La plupart d’entre vous connaissent Hameçonnage, où un processus frauduleux est initié avec l’intention d’acquérir des informations sensibles telles que des mots de passe et des détails de carte de crédit, en se présentant comme une entité légitime. Mais que se passe-t-il si vous êtes sur une page légitime et la page que vous avez recherchée, pour des modifications sur une page frauduleuse, une fois que vous visitez un autre onglet ? C’est appelé Tabnaber ou Tabnapping.

Comment fonctionne le Tabnabbing

• Vous accédez à un site Web authentique.
• Vous ouvrez un autre onglet et naviguez sur l’autre site.
• Au bout d’un moment, vous revenez au premier onglet.
• Vous êtes accueilli avec de nouvelles informations de connexion, peut-être sur votre compte Gmail.
• Vous vous connectez à nouveau sans vous douter que la page, y compris le favicon, a effectivement changé dans votre dos !

Tout cela peut être fait avec juste un peu de JavaScript qui se produit instantanément. Lorsque l’utilisateur parcourt ses nombreux onglets ouverts, le favicon et le titre agissent comme un signal visuel fort – la mémoire est malléable et malléable et l’utilisateur pensera très probablement qu’il a simplement laissé un onglet Gmail ouvert. Lorsqu’ils cliquent sur le faux onglet Gmail, ils voient la page de connexion standard de Gmail, supposent qu’ils ont été déconnectés et fournissent leurs informations d’identification pour se connecter.

L’attaque se nourrit de l’immuabilité perçue des onglets. Une fois que l’utilisateur a saisi ses informations de connexion et que vous les avez renvoyées à votre serveur, vous les redirigez vers Gmail. Parce qu’ils n’ont jamais été déconnectés en premier lieu, il semblera que la connexion a réussi.

Vous visitez une page web, vous basculez sur un autre onglet, et dans votre dos, votre première page aura changé !

Tabnabage inversé

Reverse Tabnabbing se produit que l’attaquant utilise window.opener.location.assign() pour remplacer l’onglet d’arrière-plan par un document malveillant. Bien sûr, cette action modifie également la barre d’adresse de l’onglet d’arrière-plan, mais l’attaquant espère que la victime sera moins attentive et entrera aveuglément son mot de passe ou d’autres informations sensibles lors du retour à la tâche d’arrière-plan, précise Google.

Une solution serait que tous les propriétaires de sites utilisent la balise suivante :

target="_blank" rel="noopener noreferrer"

Pour éviter que cette vulnérabilité ne soit exploitée, WordPress a commencé à ajouter des balises noopener noreferrer automatiquement maintenant.

Jetez maintenant un œil au Spear Phishing, Pêche à la baleine, et les escroqueries par vishing et smishing.