Conseils de sécurité Microsoft 902333

Navigateur Windows sans indication de leurs origines peut être utilisé dans les tentatives d’hameçonnage

Publication : 21 juin 2005

Microsoft a examiné un rapport public d’une méthode d’hameçonnage qui affecte les navigateurs web en général, y compris Internet Explorer.

Le rapport décrit le scénario de plusieurs fenêtres de navigateur qui se chevauchent, dont certaines ne contiennent aucune indication de leur origine. Un attaquant peut organiser des fenêtres de telle sorte que les utilisateurs pensent qu’une boîte de dialogue non identifiée ou une fenêtre contextuelle est fiable lorsqu’elle est en fait frauduleuse. Lorsqu’un utilisateur visite un site Web malveillant, l’utilisateur peut être redirigé vers un site Web approuvé. L’attaquant peut ensuite afficher une fenêtre qui se chevauche sous la forme d’une boîte de dialogue qui tente une attaque par hameçonnage. L’utilisateur est ensuite invité à entrer des informations personnelles dans cette boîte de dialogue, qui a été ouverte à partir du site Web malveillant. L’utilisateur peut croire que cette boîte de dialogue a été ouverte par le site Web approuvé et qu’elle peut entrer des informations personnelles. Toutefois, ces informations sont envoyées au site Web malveillant.

Les clients qui suivent déjà nos conseils généraux sur l’évitement d’usurpation d’identité et d’attaques par hameçonnage sont à un risque réduit d’être affectés par ce problème. Si une fenêtre ou une boîte de dialogue particulière n’a pas de barre d’adresse et n’a pas d’icône de verrouillage qui peut être utilisée pour vérifier le certificat du site, l’utilisateur n’est pas fourni avec suffisamment d’informations sur lesquelles baser une décision d’approbation valide sur la fenêtre ou la boîte de dialogue. Pour afficher les conseils généraux de Microsoft sur la façon d’éviter les attaques d’usurpation d’identité, visitez le site Web Sécurité à la maison.

Nous continuons à encourager les clients à installer Windows XP SP2 et à suivre nos conseils de protection de votre PC pour activer un pare-feu. Cela inclut l’activation de l’Mises à jour automatique pour recevoir des mises à jour logicielles et installer des logiciels antivirus. Pour plus d’informations, visitez le site Web Protéger votre PC.

Les clients qui croient avoir été affectés par cette méthode d’hameçonnage peuvent contacter les services de support technique. Vous pouvez contacter les services de support technique dans Amérique du Nord sans frais à l’aide de la ligne PC Coffre ty (1866-PCSAFETY). Les clients internationaux peuvent contacter les services de support technique à l’aide de l’une des méthodes disponibles disponibles sur le site Web aide et support de sécurité Microsoft pour les utilisateurs à domicile.

Informations générales

Vue d’ensemble

Objectif de l’avis : Pour clarifier les risques associés aux fenêtres de navigateur sans indication de leurs origines et fournir des conseils sur la façon d’empêcher le vol d’identité contre les escroqueries par hameçonnage.

État de l’avis : avis publié, aucune mise à jour de sécurité planifiée.

Recommandation : passez en revue les actions suggérées et configurez-les selon les besoins.

Références	Site web
Empêcher le vol d’identité contre les escroqueries par hameçonnage	Sécurité sur le site web d’accueil
Protéger votre PC	Protéger votre site web PC

Cet avis s’applique au logiciel suivant.


Logiciel associé
Internet Explorer 5.01 Service Pack 3 sur Microsoft Windows 2000 Service Pack 3
Internet Explorer 5.01 Service Pack 4 sur Microsoft Windows 2000 Service Pack 4
Internet Explorer 6 Service Pack 1 sur Microsoft Windows 2000 Service Pack 3, sur Microsoft Windows 2000 Service Pack 4 ou sur Microsoft Windows XP Service Pack 1
Internet Explorer 6 pour Microsoft Windows XP Service Pack 2
Internet Explorer 6 Service Pack 1 pour Microsoft Windows XP 64 Bits Edition Service Pack 1 (Itanium)
Internet Explorer 6 pour Microsoft Windows Server 2003 et Microsoft Windows Server 2003 Service Pack 1
Internet Explorer 6 pour Microsoft Windows Server 2003 pour les systèmes Itanium, Microsoft Windows Server 2003 avec SP1 pour systèmes Itanium, Microsoft Windows XP 64 Bits Edition version 2003 (Itanium), Microsoft Windows Server 2003 x64 Edition et Microsoft Windows XP Professional x64 Edition
Internet Explorer 5.5 Service Pack 2 sur Microsoft Windows Millennium Edition
Internet Explorer 6 Service Pack 1 sur Microsoft Windows 98, microsoft Windows 98 SE ou Microsoft Windows Millennium Edition
Internet Explorer 5.1 pour Macintosh

Notez que les navigateurs web énumérés ici sont les versions d’Internet Explorer actuellement prises en charge. Toutefois, cette fonctionnalité n’est pas limitée à Internet Explorer, mais est commune à de nombreux navigateurs web.

Forums Aux Questions (FAQ)

Quelle est la portée de l’avis ?
Cet avis précise le comportement actuel des fenêtres qui se chevauchent à partir de différentes origines dans Internet Explorer. Cette fonctionnalité n’est pas limitée à Internet Explorer, mais elle est commune à de nombreux navigateurs web.

Quelles sont les causes de cette situation ?
Commun à différents navigateurs, y compris Internet Explorer, il est possible d’avoir plusieurs fenêtres de navigateur qui se chevauchent. Un attaquant peut organiser des fenêtres de telle sorte que les utilisateurs pensent qu’une boîte de dialogue non identifiée ou une fenêtre contextuelle est fiable lorsqu’elle est en fait frauduleuse. Lorsqu’un utilisateur visite un site Web malveillant, l’utilisateur peut être redirigé vers un site Web approuvé. L’attaquant peut ensuite afficher une fenêtre qui se chevauche sous la forme d’une boîte de dialogue qui tente une attaque par hameçonnage. L’utilisateur est ensuite invité à entrer des informations personnelles dans cette boîte de dialogue, qui a été ouverte à partir du site Web malveillant. L’utilisateur peut croire que cette boîte de dialogue a été ouverte par le site Web approuvé et qu’elle peut entrer des informations personnelles. Toutefois, ces informations sont envoyées au site Web malveillant.

Microsoft émettra-t-il une mise à jour de sécurité pour résoudre cette menace ?
Non. Il s’agit d’un exemple de la façon dont les fonctionnalités de navigateur Web standard actuelles peuvent être utilisées dans les tentatives d’hameçonnage.

Actions suggérées

Pour plus d’informations sur la façon de vous protéger en ligne, visitez les sites Web Microsoft suivants :

Autres informations

Ressources :

Vous pouvez fournir des commentaires en remplissant le formulaire sur le site web suivant.
Les clients aux États-Unis et au Canada peuvent recevoir un support technique de Microsoft Product Support Services. Pour plus d’informations sur les options de support disponibles, consultez le site Web aide et support Microsoft.
Les clients internationaux peuvent recevoir du support de leurs filiales Microsoft locales. Pour plus d’informations sur la façon de contacter Microsoft pour connaître les problèmes de support international, visitez le site web du support international.
Le site web Microsoft TechNet Security fournit des informations supplémentaires sur la sécurité dans les produits Microsoft.

Exclusion de responsabilité :

Les informations fournies dans cet avis sont fournies « tel quel » sans garantie quelconque. Microsoft exclut toutes les garanties, expresses ou implicites, y compris les garanties de marchandabilité et d’adéquation à un usage particulier. En aucun cas, Microsoft Corporation ou ses fournisseurs ne sont responsables de dommages-intérêts, y compris les dommages directs, indirects, accessoires, accessoires, les pertes de bénéfices commerciaux ou les dommages spéciaux, même si Microsoft Corporation ou ses fournisseurs ont été informés de la possibilité de tels dommages- intérêts. Certains États n’autorisent pas l’exclusion ou la limitation de responsabilité pour des dommages indirects ou accessoires afin que la limitation ci-dessus ne s’applique pas.

Révisions:

21 juin 2005 : Avis publié

Construit à 2014-04-18T13 :49 :36Z-07 :00