Un ataque BitB comienza de la misma forma que gran parte del phishing: con un cebo. Un actor de amenazas crea un sitio web falso o clonado, tal vez anunciando una oferta de empleo, una oferta de compras o un documento que necesitas revisar. A partir de ahí, el ataque suele desarrollarse en unos pocos pasos:

1. Llegas a la página del atacante. El enlace puede llegar a través de un correo de phishing, un anuncio malicioso o una publicación en redes sociales.
2. Ves una opción de inicio de sesión conocida. La página ofrece un botón de "Iniciar sesión con Google", "Continuar con Microsoft" o similar de SSO, igual que lo hacen miles de sitios legítimos todos los días.
3. Se abre una ventana emergente. Se ve exactamente igual que la real: un marco de ventana, una barra de título y una URL que dice algo como accounts.google.com, con el ícono de candado incluido.
4. Escribes tus credenciales. Como todo en la pantalla se ve normal, inicias sesión como siempre lo harías.
5. Tus credenciales van al atacante. La ventana nunca fue un proceso de navegador independiente. Es una imagen y un iframe construidos con código, y el "formulario" envía tu usuario y contraseña directamente al servidor del actor de amenazas.

La técnica recibe su nombre de un investigador de seguridad conocido como mr.d0x, quien publicó el concepto en marzo de 2022 y mostró cómo el código web moderno puede replicar una ventana de navegador lo suficientemente bien como para engañar al ojo. En cuestión de semanas, los investigadores encontraron el mismo método ya en uso contra jugadores de videojuegos, y desde entonces ha aparecido en campañas de robo de credenciales dirigidas a empresas y agencias gubernamentales.