Clickjacking : comment le détecter & vous protéger ?

Le clickjacking c’est une méthode fourbe des pirates pour vous dérober vos données personnelles, en vous incitant à cliquer sur des liens cachés, c’est pourquoi nous vous donnons les clés pour vous en protéger. Découvrez quels sont les signaux qui doivent vous alerter et comment éviter concrètement la catastrophe.

Qu’est ce que le clickjacking & comment le détecter ?

Comment fonctionne le clickjacking ?

Le clickjacking (ou détournement de clic, en français) est une méthode des hackers reposant entièrement sur la tromperie visuelle pour vous pousser à effectuer une action, à votre insu.

Pour parvenir à leurs fins, ils recouvrent des pages web légitimes (ex: un site e-commerce, un blog, la page de connexion à votre espace bancaire…) avec un cadre invisible/transparent (iframe) qui cache en fait un contenu malveillant. Comme par exemple un formulaire envoyant les données que vous venez de saisir au pirate, un bouton ou un lien qui donne l’accès à une fonctionnalité de votre appareil, ou encore qui valide un transfert financier.

De votre côté, vous n’y voyez que du feu, car le contenu que vous attendez est bien présent sous vos yeux. Ainsi, vous vous avez l’impression de cliquer sur un bouton anodin comme « Continuer » ou « Télécharger le PDF », alors que vous êtes en fait en train de télécharger un logiciel malveillant sur votre machine.

Détecter une tentative de clickjacking : quels sont les signaux d’alertes ?

Nous venons de le voir, le clickjacking est conçu pour passer inaperçu. Cependant, il existe tout de même des signaux d’alarme à surveiller pour démasquer une éventuelle tentative :

• le design de la page web vous paraît bizarre : des zones de la page web (souvent près des boutons d’action ou de connexion) apparaissent blanches, vides, décalées ou légèrement transparentes. Ce qui, en plus de gâcher votre navigation sur le site, peut indiquer qu’une couche de contenu caché est superposée sur le site légitime.
• votre curseur de souris se comporte étrangement : il change subitement d’aspect (ex : se transforme en main ou en pointeur de saisie) lorsque vous survolez sur une zone qui n’est pas un lien ou un champ de formulaire
• vous êtes redirigés sans le vouloir : par exemple, après avoir cliqué sur un bouton « Continuer », vous êtes redirigé sur une page qui n’a aucun rapport avec votre navigation initiale
• votre navigateur vous demande des autorisations injustifiées : par exemple une fois que vous avez cliqué sur un bouton « Voir plus » en pensant lire la suite d’un article de blog, brusquement votre navigateur vous demande l’autorisation d’accéder à votre caméra, votre microphone, votre localisation ou vos notifications
• vous remarquez des actions automatiques sur vos comptes : des actions non sollicitées se produisent sur l’un de vos comptes en ligne, sans votre intervention consciente (message publié sur un réseau social, article ajouté à votre panier, paramètre de sécurité modifié…)

L’impact d’un clickjacking sur votre société

Vous l’aurez compris, si vous êtes victime de clickjacking les conséquences peuvent être bien plus dramatiques qu’un PDF jamais reçu. En tant que professionnel elles peuvent vous impacter par :

• de lourdes pertes financières : car en utilisant le bon appât, un hacker peut vous faire cliquer sur un bouton qui autorise un transfert de fonds ou des transactions frauduleuses, sans que vous ne vous en rendiez compte. Et malheureusement, les procédures judiciaires et liées à votre compagnie d’assurance, qui s’en suivent, sont généralement longues et couteuses.

• une fuite de données confidentielles : comme des identifiants, des mots de passe, des coordonnées bancaires ou des données personnelles. Ce qui peut exposer votre société à des sanctions réglementaires, notamment en vertu du RGPD. Ou à d’autres cyberattaques, qui utilisent ces données volées (exemple « Arnaque au Président« )

• une interruption plus ou moins longue de votre activité : par exemple, suite au téléchargement involontaire d’un ransomware. Ce qui, en plus de nuire à votre productivité, engendre des coûts supplémentaires pour désinfecter votre système informatique et rétablir vos données.

Comment vous protéger concrètement du clickjacking ?

Les précautions à prendre en amont

Pour limiter au maximum les risques d’être exposé au clickjacking, voici les bons réflexes que vous pouvez adopter :

• installez rapidement vos mises à jour : que ce soit celles de votre système d’exploitation, de votre antivirus ou de votre navigateur web. Car en plus de corriger des failles de sécurité pouvant être exploitées par les pirates pour vous attaquer, elles enrichissent aussi la base de données de vos outils de cyberdéfense. Elles permettent ainsi à votre solution de protection de reconnaître les derniers malwares déployés par les hackers. Ou à votre navigateur, de reconnaître un site vérolé sur lequel les risques de clickjacking sont élevés.

• apprenez à repérer l’ingénierie sociale : car les pirates utilisent de nombreuses techniques de manipulation psychologique pour vous tromper. Surtout quand on sait que pour parvenir à leurs fins ils préfèrent piéger un humain, que contourner des mesures de protection informatiques sophistiquées. Les cybercriminels peuvent donc tenter de vous faire cliquer là où ils le souhaitent en utilisant de faux prétextes. Comme par exemple vous afficher une pop-up indiquant que vous avez gagné le dernier Iphone. Ou qui vous propose une offre commerciale incroyable. Ou encore tenter de vous effrayer en vous affirmant que votre poste est infecté par des logiciels malveillants.

Les solutions anti-clickjacking du quotidien

Enfin, voici les gestes à adopter durant votre navigation sur le web, pour vous protéger activement du clickjacking :

• utilisez un navigateur web sécurisé : comme par exemple Firefox ou Google Chrome. Ces derniers disposent de fonctionnalités intégrées qui permettent de lutter contre le clickjacking (à condition d’activer les paramètres). Tout en vous affichant des avertissements lorsque vous tentez d’accéder à un site que le navigateur a repéré comme « dangereux ».
• installez un bloqueur de pubs : car les publicités en ligne sont souvent vecteur de cyberattaques (dont le clickjacking fait partie). De plus, certains comme uBlock Origin détectent le contenu malveillant présent sur un site et le masquent automatiquement .
• si vous y êtes tout de même confronté, évitez de cliquer sur les fenêtres pop-up
• parcourez des sites fiables et reconnus : car ils sont plus susceptibles de prendre des mesures pour vous protéger contre ce type d’attaque
• naviguez sur des site uniquement via leur URL officielle : pour limiter les risques de vous exposer à du contenu malveillant. En cas de doute, recherchez le site via les moteurs de recherche.
• méfiez-vous des offres trop belles pour être vraies : car comme vu précédemment, c’est une technique de pirate pour vous appâter
• téléchargez vos applications et logiciels uniquement depuis les stores officiels : vous éviterez ainsi de télécharger par inadvertance un logiciel malveillant
• activez la double authentification partout où vous le pouvez : ainsi même si des pirates s’emparent de votre mot de passe, ils seront bloqués par cette deuxième couche de sécurité.

Faîtes appel à Axis pour sensibiliser vos équipes aux dangers du clickjacking

En résumé, vos meilleures alliées pour vous protéger contre le clickjacking et, par extension, contre tous les pièges tendus par les hackers, ce sont votre vigilance et le niveau d’information que vous avez sur ces cybermenaces. Surtout face à cette menace quasi invisible et qui peut toucher n’importe quel site web… Heureusement, vous n’êtes pas seul dans cette tâche ! Nos équipes sont à votre disposition pour sensibiliser vos équipes aux cyber risques auxquelles elles sont exposées au quotidien. Ainsi, vos collaborateurs tomberont moins facilement dans les filets des pirates, vos données n’en seront que mieux protégées, et votre activité ne risquera pas d’être interrompue suite à une cyberattaque.

Pour compléter votre lecture, découvrez aussi :

Deepfakes & Cybersécurité : quelles menaces pour votre société ?

Les deepfakes, c'est le nouveau gadget des cybercriminels pour tenter de vous soutirer de l'argent ou des informations. Dans cet Lire la suite

10 mythes informatiques complètement faux

Pour bien utiliser votre matériel informatique et savoir le protéger contre les cyber menaces, il vaut mieux être bien informés. Lire la suite

Entreprise : comment réagir en cas de cyberattaque ?

Malgré toutes vos précautions, votre entreprise peut malheureusement être victime d'une cyberattaque. C'est pourquoi nous vous partageons nos conseils pour Lire la suite