Chrome : cette attaque phishing redoutable vous piège avec une fausse barre d’adresse

Maj. le 29 avril 2019 à 19 h 48 min

Un chercheur en sécurité, James Fisher, détaille une nouvelle attaque phishing visant Chrome sur smartphone : l’astuce, c’est de créer une fausse barre d’adresse qui se substitue à celle du navigateur. D’apparence authentique, cette barre, surnommée « Inception » par son créateur, assure le visiteur qu’il est sur la bonne page, et jouit d’une connexion sécurisée. Elle peut également le coincer dans un environnement contrôlé par des pirates, même lorsqu’il tente de quitter la page.

Une fausse barre d'adresse, plus vraie que nature / jameshfisher.com
Une fausse barre d’adresse, plus vraie que nature / jameshfisher.com

Un développeur, James Fisher, détaille sur son site un nouveau type d’attaque phishing. Baptisé « Inception », l’exploit reproduit l’apparence d’une page authentique sur smartphone à l’aide d’une simple capture d’une barre d’adresse obtenue lors d’une visite sur un site – en l’occurence celui de la banque HSBC.com. Il explique dans son article comment pousser le concept dans ses retranchements, et ainsi coincer le visiteur dans une sorte de navigateur imbriqué dans Chrome.

Lire également : Google Chrome – des pirates utilisent une extension pour voler des mots de passe

Chrome : nouvelle attaque phishing via une barre d’adresse digne d' »Inception »

On apprend ainsi que Chrome pour Android peut permettre à un développeur de substituer complètement l’élément graphique de la barre d’adresse par un autre, fabriqué de A à Z par des pirates. Il détaille comment empêcher, par exemple, que la vraie barre de recherche n’apparaisse lorsque l’utilisateur fait défiler l’écran. Ou remplacer cette barre d’adresse – qui peut n’être qu’une simple image – par un vrai champ dans lequel l’internaute peut entrer n’importe quelle adresse de son choix.

Les pirates auront alors tout le loisir d’espionner ce que l’internaute fait sur d’autres sites, voire aspirer ses identifiants en route. Cette attaque est étonnamment difficile à repérer, et c’est ce qui semble la rendre très dangereuse. Le chercheur suggère aux ingénieurs de Google de forcer l’affichage d’un élément graphique qui empêche la page de pouvoir afficher ce que bon lui semble sur la totalité de l’écran. Un élément qui pourrait signaler que la vraie barre d’adresse est cachée, et permettre à l’utilisateur de la faire réapparaitre en touchant le message.

Lire également : une nouvelle attaque phishing par SMS veut piller votre compte en banque !

Pensez-vous avoir été déjà victime d’une attaque phishing ? Partagez votre retour dans les commentaires.

Réagissez à cet article !
Abonnez-vous gratuitement à la newsletter
Chaque semaine, le meilleur de Phonandroid dans votre boite mail !
Demandez nos derniers articles !
Dell : une faille de sécurité permet de pirater ses PC à distance

Un chercheur en sécurité a identifié une faille de sécurité qui touche les PC Dell et plus précisément l’application SupportAssist qui est installée par défaut sur toutes les machines du constructeur. Avec cette faille, les ordinateurs portables et de bureau…

Gare au SMS qui vide votre compte bancaire !

Un SMS frauduleux envoyé par des pirates peut vider votre compte bancaire. Une cliente en a fait les frais en voyant son compte débité de la somme de 6 000 euros. Cette opération, elle affirme ne l’avoir jamais faite. Le…

Voici le top 10 des pires mots de passe

Le top 10 des mots de passe les plus vulnérables au piratage a été dressé par une étude britannique. Pour mettre sur pied cette liste, le National cyber security centre (NCSC) s’est intéressé aux 100 000 mots de passe les plus…

Internet Explorer : Microsoft refuse de corriger une faille de sécurité critique

Internet Explorer est victime d’une nouvelle faille de sécurité critique, rapporte un chercheur en cybersécurité. Malgré les risques encourus par les utilisateurs, Microsoft refuse de proposer un correctif dans les plus brefs délais. Pour forcer la main de la firme, le chercheur a révélé l’existence de…