Recevez tous les soirs un résumé de l’actu importante avec Le Récap’
C’est une technique vieille comme le monde, qui refait surface sur X depuis la publication, le 15 octobre, d’un piège visant Amazon.
La démonstration, vue près de 3 millions de fois, présente à l’écran deux adresses URL côte à côte, l’une amazon.com, l’autre a̶m̶a̶z̶o̶n̶.̶c̶o̶m̶, sans qu’aucune différence ne soit perceptible.
Problème, la seconde adresse ne mène pas chez le géant du e-commerce mais vers un site de phishing. La raison est toute simple. Son premier caractère n’est pas un « a » latin mais un « а » cyrillique, une lettre qui s’affiche de la même manière dans la plupart des polices mais que l’ordinateur traite comme un caractère totalement différent.
Heureusement, l’internaute qui tente de se rendre sur ce faux site se heurte souvent à un avertissement de son navigateur, qui lui indique que la page n’est pas sécurisée. Lors de notre test, l’adresse était aussi signalée comme un site de phishing sur VirusTotal, un service qui la soumet à des dizaines de moteurs de détection.
En collant l’adresse piégée dans VirusTotal, un détail saute aux yeux. Le « а » cyrillique a disparu, et l’adresse s’affiche désormais sous la forme d’une suite de caractères commençant par « xn-- », suivie du reste du nom.
Ce changement s’explique par le fonctionnement même d’Internet. Le système qui traduit les noms de domaine en adresses de serveurs ne reconnaît que les lettres latines sans accent, les chiffres et le tiret.
Pour permettre l’utilisation d’accents ou d’autres alphabets, comme le cyrillique, l’arabe ou le chinois, les noms de domaine internationalisés sont donc convertis dans un format compatible appelé Punycode, reconnaissable à son préfixe « xn-- ». C’est cette forme technique, et non celle affichée à l’utilisateur, qui révèle la présence d’un caractère étranger.
Ce piège porte le nom d’attaque par homographe et constitue une variante du typosquatting, qui consiste à enregistrer un nom de domaine proche de celui d’une marque connue pour tromper les internautes.
Dans sa forme la plus classique, il exploite des fautes de frappe, comme amazom.com ou amazn.com, mais la variante par homographe va plus loin, puisque l’adresse frauduleuse ne contient aucune erreur visible pour un humain.
Documentée depuis le début des années 2000, cette technique a poussé les navigateurs à afficher la forme en « xn-- » lorsqu’une adresse mélange plusieurs alphabets de manière suspecte, sans que cette protection soit infaillible.
Le risque ne se limite d’ailleurs pas aux sites web. Les mêmes caractères peuvent se glisser dans l’adresse d’expéditeur d’un courriel, un lien reçu par SMS ou le nom d’un compte sur un réseau social, là où l’urgence du message pousse souvent à cliquer sans vérifier.
En cas de doute, vous pouvez coller l’adresse dans VirusTotal pour voir si le préfixe « xn-- » apparaît. Les plus curieux peuvent aussi la coller dans un outil d’identification Unicode, comme « What Unicode character is this? » de BabelStone, qui affiche le nom exact de chaque caractère et révèle ainsi la présence d’un « а » cyrillique.
Pour sa banque ou ses achats en ligne, mieux vaut taper soi-même l’adresse ou passer par ses favoris. Un gestionnaire de mots de passe offre aussi une protection utile, puisqu’il ne remplit pas les identifiants d’Amazon sur un domaine qui n’est pas réellement le sien.
Vous avez lu 0 articles sur Numerama ce mois-ci
Tout le monde n'a pas les moyens de payer pour l'information. C'est pourquoi nous maintenons notre journalisme ouvert à tous.
Mais si vous le pouvez, voici trois bonnes raisons de soutenir notre travail :
Si vous croyez en un web gratuit et à une information de qualité accessible au plus grand nombre, rejoignez Numerama+.
Ajoutez Numerama à votre écran d'accueil et restez connectés au futur !
Pour ne rien manquer de l’actualité, suivez Numerama sur Google !
