Una transizione da browser a shell si verifica quando l'attività dell'utente in un browser web porta direttamente a uno strumento da riga di comando come PowerShell o cmd.exe. In pratica, spesso significa che una pagina web, un prompt o una falsa schermata di verifica ha convinto l'utente a premere Win+R, incollare un comando o aprire una shell ed eseguire istruzioni.
Questo è importante perché ci si aspetta che i browser visualizzino contenuti, non che avviino comandi di sistema. Una volta che l'azione entra in una shell, l'attaccante può eseguire script, scaricare malware, rubare dati del browser o modificare le impostazioni di sistema. I team di sicurezza considerano questo un forte segnale di allarme negli attacchi in stile ClickFix e in altre campagne di social engineering. I difensori monitorano catene insolite di processi padre-figlio, attività del browser seguite da PowerShell e pagine web che istruiscono gli utenti a eseguire comandi. Bloccare o generare avvisi sugli avvii di shell originati dal browser può aiutare a fermare l'attacco nel punto di passaggio.