Le Tabnabbing, une attaque par Phishing évoluée
Le Tabnabbing est une attaque par phishing qui profite de votre utilisation insouciante des onglets pour vous pirater.
C’est une technique qui n’est pas récente (elle date de 2010) mais qui a presque été oubliée. Oubliée seulement de notre côté, mais pas tout à fait du côté des pirates…
Voici donc la définition de cette attaque, et comment s’en protéger efficacement.
Le nom « tabnabbing » a été donné par le chercheur et designer pour Firefox Aza Raskin qui l’a mise au point et expliquée afin d’alerter les internautes.
Qu’est-ce que le « tabnabbing » ?
Un site pirate utilise un bout de code permettant de détecter le changement d’onglet. Lorsque vous le visitez, vous voyez du contenu normal probablement lié à ce que vous cherchiez.
Seulement, au bout de quelques secondes après avoir changé d’onglet, le site pirate change subitement son titre et sa « favicon » (l’icône du site web qui apparaît dans chaque onglet).
Voici une illustration pour bien comprendre :
Le 4ème onglet correspond au site pirate. Lorsqu’on change d’onglet (partie « Après »), il change son titre, sa favicon et son contenu (observez toujours le 4ème onglet).
Lorsque la victime retourne sur l’onglet, elle pense dans l’exemple précédent revenir sur son onglet Gmail qui aurait été auparavant ouvert.
Ce même onglet qui contient une copie frauduleuse de Gmail et qui piratera la victime si elle ne fait pas attention. Si vous êtes comme moi avec 40 onglets ouverts en permanence (que dis-je… 200 !), vous êtes d’autant plus ciblé(e) par cette attaque.
Comment se protéger contre le tabnabbing ?
C’est le type d’attaque plutôt bête mais très rusée qui nous attrape facilement si l’on ne fait pas attention. La prudence est de mise, l’idéal est de bien vérifier l’URL des onglets (à défaut de se souvenir des onglets ouverts).
Notons que cette attaque pourrait prendre des tournures différentes en se faisant passer pour d’autres sites qu’on a l’habitude d’utiliser.
Bien entendu les meilleures défenses contre les attaques par Phishing sont la vigilance et la sensibilisation. Si on ne sait pas que ça existe ou ne fait pas attention, et on est toujours perdant.
