Démasquer le tabulation : naviguer dans les menaces de sécurité Web

À mesure que les entreprises s’efforcent de parvenir à une solution complète transformation numériqueleur besoin de compétences et d’expertises numériques adéquates ne fait qu’augmenter. Dans le monde virtuel au rythme effréné d’aujourd’hui, il n’est pas rare de jongler avec plusieurs onglets de navigateur tout en effectuant plusieurs tâches. Cependant, cette dépendance apparemment inoffensive peut exposer les utilisateurs à un danger de cybersécurité moins reconnu : TAB-NABBING !

Qu’est-ce que le Tab-Nabbing ?

Tabulation (également connu sous le nom de tabjacking) est une sorte d’attaque de phishing sournoise qui profite aux clients qui laissent plusieurs onglets ouverts dans leur navigateur. Introduit avec l’aide d’Aza Raskin en 2010, le tab-nabbing consiste à remplacer un onglet de navigateur inactif par une page Web frauduleuse conçue pour imiter un site Web valide en ligne. Le but est d’inciter les utilisateurs à saisir des données délicates telles que des informations de connexion ou des informations monétaires sans se rendre compte que la page a été modifiée.

Tab-Nabbing

• Le tab-nabbing exploite l’idée selon laquelle une fois qu’un onglet du navigateur est ouvert, son contenu reste inchangé.
• Cette fausse impression offre aux attaquants la possibilité de mettre en place un script malveillant.
• Lorsque les utilisateurs devenir inactif ou distrait, le script ajuste silencieusement le contenu de l’onglet pour afficher une page Web de phishing.
• Une fois que l’utilisateur revient à l’onglet, il est satisfait d’être toujours sur une page valide, ignorant que leurs informations privées sont en danger.

Comprendre la politique de même origine (SOP)

Pour comprendre le fonctionnement du tab-nabbing, il est essentiel de reconnaître un concept essentiel de sécurité Web : la politique de même origine (SOP). SOP est comme un gardien numérique qui empêche les sites Web d’interagir les uns avec les autres jusqu’à ce qu’ils partagent la même base (zone, protocole et port). Par exemple, Facebook ne peut pas obtenir le droit d’accès aux enregistrements à partir d’un onglet ouvert à Google dans la même fenêtre de navigateur, garantissant ainsi la confidentialité entre les applications Web spéciales.

SOP dans les onglets

Cependant, quelle que soit la SOP en place, des vulnérabilités existent néanmoins. Les attaquants peuvent les exploiter en utilisant une astuce appelée « contrôle de fenêtre ». Par exemple, Le site A peut manipuler la fenêtre du site B en prenant le contrôle de son objet fenêtre, permettant ainsi à un attaquant de rediriger l’utilisateur du site B vers n’importe quelle URL de son choix, souvent un site Internet malveillant.

En savoir plus: L’impact des tests continus – Comment les organisations transforment leurs tests de réactifs à innovants

Comment fonctionne le tabulation

Voici comment se déroulent les attaques régulières de tabulation :

1. Une page malveillante ouvre un nouvel onglet

Un site Web malveillant utilise JavaScript pour ouvrir un nouvel onglet dans votre navigateur. Le nouvel onglet semble inoffensif ou vide, vous l’ignorez donc.

Pendant que vous êtes occupé, l’attaquant modifie le contenu de l’onglet en une page de phishing, comme un faux écran de connexion. Lorsque vous revenez à l’onglet, cela semble légitime. Vous saisissez des informations sensibles, que l’attaquant vole.

Comment fonctionne la navigation par onglets

2. Inverser les onglets

Dans cette transformation, c’est un site Internet valide qui ouvre un tout nouvel onglet. Cependant, l’attaquant manipule la fenêtre d’ouverture à l’aide de `window. Opener` et l’échange avec un site malveillant. Le consommateur revient à l’onglet d’origine en se demandant s’il est toujours dépendant de la page web, alors qu’en fait, celui-ci a été remplacé.

Dans chaque cas, l’attaquant s’appuie sur l’inattention de l’utilisateur et sur sa confiance dans l’authenticité des onglets du navigateur, rendant ces agressions particulièrement efficaces.

Se prémunir contre les tabulations

Même si le fait de piocher des onglets présente un risque réel, Il existe des mesures réalistes que chaque utilisateur et développeur peut prendre pour réduire les risques :

Assurez-vous que votre navigateur et votre système d’exploitation sont continuellement à jour avec des variations avant-gardistes. Les développeurs lancent régulièrement des correctifs de sécurité pour corriger les vulnérabilités dont les attaquants devraient profiter.

Réfléchissez à deux fois avant de cliquer sur des hyperliensen particulier à partir de sources inhabituelles ou peu fiables. Les sites Web malveillants s’appuient souvent sur des techniques d’ingénierie sociale pour convaincre les utilisateurs de visiter des pages frauduleuses.

Testez toujours deux fois l’URL dans la barre d’adresse du navigateur avant de saisir des statistiques privées. Assurez-vous que l’URL correspond au site valide que vous êtes censé visiter, car les sites de phishing ont régulièrement des URL légèrement modifiées pour induire les utilisateurs en erreur.

Installer des extensions de navigateur qui aident à bloquer les scripts malveillants et à se défendre contre les attaques de phishing. Cet équipement offre une couche de sécurité supplémentaire en même temps que la navigation.

• Implémentez `rel=noopener` pour les développeurs :

Les développeurs de sites Web peuvent protéger les clients contre les onglets en ajoutant l’attribut « rel=noopener » aux hyperliens externes. Cela empêche les sites malveillants de manipuler la fenêtre d’ouverture et d’accéder à la page Web unique qui les a ouverts.

En restant informé des menaces actuelles, y compris les onglets, et en adoptant des pratiques de sécurité satisfaisantes, vous pouvez réduire considérablement les dangers et naviguer sur Internet avec plus de confiance en vous. N’oubliez pas que votre sécurité en ligne est entre vos mains : soyez vigilant et défendez-vous contre les menaces virtuelles invisibles.

En gardant leurs exigences au centre de tout, TO THE NEW propose un ensemble complet de manuels ainsi que services de tests automatisés. Notre objectif est de transformer l’assurance qualité traditionnelle en ingénierie qualité en tirant parti de la technologie adaptée aux environnements CI/CD et Agile.

Bon test !
Restez en ligne en toute sécurité 🙂

VOUS TROUVEZ CECI UTILE ? PARTAGEZ-LE