Une attaque contre notre ordinateur pourrait commencer par quelque chose d'aussi simple que ignorer l'adresse URL de la page que nous visitons. Si cette adresse est en réalité un lien contenu dans un fichier PDF ou un courriel, elle peut nous mener vers des portails spécialement conçus pour voler des identifiants via du phishing. Or, ces dernières semaines, une campagne ciblant les utilisateurs de Gmail a été détectée. Une petite subtilité dans la barre d'adresse et une bonne utilisation d'éléments comme les en-têtes et les pièces jointes ont permis à cette campagne d'atteindre un niveau d'efficacité qui surprend les novices comme les experts.
Pourquoi cette campagne est dangereuse
Perdre nos identifiants entre les mains d'un élément malveillant est l'une des pires choses qui puissent nous arriver. Le risque est bien plus élevé que ce que nous imaginons, simplement parce que ce n'est pas un seul service qui est compromis. Prenons le cas de Google. Un compte standard donne accès à pratiquement toutes les ressources proposées par Mountain View, notamment Gmail, Google Drive, Google Docs, Blogger, YouTube, AdWords, AdSense, la Play Store d'Android… vous voyez l'idée. La dernière menace vise en priorité les utilisateurs de Gmail, et son scénario commence par un courriel soi-disant envoyé par l'un de nos contacts…
Le mode opératoire
Un courriel falsifié possède des caractéristiques qui permettent de le repérer rapidement, à commencer par des écarts de langue et des fautes d'orthographe. Cependant, selon les rapports, cette attaque peut envoyer des courriels avec des en-têtes et des pièces jointes légitimes, issus d'une communication antérieure entre les deux interlocuteurs. Si l'on essaie de cliquer sur l'aperçu de la pièce jointe, on est redirigé vers ce qui semble être la page de connexion principale de Gmail. Le problème est que il y a un piège caché, et il se trouve précisément dans la barre d'adresse. La chaîne ne commence pas par l'attendu « https://accounts.google.com », mais contient un petit « data:text/html, » avant. En réalité, c'est le début d'une longue structure de texte qui transmet nos identifiants à l'attaquant, et une fois qu'il les a en sa possession, il répète tout le processus avec le reste de nos contacts.
Comment se protéger
Heureusement, se protéger de cette campagne n'est pas très compliqué. La première étape consiste évidemment à observer de près l'adresse URL. Si l'on ne trouve pas le « https:// » au début de la barre d'adresse sur Gmail (ou tout autre portail de connexion de Google), avec son cadenas ou son étiquette verte et les données du certificat, c'est qu'il y a un problème. La vérification en deux étapes est un autre moyen utile, même s'il existe la possibilité lointaine que le site de phishing soit modifié pour demander également le code de vérification (l'attaque devrait alors être quasi en temps réel). L'option la plus sûre (pour le moment) serait d'utiliser des clés physiques, comme Google le suggère depuis longtemps Enfin, il n'est pas inutile de vérifier les journaux d'activité dans Gmail. Si quelque chose d'anormal y apparaît, il est recommandé de changer immédiatement le mot de passe.
(N.D.L.R. : Google a reconnu le potentiel de cette attaque et a confirmé qu'il travaille sur des mesures de sécurité supplémentaires qui seront disponibles avec Chrome 56. Nous imaginons que Mozilla empruntera une voie similaire.)
