Vous ne voyez aucune différence entre ce « a » et ce « а », et c’est un énorme problème de cybersécurité

Une simple lettre venue de l’alphabet cyrillique suffit à créer une fausse adresse web presque impossible à distinguer de la vraie à l’œil nu. Un piège connu des spécialistes, qui reste redoutablement efficace.

C’est une technique vieille comme le monde, qui refait surface sur X depuis la publication, le 15 octobre, d’un piège visant Amazon.

La démonstration, vue près de 3 millions de fois, présente à l’écran deux adresses URL côte à côte, l’une amazon.com, l’autre a̶m̶a̶z̶o̶n̶.̶c̶o̶m̶, sans qu’aucune différence ne soit perceptible.

Problème, la seconde adresse ne mène pas chez le géant du e-commerce mais vers un site de phishing. La raison est toute simple. Son premier caractère n’est pas un « a » latin mais un « а » cyrillique, une lettre qui s’affiche de la même manière dans la plupart des polices mais que l’ordinateur traite comme un caractère totalement différent.

Heureusement, l’internaute qui tente de se rendre sur ce faux site se heurte souvent à un avertissement de son navigateur, qui lui indique que la page n’est pas sécurisée. Lors de notre test, l’adresse était aussi signalée comme un site de phishing sur VirusTotal, un service qui la soumet à des dizaines de moteurs de détection.

Et votre vie numérique devient sereine

Bitdefender Premium Security est une solution de cybersécurité européenne qui vous protège automatiquement contre les pirates et toutes les menaces du web. Profitez de vos activités en ligne en toute tranquillité

Une variante du typosquatting

En collant l’adresse piégée dans VirusTotal, un détail saute aux yeux. Le « а » cyrillique a disparu, et l’adresse s’affiche désormais sous la forme d’une suite de caractères commençant par « xn-- », suivie du reste du nom.

Ce changement s’explique par le fonctionnement même d’Internet. Le système qui traduit les noms de domaine en adresses de serveurs ne reconnaît que les lettres latines sans accent, les chiffres et le tiret.

Pour permettre l’utilisation d’accents ou d’autres alphabets, comme le cyrillique, l’arabe ou le chinois, les noms de domaine internationalisés sont donc convertis dans un format compatible appelé Punycode, reconnaissable à son préfixe « xn-- ». C’est cette forme technique, et non celle affichée à l’utilisateur, qui révèle la présence d’un caractère étranger.

Ce piège porte le nom d’attaque par homographe et constitue une variante du typosquatting, qui consiste à enregistrer un nom de domaine proche de celui d’une marque connue pour tromper les internautes.

Dans sa forme la plus classique, il exploite des fautes de frappe, comme amazom.com ou amazn.com, mais la variante par homographe va plus loin, puisque l’adresse frauduleuse ne contient aucune erreur visible pour un humain.

Un risque qui dépasse les sites web

Documentée depuis le début des années 2000, cette technique a poussé les navigateurs à afficher la forme en « xn-- » lorsqu’une adresse mélange plusieurs alphabets de manière suspecte, sans que cette protection soit infaillible.

Le risque ne se limite d’ailleurs pas aux sites web. Les mêmes caractères peuvent se glisser dans l’adresse d’expéditeur d’un courriel, un lien reçu par SMS ou le nom d’un compte sur un réseau social, là où l’urgence du message pousse souvent à cliquer sans vérifier.

En cas de doute, vous pouvez coller l’adresse dans VirusTotal pour voir si le préfixe « xn-- » apparaît. Les plus curieux peuvent aussi la coller dans un outil d’identification Unicode, comme « What Unicode character is this? » de BabelStone, qui affiche le nom exact de chaque caractère et révèle ainsi la présence d’un « а » cyrillique.

Pour sa banque ou ses achats en ligne, mieux vaut taper soi-même l’adresse ou passer par ses favoris. Un gestionnaire de mots de passe offre aussi une protection utile, puisqu’il ne remplit pas les identifiants d’Amazon sur un domaine qui n’est pas réellement le sien.

Toute l'actu tech en un clin d'œil

Ajoutez Numerama à votre écran d'accueil et restez connectés au futur !