Когдато на хакере видел статейку - там была как раз подмена данных.
Ты просто отследи что в какой последовательности делает браузер.