Autofill e campi nascosti: la dimostrazione del 2017

Correzione del 31 ottobre 2026. Limitate le affermazioni alla dimostrazione del 2017; rimossa la raccomandazione indiscriminata di disattivare i password manager.

Siamo tutti concordi nell’affermare che la compilazione dei moduli web è qualcosa di estremamente noioso, se poi si tratta di farlo da mobile qualcuno desiste direttamente. Per venirci incontro, Google Chrome e altri browser Web, offrono la funzione di riempimento automatico, che memorizza i dati immessi la prima volta per poi utilizzarli al posto nostro successivamente.

Un malintenzionato potrebbe, molto facilmente, utilizzare il riempimento automatico del vostro browser per ottenere molte più informazioni di quante pensiate di concederne.

Il funzionamento è semplicissimo.

Prima viene costruita una form con tutti i dati che ci interessa avere, come indirizzo, email, telefono etc….

Successivamente vengono nascosti alla vista tramite foglio di stile tutti i campi tranne nome e cognome.

Nella dimostrazione del 2017, selezionare il riempimento automatico poteva compilare anche campi nascosti alla vista. Il comportamento dipendeva dal browser, dalla versione, dal tipo di dato e dal modo in cui il modulo era costruito.

Controllare quali dati si stanno condividendo

La dimostrazione non prova che qualsiasi browser consegni automaticamente numero di carta e CVV. Prima di compilare dati sensibili, verificate il dominio e le informazioni richieste. Le impostazioni per indirizzi e pagamenti possono essere gestite separatamente: disattivare in blocco i password manager non è una conseguenza necessaria di questo caso.

All’epoca avevo creato un servizio Web che smaschera gli eventuali campi nascosti e la relativa estensione per Chrome.

Lo screenshot seguente documenta le impostazioni del 2017; interfaccia e protezioni dei browser sono cambiate. I collegamenti al mio prototipo e all’estensione sono conservati come riferimenti storici, non come servizi di cui garantisco oggi la disponibilità.

La dimostrazione originale di Viljami Kuosmanen consente di distinguere il comportamento osservato dalle generalizzazioni su tutti i browser e tutti i dati salvati.