摘要：安全人員發(fā)現(xiàn)，不法網(wǎng)絡釣魚者，通過在網(wǎng)上安裝隱藏的文本框，即可盜取瀏覽器自動填充密碼管理器當中的私人信息。芬蘭的Web開發(fā)人員和黑客Viljami Kuosmanen發(fā)現(xiàn)，谷歌Chrome，蘋果Safari和Opera等瀏覽器，以及一些插件和工具：如LastPass，可被欺騙，通過它們基于配置文件的自動填充系統(tǒng)，將用戶個人信息泄露給黑客。

這種網(wǎng)絡釣魚攻擊極其簡單。Kuosmanen發(fā)現(xiàn)，當用戶試圖填充網(wǎng)頁上一些純文本框，如姓名、電子郵件地址等等，自動填充系統(tǒng)會發(fā)揮作用，其目的是避免標準信息等乏味重復填寫，它將基于用戶檔案的信息自動填充到任何其它文本框當中。

這意味著，當用戶訪問一個貌似無辜的網(wǎng)站，如果用戶確認進行自動填充，上述瀏覽器的自動填充系統(tǒng)將放棄更多的敏感信息，如電子郵件地址，電話號碼，郵寄地址，組織信息，信用卡信息以及其他各種零零碎碎的存儲數(shù)據(jù)。

Mozilla的Firefox火狐瀏覽器沒有此類問題，因為它還不具備多箱自動填充系統(tǒng)，并且不能被欺騙，通過程序化的手段彌補文本框。該釣魚攻擊仍然依賴于誘使用戶訪問惡意釣魚網(wǎng)站填寫個人信息。用戶可以通過禁用瀏覽器的自動填充系統(tǒng)保護自己免受這種威脅的侵害。