Escroquerie : évitez le piège de l'adresse internet trompeuse

Vous pensez être incollable et ne jamais pouvoir tomber dans les pièges grossiers des escrocs sur Internet ? Détrompez-vous : leurs méthodes sont désormais capables de mystifier même l'utilisateur plus éclairé que la moyenne. Vous en doutez ?

Certes, vous ne tomberiez pas dans le panneau de l'email vous demandant de vous connecter au site de votre banque pour une opération promotionnelle, par exemple. Surtout si l'adresse fournie dans le courrier d'invitation est du type http://mabanque.hebergeur.com.

Mais qu'en est-il si l'adresse ressemble à celle-ci :
http://www.mabanque.fr:[email protected]/pub/ ?

L'adresse semble bien indiquer clairement le domaine de votre banque, sans aucun sous-domaine suspect. Et si elle est un peu longue et obscure, après tout, ce n'est pas la première : il n'y a qu'à voir les URL utilisées par les services de webmail !

Un piège sournois

Oui mais voilà : cette adresse est un piège et elle vous conduira silencieusement sur un tout autre serveur, hébergé n'importe où dans le monde. Si ce dernier reproduit à l'identique le site officiel, il y a de bonnes chances que vous vous y connectiez... offrant ainsi aux escrocs votre mot de passe et l'accès à votre compte réel.

Cette adresse illustre une technique connue depuis longtemps mais qui se généralise aujourd'hui. Elle exploite des champs optionnels, généralement omis lors de l'écriture d'une URL (adresse internet) traditionnelle.

Le piège se situe au niveau des signes : et @. Toute la partie située avant le délimiteur @ est en fait inutile : il est utilisé pour transmettre au serveur une paire login / mot de passe. Dans le cas du piège, il n'y a rien à transmettre, mais l'escroc utilise cette facilité pour faire apparaître en clair le nom (rassurant !) de votre banque. Après le signe :, qui indique normalement la présence d'un mot de passe associé au login précédent, le pirate en remet une couche et indique le mot "compte" et votre nom, histoire de faire plus bancaire. Aucune de ces deux informations ne sera jamais prise en compte : elles ne sont là que pour rassurer le client. La véritable adresse commence après le signe @. Ici, elle apparaît en clair (hebergeur.com). Toute la partie située après "hebergeur.com" n'est que l'arborescence du site des pirates, et ils peuvent y mettre ce qu'ils veulent. Ce qui est certain, c'est que cela aboutira le plus souvent à une copie d'un site institutionnel ou bancaire, dans le but de voler des identifiants.

Attention, ca se complique !

Pire : l'adresse réelle de l'hébergeur peut être dissimulée en la codant : à partir de son adresse IPadresse IP (déjà une forme de dissimulation en soit), il est possible de calculer un nombre décimal qui sera interprété à l'identique par n'importe quel navigateurnavigateur, mais ne ressemblera à rien aux yeuxyeux d'un internaute non-spécialiste.

Aujourd'hui, cette technique est utilisée par des groupes de pirates, associée à des envois de courrier non sollicités. Il est donc nécessaire d'apprendre à reconnaître ces fausses adresses. Ce n'est pas très difficile en soit : la présence des signes : et @ devrait suffire à éveiller les soupçons des internautes les mieux informés.

Encore faut il ne pas cliquer à la va-vite...

Cette news décrit une technique de masquage des URL bien connue dans le but d'informer le lecteur d'attaques déjà répandues dont il pourrait être la victime. Il ne s'agit en aucune façon d'une incitation au piratage.

Démo de la faille