Vous connaissez sûrement le phishing : un lien vers un faux site qui ressemble au vrai, vous incitant à rentrer votre mot de passe pour pouvoir pirater vos données, comptes, etc.
Eh bien grâce à Quintescent, j'ai été informée d'un nouveau type de phishing, le tabnabbing !
Même principe, mais encore plus vicieux car le pirate profite que vous ayez plusieurs pages d'ouvertes et que vous en regardiez une pendant un certain moment pour modifier une page où vous n'êtes pas et vous demander ensuite, quand vous y retournez, de rentrer à nouveau votre mot de passe. Confiant, on est plus enclin à le faire car la page est déjà ouverte et semble sûre.
Voici l'article trouvé sur PCinpact :
"Tabnabbing : démo d'un nouveau type d'attaque par phishing
De quoi se ronger les onglets
Une nouvelle attaque par phishing vient d’être démontrée par Aza Raskin, un des responsables du développement de Firefox. On le comprendra facilement : cette attaque baptisée Tabnabbing tire son épingle de l'usage généralisé des onglets.
Le principe ? Un utilisateur ouvre plusieurs onglets affichant divers sites. Lorsque vous virevoltez entre ces onglets, l’une des pages affichées « en arrière-plan » va profiter de votre inattention pour se régénérer au bout d’un certain laps de temps. Elle remplacera sa version initiale en une fausse page Facebook ou Google Gmail, par exemple. Avec quelques bouts de code Javascript et pour faire encore meilleure impression, elle va modifier le Favicon qui s’affiche en illustration de l’onglet. Du coup, l’auteur de l’attaque n’aura plus qu’à attendre que l’internaute revienne sur cet onglet et se laisse piéger : il croira avoir ouvert préalablement Gmail ou Facebook, et entrera son login et son mot de passe puisque le site les lui demande (Raskin en fait la démonstration sur sa page ).
On le voit : le fait d’avoir déjà ouvert cet onglet puis d’y revenir place l'utilisateur dans une situation de confiance, celui-ci pensant que les pages, onglets et autre favicon sont immuables
La démonstration en vidéo. Suivez bien le troisième onglet :
A New Type of Phishing Attack from Aza Raskin on Vimeo.
Cette attaque de phishing baptisée tabnabbing pourra être encore plus aiguisée, améliorée, ciblée, en utilisant quelques astuces et autres bouts de code. Aza Raskin montre par exemple comment il est possible de détecter le réseau social utilisé (Facebook, Twitter, etc.), l’attaquant pourra « switcher » la page appropriée (page de connexion Facebook, Twitter, etc.). Plus vicieux, la page affichée peut encore signifier à l’utilisateur que sa session de connexion a expiré et qu’il est nécessaire de saisir à nouveau ses données d’identification, pour parfaire le piège. On devine sans mal les dangers d’une telle mesure pour les sites bancaires par exemple…
Ça fait peur, hein !
On n'est pas au bout de nos surprises avec Internet... Soyons vigilants !
(Tiens, d'ailleurs, y'en a marre aussi des robots qui postent sur 20six !!! )