ниво имейл, мрежа или крайно устройство.