En bref

La société de cybersécurité SquareX vient d’identifier une nouvelle technique de phishing particulièrement sophistiquée. Cette attaque exploite l’API Fullscreen des navigateurs web pour créer des pages de connexion frauduleuses quasi indétectables.

Le procédé se révèle particulièrement dangereux sur Safari, le navigateur d’Apple, où aucune alerte visuelle n’avertit l’utilisateur du passage en mode plein écran. Les cybercriminels peuvent ainsi reproduire fidèlement l’interface d’un site légitime, masquant totalement la barre d’adresse et les indicateurs de sécurité habituels.

Cette évolution des techniques de phishing souligne l’importance cruciale de la vigilance. Les experts recommandent de ne jamais saisir ses identifiants depuis un lien reçu par email, même si la page semble parfaitement authentique. Il est préférable d’accéder directement aux sites web en tapant leur adresse dans le navigateur.

Pour se protéger efficacement, il est conseillé d’activer l’authentification multifacteur sur tous ses comptes sensibles. Cette mesure constitue une barrière supplémentaire, même en cas de compromission des identifiants par une attaque de phishing.

Ce que cache la nouvelle arnaque « plein écran »

Imaginez-vous en train de naviguer tranquillement sur internet. Une page de connexion familière apparaît.

Tout semble normal.

Pourtant, en coulisses, un escroc transforme votre navigateur en véritable théâtre d’illusions.

Bienvenue dans le monde du phishing « plein écran », ou Fullscreen BitM (Browser-in-the-Middle). Ce n’est pas un simple tour de magie, mais une arnaque sophistiquée qui fait des ravages.

La technique? Exploiter l’API Fullscreen, une fonction légitime des navigateurs, pour faire disparaître tous les repères visuels habituels.

Adieu barre d’adresse, cadenas de sécurité et nom de domaine. La victime se retrouve face à une copie parfaite du site qu’elle croit visiter, alors qu’il s’agit d’un décor fabriqué par un pirate.

Le plus troublant? Aucune faille technique n’est exploitée. C’est comme si on vous invitait dans un faux bureau arborant le vrai logo de votre entreprise.

Les utilisateurs de Safari sont particulièrement vulnérables car ce navigateur n’affiche quasiment aucune alerte visuelle lors du passage en mode plein écran.

Juste une légère animation, bien trop discrète pour éveiller les soupçons.

Safari, la porte grande ouverte aux attaques ?

Safari se distingue négativement dans ce scénario. Contrairement à Chrome ou Firefox qui affichent une notification lors du passage en plein écran, le navigateur d’Apple reste silencieux.

Cette notification est certes discrète sur les autres navigateurs, mais au moins elle existe!

🚨 Les cybercriminels exploitent cette faille avec enthousiasme. Ils créent des répliques parfaites de pages de connexion connues, déclenchent le mode plein écran et attendent patiemment que vous saisissiez vos identifiants.

Vous pensez accéder à votre espace personnel? En réalité, vos données sont directement transmises aux pirates.

Ce qui rend cette attaque redoutable? La qualité irréprochable des fausses pages. Plus d’erreurs graphiques ni de fautes d’orthographe.

Même les experts en cybersécurité peuvent s’y méprendre.

Nous sommes loin du phishing traditionnel avec ses liens douteux et ses pages mal conçues.

Pourquoi Apple n’agit-il pas? Leur position officielle: l’animation de transition suffit comme avertissement.

Les experts de SquareX, qui ont révélé cette vulnérabilité, sont stupéfaits par cette réponse. Et nous partageons leur étonnement.

Comment ça marche en coulisses ?

Voici les étapes de cette mise en scène frauduleuse:

1. L’utilisateur clique sur un lien malveillant (publicité, email, message sur réseau social).
2. Il arrive sur une page apparemment légitime (connexion Microsoft, outil professionnel, etc.).
3. Au moment crucial, la page active automatiquement le mode plein écran.
4. Tous les indicateurs de sécurité disparaissent, rendant l’illusion parfaite.
5. Les identifiants saisis sont transmis directement au cybercriminel, pas au service légitime.

Ce processus est simple, rapide et redoutablement efficace.

Même les outils de sécurité traditionnels peinent à détecter cette menace: pas de malware téléchargé, pas d’alerte réseau, juste une page visuellement identique à l’originale.

Cette technique ne cible pas uniquement les particuliers.

Les professionnels, TPE et PME sont tout aussi vulnérables, surtout quand la vigilance diminue au fil de la journée de travail.

Phishing 2025 : des arnaques qui se professionnalisent

Le phishing a considérablement évolué. Fini les emails truffés de fautes ou les sites au design approximatif.

Les attaquants sont devenus de véritables experts en expérience utilisateur. Chaque détail est pensé pour instaurer la confiance.

Voici les principales techniques d’attaque actuelles:

• Man-in-the-Middle (MITM): interception des échanges entre vous et un site.
• Browser-in-the-Middle (BITM): contrôle à distance d’une session de navigateur sans logiciel malveillant.
• Browser-in-the-Browser (BITB): création de fausses fenêtres de navigateur pour tromper l’utilisateur.

La version “Fullscreen BitM” représente une véritable révolution: plus besoin d’exploiter des bugs ou d’installer des virus.

Une simple astuce et un utilisateur insuffisamment vigilant suffisent. En 2022, plus d’1 million de tentatives de phishing étaient recensées chaque trimestre, causant des pertes financières considérables et compromettant des données sensibles.

PME/TPE : pourquoi vous êtes aussi dans la ligne de mire

Vous pensez que seules les grandes entreprises intéressent les pirates? Erreur! Les TPE constituent des cibles privilégiées: infrastructures moins robustes, formation limitée du personnel, peu de mesures de protection… Une seule attaque peut paralyser toute l’activité.

Scénario typique: un employé reçoit un message l’invitant à “réinitialiser son accès Microsoft 365”. Un clic, une page en plein écran, des identifiants saisis… et voilà l’ensemble du cloud de l’entreprise compromis.

Données de paie, fichiers clients, communications stratégiques – tout devient accessible.

Les PME dotées d’un service informatique interne ne sont pas épargnées: surcharge de travail, baisse de vigilance, projets urgents…

Un moment d’inattention suffit pour ouvrir la porte aux attaquants.

La solution? Anticiper, sécuriser et former, sans tomber dans la paranoïa ni le jargon technique incompréhensible.

Les bons réflexes « maison » POWERiti pour survivre aux cyber-arnaques

Nous ne prétendons pas offrir une protection absolue, mais voici des pratiques simples et efficaces à adopter immédiatement:

• Toujours saisir soi-même l’adresse du site plutôt que de cliquer sur un lien reçu.
• Vérifier si le navigateur passe en plein écran sans raison évidente. En cas de doute, quittez la page.
• Activer l’authentification multifacteur sur tous vos comptes importants.
• Former régulièrement les équipes avec des méthodes engageantes.
• S’entourer d’un partenaire IT réactif et humain pour vous accompagner.
• Faire des sauvegardes régulières de vos données critiques.

C’est comme un extincteur: on espère ne jamais l’utiliser, mais sa présence est rassurante!

Pour aller plus loin… sans perdre le fil

Chez POWERiti, notre mission est de simplifier la technologie, pas de vous submerger d’alertes.

Nous voulons que chaque dirigeant et collaborateur puisse identifier les menaces, signaler les situations suspectes et réagir sereinement.

La véritable sécurité est celle qu’on comprend et qu’on applique naturellement, même un vendredi à 18h après une semaine chargée !

Pour conclure

Cette nouvelle méthode de phishing sophistiquée révèle l’évolution constante des stratégies cybercriminelles pour dérober vos informations sensibles.

Restez particulièrement vigilants face aux attaques en plein écran, notamment sur Safari qui ne signale pas les changements de mode – une faille activement exploitée. La vérification systématique des URL dans la barre d’adresse et l’utilisation d’un gestionnaire de mots de passe constituent vos meilleures défenses contre ces tentatives d’hameçonnage.

Ne saisissez jamais d’informations sensibles sur des sites dont vous n’avez pas vérifié l’authenticité.

La cybersécurité relève d’une responsabilité partagée où chaque geste compte : activez l’authentification à deux facteurs sur tous vos comptes importants et maintenez votre vigilance face à ces menaces en constante évolution.

Un simple réflexe de prudence peut protéger l’ensemble de vos données personnelles et professionnelles.

Sources :

• infosecurity-magazine.com
• ermes.company
• bleepingcomputer.com
• keepersecurity.com
• cnil.fr
• phishingquiz.withgoogle.com
• cybermalveillance.gouv.fr