Les cyberattaques évoluent constamment, et parmi les nouvelles menaces émergentes, le DoubleClickjacking inquiète particulièrement les experts en cybersécurité. Cette technique consiste en une séquence de double-clics à contourner les protections présentes sur les sites web. Qu’est-ce que le DoubleClickjacking ? Comment s’en protéger ? Voici l’essentiel à savoir.
Une nouvelle cybermenace difficile à détecter
Le clickjacking est une technique utilisée par les cybercriminels pour inciter les utilisateurs à cliquer sur des éléments de page web déguisés ou invisibles. Ces clics permettent aux pirates de réaliser des actions à l’insu des victimes, comme valider une commande, accorder une autorisation ou encore exfiltrer des données.
Le doubleclickjacking, quant à lui, repose sur une séquence de double-clics qui contourne les protections classiques (X-Frame-Options, les cookies SameSite ou encore les politiques de sécurité de contenu (CSP)). Malheureusement, ces mesures, conçues pour contrer le clickjacking traditionnel, ne sont pas adaptées pour bloquer cette variante plus sophistiquée.
Le DoubleClickjacking exploite l’intervalle entre un premier clic et un second clic, souvent utilisé dans des interactions courantes comme la validation d’un CAPTCHA ou la navigation rapide sur des interfaces.
Comment fonctionne le DoubleClickjacking ?
L’utilisateur est attiré sur un site malveillant qui affiche un faux CTA (bouton) ou un élément interactif attirant, comme un CAPTCHA ou une notification par exemple ;
Une fois le premier clic réalisé, le site modifie discrètement la page en arrière-plan. Par exemple, un bouton d’autorisation critique, invisible jusqu’alors, peut apparaître à l’emplacement du second clic ;
Lorsque l’utilisateur effectue le second clic, il valide une action qu’il ne souhaitait pas exécuter, comme autoriser un accès, effectuer une transaction ou relier une application tierce à son compte.
Ce procédé rend les attaques particulièrement dangereuses, car elles exploitent un comportement naturel de navigation.
Cette technique est encore plus trompeuse sur les smartphones, où les hackers peuvent se servir des interactions de type double-tap pour cibler les utilisateurs depuis des applications ou sur leur navigateur.
Quels sont les impacts de cette nouvelle forme d’attaque ?
Pour les particuliers
Vol de données personnelles comme les mots de passe, les coordonnées bancaires ou les emails peuvent être exfiltrées sans que l’utilisateur s’en rende compte ;
Perte d’accès aux comptes : un double-clic peut suffire à donner à un pirate un contrôle total sur un compte personnel ;
Pour les entreprises
Les entreprises, quelque soit leur taille, ne sont pas épargnées :
Intrusion dans les systèmes d’information : les hackers peuvent obtenir un accès à des plateformes internes comme Salesforce ou Shopify ;
Perte de données sensibles : des informations confidentielles sur des projets d’entreprise ou des clients peuvent être volées ;
Comment se protéger contre le DoubleClickjacking ?
Le doubleclickjacking n’est pas encore très répandue, c’est pourquoi, il est important de prendre des mesures préventives afin de limiter les risques au maximum. Voici une liste des bonnes pratiques que vous pouvez adopter :
Évitez de double-cliquer sur des éléments suspects ;
Ne partagez jamais des informations sensibles sur des plateformes non sécurisées ou suspectes ;
Mettez à jour régulièrement votre navigateur, antivirus et extensions ;
Avant de valider une action, vérifiez toujours les URL, les destinataires et/ou les informations ;
Mettre à jour les systèmes de protection comme les X-Frame-Options ou les SameSite cookies ;
Former les collaborateurs et sensibiliser les utilisateurs aux dangers du DoubleClickjacking pour réduire les risques ;
Effectuer des tests de sécurité réguliers ;
…
Même si de nombreux navigateurs et plateformes travaillent sur des solutions pour contrer ce type d’attaque notamment en développant des outils pour détecter et bloquer les séquences de double-click suspectes et des notifications / alertes pour bloquer les comportements inhabituels, il est important de se prémunir contre ce type d’attaque.
Vous pouvez également suivre nos meilleurs articles via notre flux RSS : https://www.leptidigital.fr/tag/newsletter-digitale/feed/ (il vous suffit de l’insérer dans votre lecteur de flux RSS préféré (ex : Feedly)).
Nous sommes aussi actifs sur LinkedIn, X, Facebook, Threads et YouTube. On s’y retrouve ?
Anciennement E-Store Manager et Social Media Manager en agence et chez l’annonceur, je m’intéresse principalement aux sujets liés au Community Management, au Social Media Advertising et au E-commerce au sens large. Je suis aussi toujours à l’affût des dernières tendances webmarketing et couvre ces sujets pour LEPTIDIGITAL. Pour me contacter : [email protected]
