Qu'est-ce que le clickjacking et comment éviter de se faire avoir ?

Les liens qui semblent inoffensifs devraient réellement l’être. Cependant, le clickjacking s’immisce et érode votre confiance envers les liens et boutons de sites web apparemment sûrs. Ce guide propose diverses méthodes pour se protéger contre cette forme de détournement.

Définition du clickjacking

Le clickjacking, ou détournement de l’interface utilisateur (UI), se produit lorsque des cybercriminels manipulent des liens, des boutons et d’autres éléments cliquables d’un site. Ils superposent des couches transparentes sur une page, vous incitant ainsi à cliquer sur un lien malveillant au lieu de celui que vous aviez l’intention de sélectionner.

Par exemple, vous pourriez visiter un site et cliquer sur un lien pour obtenir un livre électronique gratuit. Cependant, cette superposition pourrait en réalité télécharger un logiciel malveillant ou un enregistreur de frappes. Les pirates modifient le code HTML du site, y compris les iframes et les feuilles de style en cascade (CSS).

La gravité du clickjacking réside dans le fait que ces superpositions se produisent sur le site légitime lui-même, et non sur une version falsifiée. En effet, lorsque vous naviguez sur un site réputé, vous êtes enclin à baisser votre garde, pensant être en sécurité.

En réalité, les liens sur lesquels vous cliquez peuvent permettre aux pirates d’accéder à vos comptes, à vos informations personnelles, voire à l’intégralité de votre appareil.

Le clickjacking peut se manifester de plusieurs manières :

Superpositions transparentes ou invisibles
Abandon de l’événement de clic (le clic semble inactif, mais vous activez en fait un lien malveillant caché).
Repositionnement
Défilement avec une fenêtre contextuelle nuisible
Recadrage (ciblant uniquement certains contrôles sur la page)

Dans certaines situations, les attaques peuvent être moins graves, comme le détournement de likes sur les réseaux sociaux. En cliquant sur un bouton ou un lien, vous pourriez en réalité activer le bouton “J’aime” d’une page ou d’un compte indésirable. Ce phénomène est connu sous le nom de likejacking. Il existe également plusieurs variantes, telles que le cookiejacking, le filejacking et le cursorjacking.

Évasion des protections antivirus et des navigateurs

Ce qui m’inquiète particulièrement concernant le clickjacking, c’est sa capacité à contourner fréquemment les antivirus et les logiciels de sécurité. Étant donné que ces attaques se produisent sur des sites réputés et ne nécessitent pas toujours le téléchargement de fichiers, les antivirus classiques peuvent passer à côté de ces menaces.

Bien que la plupart des navigateurs soient dotés de protections intégrées, il est bien connu que les hackers cherchent constamment de nouvelles façons d’exploiter les utilisateurs en ligne. La majorité des attaques de type “clickjacking” sont efficacement bloquées, mais les attaques de type “double clickjacking” peuvent échapper à cette vigilance.

Dans ce cas, au lieu qu’une action malveillante se produise lors de votre premier clic, le code malveillant insère une superposition trompeuse avant de vous inciter à cliquer une seconde fois. Cela peut se manifester par un simple double-clic pour confirmer une action ou par un CAPTCHA intrusif. En cliquant une deuxième fois, vous risquez d’installer involontairement un plugin et de donner accès à votre compte au pirate.

Actuellement, les navigateurs peuvent ne pas reconnaître cette version plus sophistiquée, car elle ne suit pas la configuration habituelle de l’iframe, ce qui augmente le risque d’être victime de clickjacking. Ce problème ne concerne pas uniquement les navigateurs de bureau ; les utilisateurs de dispositifs mobiles sont également exposés à des sollicitations de double-tap.

Se prémunir contre le détournement de clics

L’une des méthodes les plus efficaces pour se défendre contre les attaques classiques de détournement de clics est de veiller à ce que son navigateur soit à jour. Bien que le piratage par double clic soit relativement nouveau, les développeurs de navigateurs s’efforcent de créer des correctifs de sécurité pour protéger les utilisateurs.

Il est également crucial de mettre à jour tous les plugins et extensions. Les cybercriminels exploitent souvent des plugins qui modifient déjà le fonctionnement d’un site pour y injecter leur propre code malveillant.

Soyez vigilant quant à vos clics et aux messages des sites web. Votre site préféré affiche-t-il soudainement une demande de confirmation pour une action qu’il n’avait jamais requise auparavant ? Cela pourrait indiquer un cas de clickjacking. Bien que les confirmations soient fréquentes sur les sites web, il est important de s’inquiéter si un site n’en a jamais présenté auparavant. Testez la situation en cliquant sur d’autres boutons ou liens pour vérifier s’ils entraînent également des confirmations.

Lorsque vous cliquez sur un hyperlien, celui-ci vous redirige-t-il vers une page ? Si ce n’est pas le cas, évitez de cliquer à nouveau. L’exception concerne un bloqueur de publicité qui pourrait rediriger vers une fenêtre contextuelle, comme un formulaire à remplir. Il est possible que votre bloqueur de publicité ait empêché l’affichage de la fenêtre contextuelle liée au lien. Assurez-vous de vérifier votre bloqueur de publicité avant de cliquer une seconde fois sur le lien.

Pour les nouveaux sites, ceux qui semblent être des spams ou les sites de confiance affichant un comportement douteux, il est conseillé de vérifier les problèmes via un service de balayage d’URL. Ces services examinent les éventuels problèmes auprès de plusieurs fournisseurs de sécurité. N’hésitez pas à les utiliser pour analyser une page précise, l’intégralité du site ou même les liens de téléchargement. Voici quelques-uns de mes outils favoris :

URL Avoid
VirusTotal (parfait pour les liens de téléchargement)
urlscan.io
Google Transparency Report
Hybrid Analysis

Certaines solutions antivirus incluent des extensions pour navigateurs qui vous alertent sur la réputation de sécurité d’un site web.

Bien que le détournement de clics puisse survenir sur des sites authentiques, il représente un risque majeur sur les sites frauduleux. Il est essentiel de vérifier l’exactitude de l’URL que vous saisissez. Par exemple, assurez-vous que l’orthographe est correcte, comme “maketecheasier.com” au lieu de “maketecheasyer.com”. Une simple erreur de frappe peut avoir des conséquences graves. Google Chrome contribue également à identifier ces fautes.

De plus, il est conseillé d’éviter les fenêtres pop-up. Bien que ces notifications attrayantes, comme celle vous annonçant que vous avez gagné un nouvel iPhone, semblent tentantes, il est préférable de ne pas cliquer dessus ! Elles sont souvent étrangères au site que vous visitez et peuvent représenter une tentative de détournement de clics ou une arnaque de phishing. Dans tous les cas, abstenez-vous de cliquer. Cela s’applique également aux publicités douteuses, bien que les bloqueurs de publicités atténuent ce problème.

Une menace persistante

Le détournement de clics a commencé à diminuer grâce aux protections intégrées dans les navigateurs et aux mesures de sécurité mises en place par les propriétaires de sites, mais il n’a pas disparu pour autant. Actuellement, avec l’émergence du double clickjacking, cette menace refait surface. Restez vigilant et faites attention à vos clics en ligne.

Bien que le clickjacking ne soit pas toujours détecté par les antivirus, il est crucial de vous protéger contre d’autres menaces en installant un logiciel de sécurité. Consultez notre guide pour vous aider à choisir entre un antivirus et un logiciel anti-malware.