Le clickjacking incite les gens sans méfiance à cliquer sur des liens qu'ils pensent inoffensifs, mais télécharge ensuite des logiciels malveillants, récupère les identifiants de connexion et prend le contrôle des comptes en ligne. Malheureusement, les logiciels malveillants de détournement de clic peuvent échapper aux protections de sécurité, mais il existe des moyens de vous protéger.
Qu'est-ce que le Clickjacking ?
Également connu sous le nom d'attaque de redressement d'interface utilisateur, le clickjacking est une forme d'attaque basée sur l'interface qui manipule les utilisateurs pour qu'ils cliquent sur des boutons ou des liens déguisés en autre chose.
Contrairement à l'usurpation d'identité de site Web, où la victime est redirigée vers un faux site Web conçu pour imiter le site Web d'une entreprise légitime, le détournement de clic redirige l'utilisateur vers le véritable site Web. Cependant, l'attaquant crée une superposition invisible sur le site Web légitime à l'aide d'outils HTML tels que des feuilles de style en cascade (CSS) et des iframes.
Les calques invisibles sont créés à l'aide d'iframe, un élément HTML utilisé pour intégrer une page Web ou un document HTML dans une autre page Web. C'est transparent, donc vous avez toujours l'impression d'interagir avec un site Web légitime. Cependant, si vous cliquez sur un bouton sur un site Web, jouez à un jeu ou effectuez une tâche que vous considérez comme inoffensive, ces clics seront appliqués au site Web invisible en haut. Ces clics donnent aux pirates l’accès à votre compte, leur permettant de télécharger des logiciels malveillants, de prendre le contrôle de votre appareil et d’effectuer d’autres activités néfastes.
Parfois, les attaquants se font passer pour des spécialistes du marketing pour inciter les utilisateurs à aimer une page ou une publication sur les réseaux sociaux . Cette attaque est appelée likejacking. L'attaquant envoie à l'utilisateur une vidéo intéressante ou une « offre spéciale » et lorsqu'il clique sur « Lire » ou interagit avec le contenu, l'utilisateur clique accidentellement sur le bouton J'aime caché.
Une autre version du clickjacking, appelée cursor-jacking, incite les utilisateurs à utiliser un curseur personnalisé pour cliquer sur des liens ou des parties d'un site Web avec lesquels l'utilisateur n'avait pas l'intention d'interagir.
Une variante plus avancée du clickjacking, appelée double clickjacking, exploite le timing et la séquence des doubles clics des utilisateurs.
Contourner l'antivirus et la protection du navigateur
Ce qui inquiète les gens à propos du clickjacking, c’est qu’il contourne souvent les logiciels antivirus et anti-malware. Étant donné que ces attaques se produisent sur des sites Web réputés et ne téléchargent pas toujours quoi que ce soit, les logiciels antivirus traditionnels peuvent ne pas les détecter.
La plupart des navigateurs sont dotés de protections intégrées, mais comme nous le savons tous, les pirates informatiques sont toujours à la recherche de nouvelles façons d’exploiter les utilisateurs en ligne. La plupart des attaques de clickjacking de base sont efficacement bloquées, mais pas les attaques de double clickjacking.
Au lieu qu'une action malveillante se produise lors de votre premier clic, le code de l'attaquant insère une superposition piratée avant de vous inviter à cliquer une deuxième fois. Cela peut prendre la forme d'un simple double-clic pour confirmer l'action ou d'un CAPTCHA ennuyeux. Au deuxième clic, vous risquez d'installer accidentellement un plugin et de donner à l'attaquant l'accès à votre compte.
Actuellement, les navigateurs peuvent ne pas détecter cette version plus complexe car elle n'utilise pas la configuration iframe habituelle, ce qui vous expose à un risque élevé d'être victime d'un détournement de clic. Cela ne se limite pas uniquement aux navigateurs de bureau ; Les utilisateurs mobiles sont également ciblés par des invites à double appui.
Comment le doublejacking contourne les protections contre le détournement de clics
De nombreux navigateurs Web modernes ont atténué le détournement de clics grâce à des protections de sécurité. Cependant, une version sophistiquée appelée « double clickjacking » peut contourner les protections traditionnelles en exploitant la séquence entre deux clics pour prendre le contrôle de comptes ou effectuer des actions non autorisées.
Dans une attaque de double clickjacking, des éléments malveillants sont insérés entre le premier et le deuxième clic de l'utilisateur. Tout d’abord, vous êtes redirigé vers un site Web contrôlé par un attaquant et recevez une invite, telle que résoudre un CAPTCHA ou double-cliquer sur un bouton pour autoriser une action. Le premier clic fermera ou modifiera la fenêtre supérieure (superposition CAPTCHA), ce qui amènera le deuxième clic à accéder au bouton ou au lien d'autorisation précédemment masqué. Le deuxième clic autorise le plug-in malveillant, ce qui oblige l'application OAuth à se connecter à votre compte ou à approuver l'invite d'authentification multifacteur.
Ce que vous pouvez faire pour vous protéger
Les techniques de détournement de clics sont sophistiquées et conçues pour tromper et voler vos clics, mais il y a quelques choses que vous pouvez faire pour vous protéger.
Les attaquants profitent souvent de votre confiance dans les sites Web légitimes et dans les actions de base que nous effectuons souvent sans réfléchir, comme le double-clic. Ralentissez toujours et réfléchissez avant de cliquer pour vous protéger.
À Angers, découvrez où déposer une batterie au lithium, comment la sécuriser et quoi faire si elle est gonflée, endommagée ou chaude.
Découvrez où déposer une batterie au lithium à Aix-en-Provence et les précautions à prendre selon son état, sa taille et son appareil.
À Nîmes, les tubes fluorescents et LED ne vont pas à la poubelle. Découvrez où les déposer, comment les transporter et quoi faire s’ils se cassent.
Vélo usé à Perpignan : vérifiez le réemploi, le badge, l’adresse de la déchèterie et les précautions pour un vélo électrique.
À Reims, un téléviseur usagé est un DEEE : déchèterie, reprise en magasin ou enlèvement sur rendez-vous. Voici la marche à suivre sans erreur.
Prime d’activité et chômage peuvent parfois se cumuler. Découvrez dans quels cas, quelles ressources sont prises en compte et comment éviter les erreurs de déclaration.
À Aix-en-Provence, un ordinateur usagé est un DEEE : déchèterie, reprise en magasin, réemploi et effacement des données. Guide pratique 2026.
À Nice, où déposer l’huile de cuisson usagée ? Préparation, déchèteries, badge, horaires saisonniers et vérifications pour éviter les erreurs.
Déchèterie à Metz : horaires 2026, adresses, conditions d’accès, déchets acceptés ou refusés, limites de volume et conseils avant de partir.
Batterie externe intacte, gonflée ou fuyante : découvrez où la déposer à Annecy, comment la transporter et quelles erreurs éviter avec le lithium.
