Attaque par homoglyphes

Définition

Une attaque par homoglyphes utilise des caractères issus d'alphabets différents mais visuellement identiques aux caractères latins pour composer une adresse web qui paraît authentique à la lecture, tout en désignant un domaine entièrement distinct.

Comment ça fonctionne

Plusieurs systèmes d'écriture partagent des formes de lettres identiques ou quasi identiques : certaines lettres cyrilliques ou grecques sont indiscernables de leurs équivalents latins à l'œil nu. En substituant une seule de ces lettres dans un nom de domaine, l'attaquant obtient une adresse qui s'affiche comme l'originale mais pointe vers son propre serveur. Contrairement au typosquatting, il n'y a ici aucune faute à repérer : la lecture attentive ne suffit pas, car les caractères sont réellement différents pour la machine tout en étant identiques pour l'œil. Les navigateurs se défendent en affichant ces domaines sous leur forme technique encodée lorsqu'ils mélangent des alphabets.

Pourquoi ça marche

Ici, l'œil n'a rien à repérer : la vérification que l'on recommande d'habitude, relire l'adresse, confirme au contraire que tout est normal. Plus la personne est attentive, plus elle se rassure.

Sur quoi cette attaque s'appuie

Comprendre ces ressorts vaut mieux que retenir cent fiches : c'est ce qui permet de reconnaître une arnaque que personne n'a encore décrite.

Signaux d'alerte

• Adresse affichée sous une forme technique commençant par « xn-- », signe d'un domaine internationalisé
• Avertissement du navigateur signalant un domaine mêlant plusieurs alphabets
• Lien reçu par message dont l'adresse paraît pourtant parfaitement correcte
• Page de connexion atteinte via un lien plutôt que par un favori
• Le gestionnaire de mots de passe ne propose pas de remplir le formulaire

Comment vérifier

Le signal le plus fiable est le comportement de votre gestionnaire de mots de passe : il associe vos identifiants au domaine réel, pas à son apparence. S'il ne propose rien sur un site que vous utilisez habituellement, considérez que le domaine n'est pas celui attendu. Sinon, rejoignez le service par un favori enregistré.

Les questions à se poser, dans l'ordre

1. 1

   Votre gestionnaire de mots de passe refuse-t-il de remplir le formulaire d'un site que vous utilisez pourtant ?

   Si oui : Considérez le site comme faux : fermez l'onglet et passez par votre favori.

2. 2

   La barre d'adresse affiche-t-elle une forme commençant par xn-- ou un avertissement du navigateur ?

   Si oui : Quittez la page sans rien saisir.

3. 3

   Avez-vous saisi vos identifiants sur cette page ?

   Si oui : Changez le mot de passe depuis votre favori et vérifiez l'historique de connexion du compte.

Que faire

Ne saisissez aucun identifiant. Fermez l'onglet et accédez au service par un chemin que vous maîtrisez.

Si c'est déjà arrivé

Changez le mot de passe du service concerné depuis une session ouverte par vos propres moyens, activez la double authentification et vérifiez l'historique de connexion du compte.

• Checklist d'urgence : « Vous avez saisi un mot de passe sur une page »
• L'assistant « J'ai cliqué » : les gestes après un site piégé, dans l'ordre

Pour que ça ne se reproduise pas

• Ne vous connectez jamais depuis un lien reçu : ouvrez le service par un favori ou l'application.
• Laissez votre gestionnaire de mots de passe remplir les formulaires : son silence est un signal.
• Activez la double authentification sur les comptes qui comptent, de préférence par application ou clé de sécurité.

Les gestes qui déjouent cette attaque

• Décodeur de lien : à qui appartient vraiment cette adresse ?Collez un lien : l'outil montre le nom de domaine réel, ce qui n'est que décor, et les caractères qui imitent d'autres lettres. Rien n'est envoyé.
• Vérifier un lien avant de cliquerComment savoir si un lien est dangereux avant de l'ouvrir ?
• J'ai saisi mon mot de passe sur un faux site : que faireJ'ai cliqué sur un lien et saisi mon mot de passe sur une fausse page, que faire ?

Questions fréquentes

Comment vérifier une adresse qui semble identique à la vraie ?

Ne vous fiez pas à la lecture : c'est précisément ce que l'attaque contourne. Fiez-vous au comportement de votre gestionnaire de mots de passe, ou n'utilisez pas le lien du tout et passez par un favori.

Cette attaque fonctionne-t-elle aussi sur téléphone ?

Oui, et le risque y est accru : les navigateurs mobiles affichent l'adresse de façon tronquée, ce qui laisse encore moins d'éléments visibles pour repérer une anomalie.

Que signifie une adresse commençant par xn-- ?

C'est la forme encodée d'un domaine contenant des caractères non latins. Ce n'est pas frauduleux en soi, mais voir cette forme là où vous attendiez un nom ordinaire justifie de ne pas s'y connecter.

Attaques liées

• Typosquatting
• Phishing (hameçonnage)
• Bourrage d'identifiants
• Faux site web

Sources officielles

• Unicode Consortium — Unicode Security Considerations (UTS #36)
• Cybermalveillance.gouv.fr — Hameçonnage (phishing)