Le tabnabbing est une technique de phishing utilisée par des attaquants pour exploiter la vulnérabilité des liens ouverts dans un nouvel onglet de navigateur.
Lorsqu’un utilisateur clique sur un lien avec l’attribut target="_blank" et qu’un nouvel onglet s’ouvre, la page d’origine reste accessible en arrière-plan. Les attaquants peuvent alors utiliser l’objet window.opener pour manipuler la page d’origine et rediriger l’utilisateur vers une fausse page de connexion ou tout autre site malveillant.
Comment fonctionne le tabnabbing ?
Le tabnabbing se produit de la manière suivante :
- Un utilisateur clique sur un lien qui ouvre une nouvelle page dans un nouvel onglet.
- L’onglet d’origine reste ouvert en arrière-plan.
- L’attaquant utilise un script pour changer le contenu de l’onglet d’origine, par exemple, en affichant une fausse page de connexion d’un service populaire.
- Si l’utilisateur retourne sur l’onglet d’origine, il peut être amené à entrer ses identifiants, pensant qu’il est sur un site légitime, ce qui permet aux attaquants de les voler.
Comment se protéger contre le tabnabbing ?
Pour éviter cette attaque, il est recommandé d’utiliser l’attribut rel="noopener" dans les liens qui ouvrent des pages dans de nouveaux onglets sur votre navigateur. L’attribut noopener empêche la nouvelle page d’accéder à window.opener, tandis que noreferrer empêche la transmission d’informations de référent.
Les attributs de lien noopener et sont vite devenus indispensables en matière de sécurité lorsqu’on partage des liens sur son site web.
Exemple de code sécurisé :
Pourquoi est-ce important pour le SEO et la sécurité ?
Le tabnabbing n’affecte pas directement le référencement SEO, mais il peut vite compromettre la sécurité des utilisateurs qui visitent votre site. En mettant en œuvre des pratiques sécurisées, vous protégerez la confiance des utilisateurs et réduirez les risques de phishing. Adopter ces réflexes, contribue à offrir aux internautes une meilleure expérience utilisateur.
En résumé
Le tabnabbing est une attaque sournoise qui peut conduire à des vols d’identifiants et autres activités malveillantes. Les webmasters et développeurs doivent être vigilants et appliquer les bonnes pratiques pour garantir la sécurité de leurs utilisateurs.
