Dernière mise à jour : 4 avril 2024
Le Sidejacking, aussi appelé session hijacking, est une technique de piratage redoutable qui permet aux cybercriminels de s’emparer de vos informations sensibles en toute discrétion.
En effet, avec cette attaque, un pirate informatique peut intercepter votre session web et dérober vos identifiants, mots de passe, données bancaires et autres informations confidentielles.
Ne vous y trompez pas, personne n’est à l’abri du sidejacking. Que vous soyez un simple internaute, un professionnel ou même une grande entreprise, vos données peuvent être la cible de ces attaques sournoises.
Alors, comment se protéger ? Des solutions existent pour minimiser les risques et surfer en toute sécurité. Dans cet article, nous vous dévoilons les dangers du sidejacking et vous livrons les clés pour vous protéger efficacement.
Comment ça marche exactement le Sidejacking ?
Le sidejacking (ou détournement de session) consiste à intercepter et à utiliser des cookies de session non sécurisés pour accéder aux comptes en ligne des utilisateurs.
Mais qu’est-ce qu’un cookie ?
Eh bien, il s’agit d’un petit fichier texte qu’un site web enregistre sur votre ordinateur ou votre appareil mobile lorsque vous le visitez.
Ces fichiers permettent au site de se souvenir de vos actions et de vos préférences sur une période donnée.
Ainsi, vous n’avez pas à les reconfigurer à chaque fois que vous revenez sur le site ou que vous naviguez d’une page à l’autre.
Par exemple, pour voir les cookies enregistrés sur votre navigateur web Chrome, il suffit de suivre ces étapes simples:
- Ouvrez Chrome et naviguez jusqu’au site dont vous souhaitez voir les cookies.
- Faites un clic droit n’importe où sur la page.
- Sélectionnez Inspecter pour ouvrir les outils de développement de Chrome.
- Dans la fenêtre des outils de développement, recherchez et cliquez sur l’onglet Application.
- Dans l’onglet Application, sous Stockage dans le volet gauche, sélectionnez Cookies.
- Vous pourrez maintenant voir les cookies associés au site que vous avez inspecté.
Comment les pirates exploitent-ils les cookies de session ?
Les pirates profitent du fait que de nombreux sites web transmettent des cookies de session en clair, sans chiffrement. Parmi ces cookies, certains permettent à des sites Web de vous connecter automatiquement lorsque vous les visitez, sans que vous ayez à renseigner vos identifiants à chaque fois !
Ainsi, mettre la main sur ces cookies permet au pirate de se faire passer pour vous et d’accéder à vos comptes sans login ni mot de passe, leur donnant ainsi accès à vos informations personnelles et la possibilité de prendre le contrôle de vos comptes en ligne.
Pour plus détails, lisez notre tutoriel: Comment un pirate informatique peut-il exploiter vos cookies ?
Cette technique exploite la faiblesse des communications non sécurisées et non chiffrées sur le réseau, en particulier sur les réseaux Wifi publics. Les sessions Web HTTP (et non HTTPS) sont certes de plus en plus rares mais existent encore, c’est l’une des portes d’entrées.
Les accès Wifi publics mal sécurisés (par exemple dans un restaurant ou un hôtel) sont également plus vulnérables.
Comment font les pirates pour capturer vos cookies ?
Dans un scénario typique de side jacking, un attaquant pourrait utiliser un logiciel d’analyse de réseau, ou sniffer, pour capturer les paquets de données transmis sur un réseau Wifi public.
En analysant ces paquets, l’attaquant peut extraire les cookies de session et les utiliser pour accéder aux comptes des victimes.
Les sites de réseaux sociaux, les comptes de messagerie et les services bancaires en ligne sont des cibles privilégiées pour les attaquants utilisant le side jacking.
Les pirates informatiques utilisent divers outils et logiciels pour effectuer ces attaques.
Voici quelques exemples:
- Wireshark : C’est un analyseur de paquets réseau très populaire qui permet aux utilisateurs de voir les données transmises sur un réseau en temps réel. Les pirates peuvent l’utiliser pour intercepter et analyser les cookies de session non sécurisés.
- Firesheep : C’est une extension de navigateur qui a été créée pour démontrer les vulnérabilités des cookies de session non sécurisés. Elle permet d’intercepter les cookies de session sur les réseaux Wifi non sécurisés et d’accéder aux comptes des utilisateurs.
- Dsniff : C’est une collection d’outils pour l’analyse de réseau et les attaques de sniffing. Il peut être utilisé pour capturer des paquets de données et récupérer des informations de session.
Les différents types d’attaques hijacking
Session side jacking
Dans le cas de session side jacking, les pirates interceptent le trafic réseau d’un utilisateur, généralement en surveillant un réseau Wifi non sécurisé.
En analysant attentivement ce trafic, ils peuvent repérer les cookies de session non chiffrés échangés entre l’utilisateur et le site web. Une fois qu’ils ont volé ces cookies, ils peuvent les utiliser pour usurper l’identité de l’utilisateur et accéder à ses comptes en ligne sans avoir besoin de ses identifiants.
Injection de code malveillant (Cross-site scripting)
Dans cette attaque, les pirates exploitent la faille XSS d’un site web en y insérant des scripts malveillants.
En utilisant cette méthode, les attaquants peuvent, par exemple, stocker des scripts dans la base de données du site ou les envoyer directement à un utilisateur par le biais de liens ou de formulaires.
Lorsqu’un utilisateur visite une page infectée, le script s’exécute dans son navigateur, ce qui permet au pirate de voler des informations sensibles telles que les cookies de session.
Pour plus détails sur cet attaque, regardez cet article : Faille XSS, c’est quoi et comment s’en protéger ?
Fixation de session
Dans une attaque par fixation de session, les hackers créent un identifiant de session valide et incitent ensuite l’utilisateur à l’utiliser pour se connecter à un site web.
Pour y parvenir, ils peuvent, par exemple, envoyer un e-mail contenant un lien vers un formulaire de connexion frauduleux.
Lorsque l’utilisateur utilise cet identifiant de session, les pirates peuvent alors accéder à son compte en ligne sans aucune autorisation.
Deviner les identifiants de session
Enfin, dans le cas de la prédiction de l’ID de session, certains serveurs web utilisent des algorithmes prédictibles pour générer des identifiants de session.
Les pirates peuvent capturer ces identifiants et analyser les schémas pour prédire des identifiants valides.
Cette méthode peut être comparée à une attaque par force brute, où les pirates testent différentes combinaisons d’identifiants.
Attaque de l’homme dans le navigateur (Man-in-the-browser attack)
Pour mener à bien cette attaque, les pirates doivent d’abord infecter votre ordinateur avec un logiciel malveillant, souvent par le biais de téléchargements ou de pièces jointes d’e-mail infectées.
Une fois que votre ordinateur est infecté, le logiciel malveillant attend patiemment que vous visitiez des sites web ciblés.
Lorsque vous effectuez des transactions en ligne, le logiciel malveillant peut alors intervenir et modifier les données de transaction, permettant ainsi aux pirates d’accéder à vos identifiants et mots de passe.
Comment se protéger du Sidejacking ?
Pour conclure l’article, comme à notre habitude, nous allons vous fournir les meilleurs conseils pour vous protéger du sidejacking.
Optez toujours pour des connexions HTTPS plutôt que HTTP
HTTPS est un protocole de communication sécurisé qui chiffre les données transmises entre votre navigateur web et le serveur. Cela rend plus difficile pour les pirates informatiques d’intercepter vos données.
Pour les webmaster, utiliser le drapeau Secure pour les cookies de session
Les cookies sécurisés ne peuvent être transmis que via des connexions HTTPS chiffrées. Le drapeau Secure indique au navigateur de ne transmettre les cookies de session que via des connexions HTTPS.
Éviter les réseaux Wifi publics non sécurisés
Les réseaux Wi-Fi publics non sécurisés sont particulièrement vulnérables aux attaques de sidejacking. Si vous devez utiliser un réseau Wi-Fi public, évitez de vous connecter à des sites sensibles tels que les banques en ligne ou les sites de commerce électronique.
Utiliser un VPN chiffre votre connexion Internet
Un VPN crée un tunnel chiffré entre votre appareil et le serveur VPN. Cela rend plus difficile pour les pirates informatiques d’intercepter vos données.
Activer la vérification en deux étapes pour vos comptes sensibles
La vérification en deux étapes ajoute une couche de sécurité supplémentaire à vos comptes. Même si un pirate informatique parvient à obtenir votre mot de passe, il aura également besoin de votre code de vérification pour se connecter à votre compte.
Activer HTTPS par défaut dans votre navigateur
Les principaux navigateurs offrent désormais une prise en charge native d’un mode HTTPS uniquement.
Pour activer HTTPS dans votre navigateur, voici comment faire selon votre navigateur web:
- Firefox : Accédez à Paramètres > Confidentialité et sécurité > Cochez Activer le mode HTTPS uniquement.
- Chrome : Accédez à Paramètres > Confidentialité et sécurité > Sécurité > Activez Toujours utiliser des connexions sécurisées.
Vous pouvez tapez dans la barred d’addrese:chrome://flags/#https-only-mode-setting. - Edge : Activez HTTPS automatique via
edge://flags/#edge-automatic-https, puis dans les paramètres de confidentialité, activez Passer automatiquement à des connexions plus sécurisées avec HTTPS automatique. - Safari : Pour les utilisateurs de Safari 15 et ultérieur sur macOS Big Sur ou macOS Catalina, HTTPS est activé par défaut, sans nécessité de modification.
Pour les plus aguerris, utilisez les armes de votre attaquant : Wireshark
Wireshark est un outil puissant qui peut être utilisé pour surveiller le trafic réseau et détecter d’éventuelles activités suspectes.
En plus de ces conseils, voici quelques autres mesures que vous pouvez prendre pour vous protéger du sidejacking :
- Mettez à jour régulièrement votre navigateur web et votre système d’exploitation.
- Installez un antivirus et un pare-feu.
- Soyez prudent lorsque vous cliquez sur des liens ou ouvrez des pièces jointes provenant de personnes inconnues.
- Ne saisissez jamais vos informations personnelles sur un site web non sécurisé.