اما این یک پاپ آپ واقعی ورود به سیستم نیست که روی وب سایت فعلی پوشانده شده است. این یک پنجره جعلی است که از صفحه موجود ایجاد شده است. پس از اینکه قربانی اعتبار خود را وارد کرد، به یک فرم Steam Guard منتقل می‌شود که در آن یک کد 2FA (در صورت فعال بودن) درخواست می‌کند که به اعتبار کلاهبرداری اضافه می‌کند.
روش‌های حفاظتی دیگر که کمتر مزاحم هستند، شامل مواردی است که در کل فضای آنلاین اعمال می‌شود: مراقب پیام‌های مستقیم افراد غریبه باشید و روی پیوندهایی که ممکن است حاوی آنها باشد کلیک نکنید. و اگر چیزی بیش از حد خوب به نظر می رسد که درست باشد، تقریباً مطمئناً همینطور است.
البته پیام یک نیرنگ است. فرستنده پیوندی به سایتی با ظاهر حرفه ای دارد که به نظر می رسد یک شرکت ورزش الکترونیکی است که میزبان و حامی مسابقات و سایر مسابقات است. درخواست برای پیوستن به پلتفرم، پنجره پاپ آپ آشنا برای ورود به Steam ظاهر می شود. این پنجره تقریباً از حالت واقعی غیرقابل تشخیص است، با مجموعه ای از 27 زبان، یک گواهی امنیتی SSL، یک URL قانونی و یک گزینه “ایجاد حساب” کامل می شود. حتی می توان آن را جابجا کرد، اندازه آن را تغییر داد و حداکثر/حداقل کرد.
حملاتی که توسط Group-IB (از طریق Bleeping Computer) مشخص شده است، از تکنیک مرورگر در مرورگر برای واقعی جلوه دادن یک فریب فیشینگ استفاده می کنند. این فرآیند زمانی شروع می‌شود که یک هدف، معمولاً یک گیمر رقابتی یا حرفه‌ای، پیامی مستقیم دریافت می‌کند که از آنها دعوت می‌کند تا به مسابقاتی مانند League of Legends، Counter-Strike، Dota 2 یا PUBG بپیوندند.
به طور خلاصه: به کاربران Steam در مورد حمله جدیدی هشدار داده می شود که افراد را فریب می دهد تا اعتبار حساب خود را از طریق تکنیک فیشینگ مرورگر در مرورگر تحویل دهند. گیمرهای رقیب و حرفه ای مانند هرکسی که اکانتی با ارزش بالا داشته باشد، هدف قرار گرفته اند.
حتی اگر کاربر در این مرحله شروع به مشکوک شدن کند، دیگر خیلی دیر شده است زیرا کلاهبردار پس از وارد شدن به پنجره ورود جعلی، اعتبار آنها را گرفته است. مجرمان اکنون آزادند هر گونه کالای مجازی را به سرقت ببرند و با دسترسی کامل به حساب کاربری هر کاری که می خواهند انجام دهند.
یکی از روش‌های اطمینان از اینکه در معرض حمله فیشینگ مرورگر در مرورگر قرار نمی‌گیرید، استفاده از یک برنامه افزودنی مسدودکننده جاوا اسکریپت است – کلاهبرداری از JS استفاده می‌کند – اگرچه مسدود کردن اسکریپت‌ها می‌تواند باعث مشکلاتی در بسیاری از وب‌سایت‌ها شود.
