La barre d'adresse affiche hp.com. Le navigateur affiche malgré tout le texte malveillant des escrocs

[duJambon]

Les escrocs ont mis au point une méthode pour injecter leurs faux numéros de téléphone dans des pages Web lorsque le navigateur Web d’une cible visite les sites officiels d’Apple, PayPal, Netflix et d’autres sociétés.

Cette arnaque, décrite dans un article publié mercredi par l’entreprise de sécurité Malwarebytes, menace d’inciter les utilisateurs à appeler des numéros malveillants, même s’ils pensent prendre des mesures pour se protéger de telles arnaques. L’un des conseils de sécurité les plus courants consiste à examiner attentivement la barre d’adresse d’un navigateur pour s’assurer qu’elle pointe vers le site web officiel d’une organisation. L’arnaque en cours permet de contourner ces vérifications.

Ce n’est pas la page Apple que vous recherchez

« Si je montrais la page web à mes parents, je ne pense pas qu’ils se rendraient compte qu’il s’agit d’un faux », a déclaré Jérôme Segura, analyste principal en intelligence des logiciels malveillants chez Malwarebytes, lors d’une interview. « En tant qu’utilisateur, si vous cliquez sur ces liens, vous vous dites : “Oh, je suis sur le site web d’Apple et Apple me recommande d’appeler ce numéro.” »

Les acteurs inconnus à l’origine de cette arnaque commencent par acheter des publicités Google qui apparaissent en haut des résultats de recherche pour Microsoft, Apple, HP, PayPal, Netflix et d’autres sites. Alors que Google affiche uniquement le schéma et le nom d’hôte du site vers lequel la publicité pointe (par exemple, https://www.microsoft.com), la publicité ajoute des paramètres au chemin d’accès à droite de cette adresse. Lorsqu’une cible clique sur la publicité, elle ouvre une page du site officiel. Ces paramètres ajoutent ensuite de faux numéros de téléphone à la page affichée.

Un faux numéro de téléphone injecté dans une page Web Microsoft

Un faux numéro de téléphone injecté dans une page Web HP

Google exige que les annonces affichent le domaine officiel vers lequel elles pointent, mais l’entreprise autorise l’ajout de paramètres invisibles à droite de celui-ci. Les escrocs profitent de cette situation en ajoutant des chaînes à droite du nom d’hôte. Un exemple :

/kb/index?page=search&q=☏☏Call%20Us%20%2B1-805-749-2108%20AppIe%20HeIpIine%2F%2F%2F%2F%2F%2F%2F&product=&doctype=&currentPage=1&includeArchived=false&locale=en_US&type=organic

Les paramètres n’étant pas affichés dans l’annonce Google, la cible n’a aucune raison apparente de soupçonner une anomalie. En cliquant dessus, l’annonce redirige vers le nom d’hôte correct. Cependant, les paramètres ajoutés injectent un faux numéro de téléphone dans la page web consultée par la cible. Cette technique fonctionne sur la plupart des navigateurs et contre la plupart des sites web. Malwarebytes.com figurait parmi les sites concernés jusqu’à récemment, date à laquelle il a commencé à filtrer les paramètres malveillants. (remarquez le terme “Sponsored” au dessus de ce qui est censé être de la pub).

Un faux numéro injecté dans une page Web Apple

« S’il y a une faille de sécurité ici, c’est que lorsque vous exécutez cette URL, la requête est exécutée sur le site web d’Apple, et ce dernier est incapable de déterminer qu’il ne s’agit pas d’une requête légitime », a expliqué Segura. « Il s’agit d’une requête préformulée effectuée par un escroc, mais [le site web] est incapable de la déterminer. Ils vous renvoient donc la requête que vous avez faîte. »

Jusqu’à présent, a déclaré Segura, les escrocs n’ont utilisé que les publicités Google. On ignore si les publicités sur d’autres sites peuvent être exploitées de la même manière.

Si de nombreuses cibles seront capables de reconnaître que le texte injecté est faux, la ruse peut ne pas être aussi évidente pour les personnes malvoyantes, souffrant de déclin cognitif, ou simplement fatiguées ou pressées. Lorsqu’une personne appelle le numéro de téléphone injecté, elle est mise en relation avec un escroc se faisant passer pour un représentant de l’entreprise. L’escroc peut ensuite inciter l’appelant à fournir ses informations personnelles ou de carte de paiement, ou lui permettre d’accéder à distance à son ordinateur. Les escrocs qui se font passer pour Bank of America ou PayPal tentent d’accéder au compte bancaire de la cible et de le vider.

Le produit de sécurité de navigateur de Malwarebytes avertit désormais les utilisateurs de ces arnaques. Une mesure préventive plus complète consiste à ne jamais cliquer sur les liens des annonces Google et, si possible, à privilégier ceux des résultats organiques.

Source: https://arstechnica.com/security/2025/06/tech-support-scammers-inject-malicious-phone-numbers-into-big-name-websites/

Un bloqueur de pub devient une bénédiction pour ne pas se faire avoir

[Popaul]

Marrant parce qu’il suffit de lire 2-3 lignes pour piger que c’est une traduction tellement les phrases sont bizarrement alambiquées.

Sinon, c’est limite de la faute à ces sites officiels qui “permettent” d’ajouter du texte sur leurs pages via la barre d’adresse.
Même s’il semblerait que ça ne soit pas directement sur la page en “dur” mais sur les champs de recherche du site ciblé.

[duJambon]

@Popaul Désolé, je n’ai pas eu le temps de retoucher la traduction plus en avant, j’ai préféré faire mes courses avant la grosse chaleur

Mais c’est le journaliste qui se la pète, l’original est bien tordu aussi.