Le DoubleClickjacking, en ciblant les sessions d’authentification, constitue une menace majeure pour les entreprises et les particuliers. Exploitant un délai imperceptible entre deux clics, cette technique contourne des protections robustes comme le CSP ou les cookies SameSite. Même des plateformes comme Shopify et Salesforce n’y échappent.
Le DoubleClickjacking, à la différence des attaques classiques reposant sur un simple clic, exploite la gestuelle plus complexe du double-clic pour contourner les protections. Cette menace en constante évolution expose aussi bien les particuliers que les organisations, avec des conséquences allant du vol de données à des intrusions coûteuses dans les systèmes IT.
Pour contrer ces attaques, les entreprises développent des mécanismes de sécurité qui bloquent les boutons jusqu’à l’obtention d’un accord explicite de l’utilisateur. Cependant, ces solutions doivent trouver un équilibre entre une expérience utilisateur fluide et un niveau de sécurité efficace, sans compromettre l’une au profit de l’autre.
Le DoubleClickjacking compromet les sessions d’authentification
La cybercriminalité ne cesse de se développer. Les hackers sont toujours plus créatifs pour trouver des failles dans les protections des utilisateurs et des entreprises. Les experts en cybersécurité sont particulièrement, préoccupés par une technique récente appelée DoubleClickjacking.
Le DoubleClickjacking vise les sessions d’authentification. Ces attaques permettent aux pirates d’infiltrer les systèmes de sécurité sans se faire remarquer. Ce type d’attaque contourne des protections pourtant efficaces contre le clickjacking classique, comme les cookies SameSite Lax/Strict ou les en-têtes X-Frame-Options.
Pour les utilisateurs, cela peut entraîner la perte de leurs comptes, mettant en péril leur vie privée et leurs finances. Les entreprises pourraient subir des conséquences encore plus graves dont :
- Des infractions aux réglementations en matière de protection des données ;
- Un dommage à la réputation ;
- Des pertes financières considérables.
Pour garantir leur conformité aux lois en vigueur et préserver leur statut juridique, les entreprises doivent redoubler de vigilance face à des attaques comme le DoubleClickjacking.
Les exemples de DoubleClickjacking ne manquent pas. Des études de cas ont montré qu’il était possible de pirater des comptes sur des supports aussi connues que Shopify, Slack ou Salesforce. Face à ces incidents, les fournisseurs se doivent de renforcer leurs mesures de sécurité et de sensibiliser davantage leurs utilisateurs.
Les dispositifs de protection actuels sont inadaptés
Les experts en sécurité connaissaient bien le clickjacking depuis longtemps. C’était une attaque qui poussait les utilisateurs à cliquer sur des éléments en apparence sans danger d’une page web. Ce qui permet aux attaquants d’exfiltrer des informations confidentielles ou d’autres actions malveillants. Le DoubleClickjacking est une variante du clickjacking, exploitant deux clics pour tromper les mesures de sécurité.
Grâce à ses travaux, Paulos Yibelo a mis en évidence l’incapacité des systèmes de sécurité d’aujourd’hui à faire face à la sophistication du DoubleClickjacking. Jusqu’à présent, des mesures comme le CSP, les cookies SameSite et les X-Frame-Options constituaient un rempart solide contre les attaques par clickjacking. Malheureusement, ces mesures ne suffisent plus à protéger contre la menace du DoubleClickjacking.
Il devient urgent de clarifier le statut juridique des entreprises face à des attaques comme le DoubleClickjacking et de mettre en place de nouvelles normes de sécurité.
En profitant du délai entre les deux clics de l’utilisateur, même des géants comme Shopify, Slack et Salesforce, ne sont pas à l’abri de cette attaque, comme l’a montré Yibelo. Des démonstrations vidéo illustrent avec effroi la facilité avec laquelle un attaquant peut s’infiltrer dans des comptes sur ces plateformes, sans laisser de trace.
Par exemple, durant la résolution d’un CAPTCHA, un second clic, presque imperceptible, déclenche en arrière-plan une autorisation cruciale, ouvrant ainsi une brèche dans le système de sécurité. Cette discrétion rend le DoubleClickjacking particulièrement sournois et difficile à détecter.