Attaque Browser-in-Browser : La menace de phishing invisible
Les attaques Browser-in-Browser (BitB) représentent une évolution de la sophistication du phishing qui s'est manifestée de manière notable en 2022. Ces attaques créent de fausses fenêtres de navigateur convaincantes au sein de sites Web légitimes, trompant les utilisateurs pour qu'ils saisissent des identifiants destinés à des services de confiance comme Google, Microsoft ou Facebook. Contrairement aux pages de phishing traditionnelles, les attaques BitB ne nécessitent pas que les victimes cliquent sur des liens suspects ou visitent des domaines manifestement faux. Au lieu de cela, elles injectent des fenêtres popup réalistes qui imitent les flux d'authentification par authentification unique (SSO) auxquels les utilisateurs ont été formés à faire confiance. La technique exploite la familiarité des utilisateurs avec les flux de connexion OAuth et SSO, où cliquer sur « Se connecter avec Google » ou « Continuer avec Microsoft » ouvre une nouvelle fenêtre de navigateur. Les escrocs recréent ces fenêtres à l'aide de HTML, CSS et JavaScript positionnés sur des sites Web légitimes, avec des barres d'adresse factices affichant https:// et le nom de domaine correct. Selon les entreprises de recherche en cybersécurité, ces attaques ont un taux de réussite 3 à 4 fois supérieur au phishing traditionnel, car elles contournent de nombreuses vérifications de sécurité visuelles que les utilisateurs effectuent. Les institutions financières, les plateformes de cryptomonnaies et les applications SaaS d'entreprise ont signalé des incidents importants de vol d'identifiants utilisant la méthodologie BitB. Le Centre de plaintes sur la criminalité Internet du FBI a noté une augmentation de 47 % des attaques de phishing sophistiquées en 2023, les techniques BitB étant déployées dans des schémas de compromission de la messagerie d'entreprise entraînant des pertes moyennes de 3 000 euros par victime. L'attaque est particulièrement dangereuse car elle peut être déployée sur n'importe quel site Web compromis ou malveillant, et la fausse fenêtre disparaît immédiatement après la capture d'identifiants, laissant peu de preuves médico-légales.
Common Tactics
- • Les escrocs intègrent du code JavaScript malveillant sur des sites Web légitimes compromis ou créent de fausses pages d'accueil qui semblent liées à des services populaires, attendant que les utilisateurs tentent des flux de connexion SSO.
- • Ils créent des répliques parfaites au pixel près des fenêtres popup d'authentification de Google, Microsoft, Apple ou Facebook en utilisant HTML et CSS, y compris des barres d'adresse factices, des icônes de cadenas SSL et même des animations de chargement simulées qui correspondent à l'expérience de connexion réelle.
- • Les attaquants positionnent ces fausses fenêtres comme des superpositions au-dessus de la page Web réelle en utilisant le positionnement absolu et des valeurs z-index élevées, les faisant apparaître comme des popups de navigateur authentiques plutôt que comme des éléments incorporés à la page.
- • Ils implémentent des scripts de détection sophistiqués qui surveillent l'interaction de l'utilisateur, déclenchant automatiquement la fausse fenêtre de connexion lorsque les utilisateurs cliquent sur des boutons « Se connecter » ou tentent d'accéder à des fonctionnalités premium nécessitant une authentification.
- • Les escrocs capturent les identifiants saisis en temps réel via l'enregistrement des frappes et l'interception de la soumission de formulaire, transmettant immédiatement les données aux serveurs contrôlés par des attaquants tout en affichant des messages de chargement ou d'erreur factices.
- • Après le vol d'identifiants, les attaquants suppriment rapidement la fausse fenêtre et peuvent soit rediriger les utilisateurs vers la page de connexion légitime pour terminer l'authentification (masquant le vol), soit afficher des messages d'erreur génériques suggérant aux utilisateurs de réessayer plus tard.
How to Identify
- La fenêtre popup de connexion ne peut pas être glissée en dehors des limites de la zone d'affichage du navigateur ou déplacée indépendamment du contenu de la page principale, révélant que c'est un élément HTML incorporé plutôt qu'une véritable fenêtre de navigateur.
- Un clic droit sur la barre d'adresse, la bordure de la fenêtre ou les boutons de réduction/agrandissement du popup produit le menu contextuel standard de la page Web au lieu des options spécifiques au navigateur ou aucun menu du tout.
- L'URL dans la barre d'adresse du popup ne change pas lorsque vous tentez de la surligner ou de la copier, et cliquer sur la barre d'adresse ne permet pas la modification du texte ou de l'URL comme les véritables fenêtres de navigateur le permettent.
- L'utilisation des outils de développement du navigateur (F12) révèle que la fenêtre popup existe dans la structure DOM de la page en tant qu'élément div ou iframe, plutôt que d'être un processus de fenêtre de navigateur séparé.
- Le popup apparaît instantanément sans l'animation caractéristique de la fenêtre du navigateur, ou reste parfaitement centré même lors du redimensionnement de la fenêtre du navigateur principal, indiquant qu'il est lié au système de coordonnées de la page.
- La vérification du gestionnaire de fenêtres du navigateur (Alt+Maj sur Windows, Commande+Tab sur Mac) ne montre aucune instance de fenêtre supplémentaire pour le popup, confirmant que ce n'est pas une véritable fenêtre de navigateur séparée.
How to Protect Yourself
- Utilisez toujours un gestionnaire de mots de passe dédié avec des fonctionnalités de correspondance de domaine qui refusera de remplir automatiquement les identifiants sur les fausses fenêtres incorporées, car ces outils vérifient l'URL réelle plutôt que les graphiques affichés.
- Activez l'authentification à deux facteurs (2FA) ou l'authentification multifacteur (MFA) sur tous les comptes qui la supportent, de préférence en utilisant des clés de sécurité matérielles ou des applications d'authentification plutôt que des codes SMS, ce qui limite les dégâts même si les identifiants sont volés.
- Tapez manuellement les URL de connexion directement dans la barre d'adresse du navigateur au lieu de cliquer sur les boutons « Se connecter avec » sur les sites Web inconnus, en vous assurant que vous visitez la page d'authentification authentique dans une véritable fenêtre de navigateur.
- Avant de saisir des identifiants dans n'importe quelle fenêtre popup, tentez de faire glisser la fenêtre en dehors des limites de votre navigateur ou cliquez sur la barre URL pour vérifier que c'est une véritable fenêtre de navigateur et non une superposition HTML.
- Installez des extensions de navigateur qui détectent les comportements JavaScript suspects ou implémentent la validation de la politique de sécurité du contenu pour vous alerter lorsque les pages tentent de créer de fausses superpositions de fenêtres.
- Si possible, évitez d'utiliser des flux de connexion SSO sur des sites Web inconnus et créez plutôt des comptes uniques avec des mots de passe distincts, réduisant la valeur des identifiants compromis à un seul service.
Real-World Examples
Une designer graphique indépendante a visité un site Web de portfolio prétendant offrir des ressources de conception premium. Lorsqu'elle a cliqué sur « Se connecter avec Google » pour accéder aux téléchargements, une fenêtre de connexion Google d'apparence professionnelle est apparue. Elle a saisi ses identifiants, mais la fenêtre a affiché un message d'erreur et a disparu. Deux heures plus tard, son compte Gmail a été accédé à partir d'une adresse IP d'Europe de l'Est, et l'attaquant a tenté de réinitialiser les mots de passe de ses comptes PayPal et bancaires liés à cette adresse e-mail.
Un consultant en informatique a reçu un e-mail concernant une supposée mise à jour de sécurité pour son compte Microsoft 365 avec un lien pour examiner l'activité de connexion récente. La page liée affichait un popup de connexion Microsoft convaincant avec l'URL microsoft.com correcte visible dans la fausse barre d'adresse. Après avoir saisi ses identifiants, il a été redirigé vers la page Microsoft légitime. Trois jours plus tard, son entreprise a découvert que 47 enregistrements de contacts de clients avaient été exfiltrés, et des demandes de rançon avaient été envoyées à ces clients affirmant que le consultant avait été compromis.
Un investisseur en cryptomonnaies a cliqué sur un résultat de recherche sponsorisé pour une plateforme de trading populaire. La page d'accueil ressemblait à celle de l'échange et invitait à se connecter via un popup SSO Google. Après avoir saisi ses identifiants, la fenêtre s'est fermée avec un message « délai d'attente de la connexion ». Le lendemain matin, l'investisseur a découvert que son compte d'échange avait été accédé et que 8 400 euros de Bitcoin avaient été transférés vers un portefeuille inconnu. L'attaquant avait utilisé les identifiants Google volés pour contourner la vérification par e-mail de l'échange.