被泄露的交易签名的工作方式是，一旦网上银行用户发起支付请求，银行会要求用户在专用的带外 EMV CAP 阅读器上使用用户的 EMV 签署他/她的交易芯片卡已插入。要求用户在阅读器上输入某些代码和值，以确认要转移的货币金额和要转移到的帐户。
骗子们知道交易签名何时开始，只需在用户浏览器顶部放置一个 iframe，更改要输入的值，以便用户最终将欺诈者的银行账户输入为目标账户，而不是一个他们打算。
在交易签名方面需要考虑的事情——证明需要将整个过程保持在 PC 之外（在这种情况下）并完全在另一个通道上。
你能解释一下如何“在用户的浏览器上放置一个 iframe”以及如何从技术上防止这种欺诈吗？
从报价中并不清楚，但听起来他们在谈论消费者端点妥协。用户获取了银行家木马，因此他们的 PC 已成为可显示误导性信息的不受信任的设备。在这种情况下，木马运营商更改了显示的目标帐号，以便资金流向与用户认为他们正在贷记的另一方不同的一方。
关键是用于做出安全决策的完整用户界面必须驻留在受信任的设备上。从 PC 向安全设备输入信息使用户有机会检查信息是否正确，就像在屏幕上显示已授权信息的设备一样。
但是有一个缺失的部分是消费者通常不知道他们输入的帐号确实是他们想要贷记的一方的帐号。除非他们之前曾与该方进行过多次交易，这样他们才能记住帐号并在错误时发现它（即使那样也不一定会引起注意）。
要纠正这个问题，帐户 ID 必须是可识别的，例如控制发行的域名，而不是任意数字。但是，这会给您必须键入信息的任何独立设备带来问题，因为它需要一个全尺寸键盘。您可以使用仅显示设备来执行此操作，例如德国的 TAN 生成器，它可以从屏幕上读取信息，或者您可以使用非常长的帐号来执行此操作，该帐号解码为可读的内容，签名以防止未经授权的更改。
一旦整个决定发生在安全设备上，包括转账金额和用户可验证的目的地，不受信任的中介（你的电脑作为中间人）的问题就解决了，交易是安全的。
尽管该信息不包括交易的目的，但您仍然可以想象这样的攻击：经销商更改了您在特定商店购买的实际商品，而不改变成本！
这是 XSS（跨站点脚本）攻击的示例。
比如说 Friendster，它之前有很多 XSS“漏洞”，尤其是在个人资料页面中。我可以在我的个人资料页面中注入一个脚本，让我的页面看起来像一个登录页面。
一旦另一个用户查看我的个人资料，它看起来就像一个 Friendster 登录页面！然后用户输入他的用户名和密码，却不知道这是一个欺诈页面。输入的值将被路由到我的服务器进行存储，而用户被重定向到实际页面。
实际上，用户从未注销过。让用户相信这是一个合法的页面，并被要求透露帐户详细信息。
为防止这种情况，您不应允许任意 HTML 以及脚本通过您的站点。攻击的入口点很多，通常是没有经过彻底验证的输入框。如果页面上存在注入脚本，则事件 SSL 的站点是不安全的。