Un atacante tamén pode potencialmente usar fallos nos propios scripts dun sitio web de confianza contra a vítima. Este tipo de ataques (coñecidos como cross-site scripting) son particularmente problemáticos, porque dirixen ao usuario a iniciar sesión na propia páxina web do seu banco ou servizo, onde aparece todo, desde o enderezo web ata os certificados de seguridade correctos. En realidade, a ligazón ao sitio web está deseñada para realizar o ataque, o que fai que sexa moi difícil de detectar sen coñecemento especializado. Tal falla foi usada contra PayPal en 2006.
dirixen ao usuario a iniciar sesión na propia páxina web do seu banco ou servizo