Тут дело действительно в том, что браузер цепляется за домен, а IP под этот домен может меняться. По сути, DNS сервер подкидывает разные ответы, и браузер тупо верит, хоть IP и локальный. Проблема в том, что политики безопасности в браузерах не всегда закрывают такие варианты, особенно если локальные сервисы плохо защищены. Вот и получается, что атака вроде простая, но может прокатить.