Mit einem Trick kann man Benutzern von Internet Explorer und Outlook Express einen Link vortäuschen, der zu einer ganz anderen Website führt als angezeigt. Die Statusleiste, die unabhängig von dem auf der Web-Seite sichtbaren Link-Text das Ziel eines Links angeben sollte, kann so manipuliert werden, dass sie den Benutzer über das wahre Ziel täuscht. Dass dies mit Hilfe von Javascript möglich ist, ist seit Jahren bekannt. Bei der von "winter bitlance" entdeckten Möglichkeit geht es jedoch um eine Methode, die auch mit abgeschaltetem Scripting funktioniert.
In der Statusleiste von Internet Explorer oder Outlook Express wird dabei ein Link zu einer vertrauenswürdigen Site suggeriert. Dies kann für Phishing-Angriffe ausgenutzt werden. Als Abhilfe für Outlook Express wird das Deaktivieren der HTML-Ansicht empfohlen oder der Wechsel zu einem anderen Mail-Programm (etwa Thunderbird oder Pegasus Mail). Für den Internet Explorer gibt es mit Windows XP und installiertem Service Pack 2 eine Möglichkeit, das Wechseln zu einer vertrauenswürdigen Seite von einer weniger privilegierten Seite aus zu deaktivieren. Dazu muss man die Sicherheitseinstellungen der einzelnen Sicherheitszonen manuell anpassen.
Jay Calvert hat eine Demo Seite erstellt. Darin zeigt die Statusleiste im IE, dass der Link zu Ebay.com führt, tatsächlich landet man auf einer Firefox-Seite. In Firefox wird ebenfalls Ebay.com als Link-Ziel in der Statusleiste angezeigt, man landet jedoch auch tatsächlich bei Ebay.
:tlt:Cheers:tlt: