Attaques de sites et navigateurs
Les attaques qui se jouent dans la barre d'adresse et dans la page : un site imite un service légitime, ou une adresse ressemble à une autre.
Ce que ces attaques ont en commun
Le point commun est l'apparence. Le contenu de la page, le logo, le cadenas et même l'adresse peuvent être copiés ou imités. Le seul élément fiable est le nom de domaine réel, et le seul réflexe fiable est de rejoindre un service par un chemin que l'on maîtrise plutôt que par un lien reçu.
Techniques de cette catégorie
- Attaque par homoglyphesUne adresse web qui se lit exactement comme la bonne, parce qu'une lettre a été remplacée par un caractère d'un autre alphabet qui lui ressemble trait pour trait. Relire ne sert à rien : l'œil ne peut pas voir la différence.Ce que cherche l'attaquant : voler des identifiants · Canal principal : Site web
- Clickjacking (clic détourné)Vous cliquez sur ce que vous voyez, mais le clic atteint autre chose : un bouton invisible superposé à la page. Le geste est bien le vôtre, sa cible ne l'est pas.Ce que cherche l'attaquant : prendre le contrôle d'un compte · Canal principal : Site web
- Détournement de navigateurVotre page d'accueil, votre moteur de recherche et vos onglets ne sont plus ceux que vous aviez choisis. Vous les remettez, et ils reviennent : quelque chose les réécrit.Ce que cherche l'attaquant : collecter des données personnelles · Canal principal : Site web
- Extension de navigateur malveillanteUne extension utile que vous avez installée volontairement, et qui lit toutes les pages que vous ouvrez — y compris votre banque. Elle a demandé cette permission à l'installation, et vous l'avez accordée.Ce que cherche l'attaquant : collecter des données personnelles · Canal principal : Site web
- Fausse mise à jour de navigateurUne bannière au milieu d'une page annonce que votre navigateur est périmé et propose de le mettre à jour. Le fichier téléchargé n'est pas une mise à jour : c'est un programme choisi par l'attaquant, et c'est vous qui l'installez.Ce que cherche l'attaquant : prendre le contrôle d'un appareil · Canal principal : Site web
- Faux site webUne copie d'un site que vous connaissez, souvent pixel pour pixel. Elle ne cherche pas à vous tromper longtemps : juste le temps d'un formulaire de connexion ou d'un paiement.Ce que cherche l'attaquant : voler des identifiants · Canal principal : Site web
- Faux téléchargementSur une page de téléchargement, plusieurs gros boutons « Télécharger ». Un seul est le bon, et ce n'est ni le plus visible ni le premier.Ce que cherche l'attaquant : prendre le contrôle d'un appareil · Canal principal : Site web
- Publicité malveillanteUne publicité piégée affichée sur un site parfaitement légitime. Le site n'a rien fait de mal : il loue un espace, et ce qui s'y affiche est décidé ailleurs, en une fraction de seconde.Ce que cherche l'attaquant : prendre le contrôle d'un appareil · Canal principal : Publicité
- Quishing (QR code frauduleux)Un QR code ne montre pas où il mène. Un autocollant collé sur un horodateur ou une borne suffit à envoyer les gens vers une fausse page de paiement.Ce que cherche l'attaquant : voler des identifiants · Canal principal : QR code
- Tabnabbing (onglet remplacé)Un onglet laissé ouvert change de contenu pendant que vous regardez ailleurs. En y revenant, vous retrouvez une page de connexion — et vous vous connectez, puisque c'est vous qui aviez ouvert cet onglet.Ce que cherche l'attaquant : voler des identifiants · Canal principal : Site web
- TyposquattingUne adresse presque identique à celle que vous vouliez : une lettre en moins, un tiret en plus, une extension différente. La page ressemble au vrai site, mais elle appartient à quelqu'un d'autre.Ce que cherche l'attaquant : voler des identifiants · Canal principal : Site web
Les ressorts qu'elles exploitent
Nombre d'attaques de la famille, sur 11, qui s'appuient sur chaque levier psychologique.
- La confiance10 sur 11
- L'urgence4 sur 11
- La curiosité3 sur 11
- La récompense3 sur 11
- L'autorité1 sur 11
Ce qu'elles cherchent à obtenir
- Voler des identifiants5 sur 11
- Prendre le contrôle d'un appareil3 sur 11
- Collecter des données personnelles2 sur 11
- Prendre le contrôle d'un compte1 sur 11
Si c'est déjà arrivé
Les gestes dépendent de ce que vous avez fait ou donné.
S'entraîner sur ces attaques
- Simulation : Attaque par homoglyphesLa page de connexion est parfaite. L'adresse aussi, à un caractère près.
- Simulation : Extension de navigateur malveillanteUne extension pour convertir des fichiers PDF demande un accès à tous les sites visités.
- Simulation : Fausse mise à jour de navigateurUne bannière annonce que votre navigateur est obsolète et propose un fichier à exécuter.
- Simulation : Faux site webUne recherche pour retrouver votre logiciel de comptabilité. Le premier résultat n'est pas le bon site.
- Simulation : Faux téléchargementLe logiciel gratuit que vous cherchiez est enfin trouvé. L'installation propose plusieurs options.
- Simulation : Publicité malveillanteEn lisant un article, une alerte plein écran annonce 3 virus détectés.
- Simulation : Quishing (QR code frauduleux)Un autocollant QR sur l'horodateur promet un paiement « plus rapide ».
- Simulation : Tabnabbing (onglet remplacé)Vous revenez sur un onglet resté ouvert en arrière-plan : il demande de vous reconnecter.
- Simulation : TyposquattingTapée de mémoire, l'adresse comporte une lettre en trop. La page qui s'affiche semble pourtant identique.
Autres catégories
- Ingénierie sociale
- Fraudes financières
- Identifiants et comptes
- Logiciels malveillants
- Téléphones et objets connectés
- Réseaux et Wi-Fi
- Données et identité numérique
- IA et contenus synthétiques
- Chantage, harcèlement et atteintes à la personne
Retrouvez l'ensemble des techniques documentées dans l'encyclopédie des attaques, ou entraînez-vous directement avec les simulations disponibles.