Une « faille majeure » de Safari expose les données de connexions des utilisateurs d’Apple

Plusieurs experts en cybersécurité ont lancé l’alerte d’une attaque de phishing identifié comme étant un Fullscreen Browser-in-the-Middle (BitM). Ce dernier est capable de dérober les informations sensibles des utilisateurs comme les mots de passe enregistrés sur le navigateur d’Apple, Safari.

Une attaque sophistiquée qui exploite l’API en plein écran

L’attaque des hackers est assez foudroyante, bien plus complexe que celle que nous connaissons généralement des méthodes de phishing. Habituellement, un phishing traditionnel trompe les utilisateurs avec de faux sites web révélant des indices permettant de le détecter. Or, avec les attaques BitM, ce sont les sessions du navigateur qui sont ciblés, permettant ainsi de dissimuler les éléments de l’interface du navigateur.

Ces éléments concernent par exemple la barre d’adresse, ce qui laisse très peu de chance aux utilisateurs, même avertis de pouvoir détecter les attaques BitM. En simulant donc l’interface d’un site web véritable en plein écran, l’utilisateur est invité à entrer ses identifiants pour se connecter, parfois pour accéder à une offre promotionnelle.   

Or, aucune information n’est renvoyée vers le site web légitime, tout se déroule au niveau du poste client rendant le vol des informations entrées par l’utilisateur facile pour les hackers. Le plein écran permet justement aux pirates de pouvoir occuper totalement l’écran afin de masquer tous les éléments du navigateur. Et dans le cas d’espèce, le navigateur d’Apple Safari en plein écran affiche une « faille critique » qui permet aux pirates de voler les données des utilisateurs.

Plusieurs utilisateurs ont déjà été dupés par cette méthode d’hacking. Les chercheurs de SquareX, une solution de sécurité au niveau des navigateurs, affirment que Safari « n’affiche pratiquement aucun indicateur visuel lorsqu’ils passent en mode plein écran, ce qui constitue une faille critique ». De ce fait, les attaques par BitM sont plus discrètes et difficiles à détecter.

La faiblesse des navigateurs web face aux attaques

La plupart des navigateurs envoient des notifications à l’utilisateur au moment de passer en plein écran. Or, avec Safari, c’est tout autre, aucune notification, aucun indice visuel, aucune alerte pour informer l’utilisateur lorsque le plein écran est activé. Malgré ces avertissements qui sont le plus souvent assez brefs, l’utilisateur peut les manquer et être totalement à la merci des pirates.

Pour l’instant, Apple n’a pas l’intention de modifier quoi que ce soit pour attirer la vigilance des utilisateurs indiscrets. Il y a uniquement une courte animation très brève et cela s’avère insuffisant pour prévenir le mode plein écran.

Comme peut suggérer le titre de l’article, ce n’est pas en soi une « faille critique » du code source ou d’un bug sur le navigateur Safari qui aurait besoin d’une mise à jour de sécurité. Il s’agit simplement du comportement de Safari à ne pas suffisamment averti les internautes lorsque le plein écran est activé.

Si l’on en croit aux données fournies par VPN Atlas, Safari compte de nos jours plus d’un milliard d’utilisateurs, soit 19 % de parts de marché. Il se place ainsi en seconde position derrière Google Chrome avec ses 3,5 milliards d’utilisateurs. Les autres navigateurs, Microsoft Edge désormais basé sur Chromium avec 213 millions d’utilisateurs, Firefox comptabilise 178 millions et Samsung Internet 149 millions. On peut comprendre pourquoi Safari est l’un des navigateurs de plus en plus visés par les pirates.