Une nouvelle technique de phishing redoutable a été repérée par un chercheur en sécurité : il s'agit de générer sur une page une fausse popup de login en tous points identique à la vraie fenêtre de login OAuth de Facebook. Certificat, adresse dans la barre d'adresse, design… tout semble 100% authentique et peut donc induire en erreur jusqu'aux utilisateurs les plus aguerris. La seule chose qui puisse vraiment permettre de repérer la supercherie est de tenter de faire glisser a fausse popup hors de la page… 

Les attaques phishing sont en général faciles à déjouer. Surtout si, comme nous, vous vérifiez systématiquement quelques points critiques avant d'entrer vos mots de passe : l'URL exacte dans la barre d'adresse, la présence d'un homographe (un nom de domaine qui s'écrit presque pareil, par exemple faebook.com au lieu de facebook.com), l'utilisation d'HTTPS, la validité du certificat ou encore le design du formulaire. Dans de nombreux cas, si vous avez installé une suite antivirus, une extension permet en prime d'effectuer une vérification automatisée.

Lire aussi : Google Traduction – attention aux attaques phishing qui détournent le service !

Un chercheur découvre une attaque phishing crédible, même pour les utilisateurs aguerris

Maintenant imaginez une attaque phishing pour laquelle l'URL est correcte, qui utilise HTTPS, a un certificat valide, un design identique au vrai formulaire de connexion et laisse la détection d'attaques phishing de votre antivirus de marbre ? C'est justement ce que vient de découvrir Antoine Vincent Jebara, chercheur en sécurité, co-fondateur et PDG de l'éditeur du gestionnaire de mots de passe Myki. Selon le responsable cité par The Hacker News : “même les utilisateurs les utilisateurs les plus plus vigilants peuvent tomber dans le panneau”.

Facebook, comme Google ou Microsoft proposent un service de login unifié. Que de nombreux sites implémentent pour offrir une modalité de connexion plus pratique à leurs visiteurs. Il raconte ainsi avoir découvert des sites malicieux proposant à leurs visiteurs le système OAuth de Facebook. Ou du moins le faisant croire de manière très réaliste avec un peu de HTML et de JavaScript. Le principe est simple : plutôt que d'afficher une vraie popup comme le fait Facebook, le de simule une popup flottant sur la page.

Lire aussi : Phishing – les banques ne remboursent pas les victimes en cas de négligence

La fenêtre n'est donc plus un conteneur, mais un élément graphique que l'utilisateur peut déplacer dans une certaine mesure, renforçant l'impression d'authenticité. Bien sûr, l'adresse, le cadenas vert, le formulaire… tout cela est factice et conçu pour mettre le plus possible en confiance l'utilisateur. Or, le plus fort, c'est que pour les antivirus, aucune fenêtre de login ne s'ouvre. La détection de phishing reste donc silencieuse, ce qui fait augmenter les risques.

Comment se protéger ?

Selon Antoine Vincent Jebara, en plus de sites complètement malicieux, cette page de login finirait parfois sur des sites légitimes. Les cybercriminels “distribuant des liens à des blogs et services qui demandent de d'abord se ‘connecter avec son compte Facebook' pour lire un article explosif ou acheter un produit au rabais”. Il n'existe qu'un seul moyen efficace de déjouer ce genre d'attaque : essayer de faire glisser la fenêtre de login en-dehors de la fenêtre. Si cela échoue, c'est que c'est un piège.

L'autre méthode suggérée par Antoine Vincent Jebara est – cela ne vous surprendra sans doute pas étant donné qu'il est le PDG d'une entreprise qui en édite un – c'est d'utiliser un gestionnaire de mots de passe. Dans la vidéo en fin d'article, qui illustre l'attaque, il explique en effet : “la plupart des gestionnaires de mots de passe sont insensibles à ce type d'attaque phishing car ils vérifient l'adresse de la fenêtre pour déterminer quel mot de passe doit être pré-rempli”.

Sur le même sujet : Phishing – ce test de Google révèle votre habileté à identifier les pièges

Et vous, seriez-vous tombé dans le panneau ? Partagez votre avis dans les commentaires.