Dans notre monde num\u00e9rique moderne, la \u00a0s\u00e9curit\u00e9 en ligne\u00a0 est devenue une pr\u00e9occupation majeure. Alors que de nombreux utilisateurs comptent sur des \u00a0gestionnaires de mots de passe\u00a0 pour prot\u00e9ger leurs informations, une \u00e9tude r\u00e9cente a r\u00e9v\u00e9l\u00e9 des vuln\u00e9rabilit\u00e9s pr\u00e9occupantes dans ces outils. Ces r\u00e9v\u00e9lations ont \u00e9t\u00e9 mises en lumi\u00e8re par l’expert en cybers\u00e9curit\u00e9 \u00a0Marek T\u00f3th\u00a0, \u00e0 l’occasion de la conf\u00e9rence \u00a0DEF CON 33\u00a0. Ce dernier a d\u00e9montr\u00e9 que certaines extensions de navigateurs utilis\u00e9es pour g\u00e9rer les mots de passe peuvent \u00eatre _exploit\u00e9es_ de mani\u00e8re \u00e0 exposer les donn\u00e9es des utilisateurs, et ce, sans qu’ils en aient forc\u00e9ment conscience.<\/p>\n
Dans son enqu\u00eate, T\u00f3th a d\u00e9couvert que pas moins de \u00a0onzi\u00e8me extensions\u00a0 de gestionnaires de mots de passe \u00e9taient vuln\u00e9rables \u00e0 une technique appel\u00e9e \u00a0clickjacking\u00a0. Cette m\u00e9thode consiste \u00e0 manipuler la pr\u00e9sentation des \u00e9l\u00e9ments d’une page Web pour que l’utilisateur interagisse involontairement avec des contenus invisibles. En d’autres termes, les attaquants peuvent masquer des \u00e9l\u00e9ments d’interface en les rendant invisibles, et ainsi d\u00e9clencher des actions dans le gestionnaire de mots de passe tout en laissant l’utilisateur dans l’ignorance de l’attaque en cours.<\/p>\n
Ce comportement peut \u00eatre particuli\u00e8rement dangereux lorsqu’il n’est m\u00eame pas n\u00e9cessaire d’utiliser une page malveillante : une simple \u00a0vuln\u00e9rabilit\u00e9\u00a0 sur un site parfaitement l\u00e9gitime peut suffire \u00e0 permettre \u00e0 un attaquant de capturer des identifiants de connexion. De nombreux gestionnaires remplissent automatiquement les champs non seulement sur les domaines principaux, mais aussi sur des \u00a0sous-domaines\u00a0, ce qui \u00e9largit consid\u00e9rablement la \u00a0surface d’attaque\u00a0 sans \u00e9veiller les soup\u00e7ons de l’utilisateur.<\/p>\n
Les implications de ces d\u00e9couvertes sont vastes. Selon les donn\u00e9es, pr\u00e8s de \u00a040 millions d’installations\u00a0 de gestionnaires de mots de passe pourraient \u00eatre potentiellement expos\u00e9es. Parmi les extensions touch\u00e9es, on trouve des noms bien connus tels que \u00a01Password\u00a0, \u00a0Bitwarden\u00a0, et \u00a0LastPass\u00a0. Alors que certaines de ces entreprises ont d\u00e9j\u00e0 commenc\u00e9 \u00e0 \u00e9mettre des correctifs, d’autres restent muettes, signalant une n\u00e9cessit\u00e9 urgente de r\u00e9silience dans le secteur.<\/p>\n
T\u00f3th affirme avoir alert\u00e9 les fabricants d\u00e8s avril 2025, mais \u00e0 la mi-ao\u00fbt, plusieurs d’entre eux n’avaient pas encore publi\u00e9 de correctif. Parall\u00e8lement, les \u00a0donn\u00e9es r\u00e9colt\u00e9es\u00a0 par des sites comme \u00a0Socket\u00a0 indiquent que la r\u00e9activit\u00e9 des fabricants diff\u00e8re consid\u00e9rablement. Alors que certains ont reconnu la vuln\u00e9rabilit\u00e9 et travaillent sur des mises \u00e0 jour, d’autres, comme 1Password et LastPass, se sont content\u00e9s de classifier le probl\u00e8me comme \u00ab informatif \u00bb, ce qui peut indiquer un manque d’urgence dans leur r\u00e9action.<\/p>\n
En attendant les mises \u00e0 jour de s\u00e9curit\u00e9, les experts recommandent plusieurs pr\u00e9cautions. Prenez par exemple l’option de \u00a0d\u00e9sactiver l’autocompl\u00e9tion\u00a0 des formulaires dans vos gestionnaires de mots de passe; cela peut r\u00e9duire significativement les risques. Autre suggestion : recourir \u00e0 des m\u00e9thodes manuelles, comme le \u00a0copier-coller\u00a0, pour remplir vos informations sensibles. Par ailleurs, il est recommand\u00e9 de restreindre le remplissage automatique uniquement aux \u00a0URL exactes\u00a0, de sorte \u00e0 limiter les interactions sur des sous-domaines potentiellement dangereux.<\/p>\n
Pour les utilisateurs de navigateurs bas\u00e9s sur Chromium, il est possible de restreindre l’acc\u00e8s aux extensions afin qu’elles ne soient utilis\u00e9es qu’avec l’accord explicite de l’utilisateur. Cela implique de demander une confirmation \u00e0 chaque utilisation, renfor\u00e7ant ainsi la \u00a0s\u00e9curit\u00e9\u00a0 lors de la navigabilit\u00e9 sur le web.<\/p>\n
Il est important de noter que pour qu’une attaque r\u00e9ussisse, certaines conditions doivent \u00eatre remplies : la \u00a0m\u00e9thode n\u00e9cessite que l’extension soit d\u00e9verrouill\u00e9e\u00a0, que le navigateur ne soit pas red\u00e9marr\u00e9 et que l’utilisateur effectue une action \u00e0 un moment pr\u00e9cis. \u00c0 ce jour, l’enqu\u00eate de T\u00f3th n’a pas explor\u00e9 toutes les extensions de gestion de mots de passe disponibles sur le march\u00e9, laissant entendre que \u00a0d’autres solutions\u00a0 pourraient \u00e9galement \u00eatre vuln\u00e9rables.<\/p>\n
Cette faille met en lumi\u00e8re un point faible dans le \u00a0Document Object Model (DOM)\u00a0, qui repr\u00e9sente la structure interne des pages Web. Les extensions de gestion de mots de passe ins\u00e8rent leurs \u00e9l\u00e9ments dans cette structure, et si une page malveillante r\u00e9ussit \u00e0 manipuler ces \u00e9l\u00e9ments, les utilisateurs peuvent involontairement d\u00e9clencher des actions d’autocompl\u00e9tion.<\/p>\n
Pour conclure, il est crucial que les utilisateurs prennent conscience des risques li\u00e9s \u00e0 leurs outils de s\u00e9curit\u00e9 num\u00e9rique et adoptent des pratiques prudentes. La vigilance et la mise \u00e0 jour r\u00e9guli\u00e8re de ses outils de s\u00e9curit\u00e9 sont des \u00e9tapes essentielles pour garantir une navigation \u00a0s\u00e9curis\u00e9e\u00a0 en ligne.<\/p>\n