Il reindirizzamento nascosto è una falla di sicurezza che consente agli aggressori di sfruttare una vulnerabilità di reindirizzamento aperto.
I reindirizzamenti aperti non consentono di verificare che un URL reindirizzato sia valido. L'attaccante di reindirizzamento nascosto sfrutta questa debolezza per visualizzare una finestra di accesso fraudolenta, successivamente rubando le informazioni di accesso e reindirizzando l'utente a una pagina che installa malware per scopi più criminali, come il furto di identità.
Il reindirizzamento segreto è stato scoperto dal dottorando Wang Jing della Nanyang Technological University nel giugno 2014. Il sito di Wang Jinf, tetraph.com, ha affermato di dimostrare una vulnerabilità che ha colpito i principali siti tra cui Facebook, Google, Yahoo e Microsoft utilizzando Oauth e OpenID. Secondo Jing, la vulnerabilità ha consentito il reindirizzamento aperto rubando un token Oauth.
Contrariamente ai rapporti iniziali, gli esperti affermano che il reindirizzamento nascosto non è un difetto specifico di Oauth e OpenID, ma è più un problema di come viene gestita la sicurezza insieme all'abilitazione del reindirizzamento aperto a siti Web di terze parti.