Qu’est-ce que Tabnabbing?

Alors qu’Internet continue de toucher tous les ménages et toutes les entreprises, son utilisation a considérablement augmenté, des millions de personnes y accédant en même temps. Cette expansion a abouti à la création d’innombrables sites Web et applications offrant divers services et contenus. Les gens préfèrent effectuer plusieurs tâches en même temps, c’est-à-dire accéder à plusieurs applications via le navigateur. Une telle croissance généralisée a amplifié l’importance de la sécurité Web ces derniers temps. Les applications Web doivent s’assurer que les données utilisateur sont sécurisées et qu’il n’y a pas de vulnérabilité. L’une de ces vulnérabilités est appelée «Tabnabbing» .

Il s’agit d’un exploit informatique et d’une attaque de phishing, qui persuade les utilisateurs de soumettre leurs informations de connexion et leurs mots de passe à des sites Web populaires en usurpant l’identité de ces sites et en convaincant l’utilisateur que le site est authentique. Le nom de l’attaque a été inventé au début de 2010 par Aza Raskin, chercheur en sécurité et expert en conception. L’attaque profite de la confiance et de l’inattention des utilisateurs envers les détails en ce qui concerne les onglets et de la capacité des pages Web modernes à réécrire les onglets et leur contenu longtemps après le chargement de la page.

Considérez le scénario suivant:

Sarah est occupée à terminer son travail pour la semaine. Son travail comprend le transfert de fonds aux vendeurs de son entreprise. Elle court derrière son horaire et est pressée. Elle est sur le point de saisir ses informations bancaires et clique sur un lien qui ouvre un site Web malveillant dans un nouvel onglet. Elle reçoit un appel téléphonique et est distraite. Le site Web malveillant contient un script qui modifie discrètement le contenu de la page parent en une fausse page de connexion. Sarah pensant que la page est authentique, entre les informations d’identification qui parviennent au serveur de l’attaquant.

Démonstration

Cliquez ici pour tester la vulnérabilité :