Chrome : cette attaque phishing redoutable vous piège avec une fausse barre d’adresse

Maj. le 29 avril 2019 à 19 h 48 min

Un chercheur en sécurité, James Fisher, détaille une nouvelle attaque phishing visant Chrome sur smartphone : l’astuce, c’est de créer une fausse barre d’adresse qui se substitue à celle du navigateur. D’apparence authentique, cette barre, surnommée « Inception » par son créateur, assure le visiteur qu’il est sur la bonne page, et jouit d’une connexion sécurisée. Elle peut également le coincer dans un environnement contrôlé par des pirates, même lorsqu’il tente de quitter la page.

Une fausse barre d'adresse, plus vraie que nature / jameshfisher.com
Une fausse barre d’adresse, plus vraie que nature / jameshfisher.com

Un développeur, James Fisher, détaille sur son site un nouveau type d’attaque phishing. Baptisé « Inception », l’exploit reproduit l’apparence d’une page authentique sur smartphone à l’aide d’une simple capture d’une barre d’adresse obtenue lors d’une visite sur un site – en l’occurence celui de la banque HSBC.com. Il explique dans son article comment pousser le concept dans ses retranchements, et ainsi coincer le visiteur dans une sorte de navigateur imbriqué dans Chrome.

Lire également : Google Chrome – des pirates utilisent une extension pour voler des mots de passe

Chrome : nouvelle attaque phishing via une barre d’adresse digne d' »Inception »

On apprend ainsi que Chrome pour Android peut permettre à un développeur de substituer complètement l’élément graphique de la barre d’adresse par un autre, fabriqué de A à Z par des pirates. Il détaille comment empêcher, par exemple, que la vraie barre de recherche n’apparaisse lorsque l’utilisateur fait défiler l’écran. Ou remplacer cette barre d’adresse – qui peut n’être qu’une simple image – par un vrai champ dans lequel l’internaute peut entrer n’importe quelle adresse de son choix.

Les pirates auront alors tout le loisir d’espionner ce que l’internaute fait sur d’autres sites, voire aspirer ses identifiants en route. Cette attaque est étonnamment difficile à repérer, et c’est ce qui semble la rendre très dangereuse. Le chercheur suggère aux ingénieurs de Google de forcer l’affichage d’un élément graphique qui empêche la page de pouvoir afficher ce que bon lui semble sur la totalité de l’écran. Un élément qui pourrait signaler que la vraie barre d’adresse est cachée, et permettre à l’utilisateur de la faire réapparaitre en touchant le message.

Lire également : une nouvelle attaque phishing par SMS veut piller votre compte en banque !

Pensez-vous avoir été déjà victime d’une attaque phishing ? Partagez votre retour dans les commentaires.

Réagissez à cet article !
Abonnez-vous gratuitement à la newsletter
Chaque semaine, le meilleur de Phonandroid dans votre boite mail !
Demandez nos derniers articles !
Firefox corrige une deuxième faille zero-day en 2 jours

Firefox vient de publier une nouvelle mise à jour, 48 heures environ après celle qui corrigeait une première faille zero-day. Le navigateur passe en version 67.0.4 qui corrige une deuxième vulnérabilité. Celle-ci est directement liée à la première. Un chercheur en sécurité du…

Voici 50 mots de passe que vous ne devriez jamais utiliser

Les mots de passe restent la modalité de sécurité la plus utilisée sur internet – malgré l’émergence d’alternatives. Or, à chaque nouvelle fuite de données, on se rend compte qu’un nombre inquiétant d’internautes négligent leurs mots de passe. Ainsi on…

Dell : une faille de sécurité permet de pirater ses PC à distance

Un chercheur en sécurité a identifié une faille de sécurité qui touche les PC Dell et plus précisément l’application SupportAssist qui est installée par défaut sur toutes les machines du constructeur. Avec cette faille, les ordinateurs portables et de bureau…