Ventanas abiertas y la referencia al que abrió

La página abierta recibe en window.opener una referencia a la que la abrió. Si son de orígenes distintos, la política del mismo origen le impide leer su contenido, sus cookies o su almacenamiento. Pero hay operaciones que la política permite entre orígenes, y una de ellas es asignar una nueva dirección a esa ventana. El ataque conocido como cambio de pestaña inverso usa justo eso: mientras la persona está en el sitio nuevo, la pestaña del portal pasa a una copia falsa de su página de ingreso. CWE lo recoge como CWE-1022 (enlace web a un destino no confiable con acceso a window.opener).

No todas las formas de abrir una ventana dejan la referencia. Los navegadores actuales tratan un enlace <a> con target="_blank" como si llevara rel="noopener": la página nueva recibe window.opener vacío. Esa protección por defecto no alcanza a window.open(), que entrega la referencia salvo que se pida lo contrario en su tercer argumento. Y rel="noreferrer" también corta la referencia, además de no enviar el Referer.

Abre aperturas.txt y piensa, para cada fila, si la ventana nueva queda con referencia y si el destino es un tercero.

Los tickets dicen qué oferta estaban viendo los candidatos cuando la pestaña cambió. Cada oferta tiene su enlace de postulación, que es justo lo que abre la apertura de la tarea 2. Cruza tickets-soporte.txt con ofertas.txt, descartando los tickets marcados como no relacionados. Si todos apuntan al mismo sitio, lo más probable es que ese sitio esté comprometido o lo controle un tercero, y hay que avisarle a la empresa.

Para la respuesta al incidente importa cuántas cuentas hay que dar por comprometidas: las de quienes escribieron su contraseña en la página falsa. Esas cuentas necesitan cambio de contraseña, cierre de sesiones abiertas y aviso a la persona.

La corrección directa es abrir la postulación sin referencia, con noopener en window.open(). Hay una tentación: poner en el portal la cabecera COOP con el valor que mantiene las ventanas emergentes, porque el inicio de sesión (V4) necesita la suya. Pero ese valor está hecho para conservar la referencia con las ventanas que el portal abre; justo la de V2 seguiría ahí. Por otro lado, el valor más estricto de COOP cortaría la referencia en todas las aperturas hacia otro origen, también la del inicio de sesión, que vive en otro subdominio. Esto se ve con más detalle en la sala 5.