Attaque de l’homme dans le navigateur (MITB)

Qu’est-ce qu’une attaque MITB ?

Une attaque MITB, abréviation de « Man-In-The-Browser », est une forme avancée d’attaque MITM (« Man-In-The-Middle »). Alors que les attaques MITM consistent pour un attaquant à intercepter les communications entre plusieurs parties afin d’espionner ou de manipuler les données, les attaques MITB visent spécifiquement à compromettre le navigateur web de l’utilisateur. En prenant le contrôle du navigateur, l’attaquant intercepte et manipule les communications entre celui-ci et le serveur web afin de voler des données ou d’effectuer des requêtes non autorisées. Au Japon, les premiers signalements d’attaques MITB sont apparus vers 2012, avant que celles-ci n’attirent largement l’attention en mai 2014 à la suite de leur utilisation dans une importante affaire de fraude bancaire en ligne.

Les attaques MITB sont déclenchées par l’infection d’un navigateur web par un cheval de Troie qui s’y installe. Le logiciel malveillant contacte d’abord le serveur de commande et de contrôle (C&C) de l’attaquant afin de récupérer des informations, telles qu’une liste de sites de banque en ligne ciblés. Il surveille ensuite l’activité de l’utilisateur et détecte automatiquement tout accès à un site ciblé. Une fausse interface de connexion est alors présentée à l’utilisateur afin de l’inciter à saisir ses identifiants. L’attaquant utilise ces informations pour effectuer des opérations non autorisées, telles que des virements frauduleux, à l’insu de l’utilisateur.

Contrairement aux attaques MITM, dans les scénarios MITB, les utilisateurs accèdent réellement au site légitime, ce qui rend inefficaces les certificats de serveur et la vérification de l’identité du site. De plus, comme les actions non autorisées ont lieu après la connexion de l’utilisateur, même les méthodes d’authentification avancées, telles que les mots de passe à usage unique, ne permettent pas d’empêcher l’attaque. Les outils permettant de mener des attaques MITB sont facilement accessibles, et leurs cibles se sont étendues au-delà des services bancaires en ligne pour inclure une grande variété de services.