L'extension Chrome, Google Alerte Mot de Passe n'est pas assez sécurisée

Google a mis au point une extension qui avertit les utilisateurs contre les pages de phishing. Cependant, un consultant en sécurité informatique a révélé que l'extension n'est pas aussi infaillible qu'on le penserait.

Qu'est-ce que le phishing, ou l'hameçonnage ? C'est une technique utilisée par des hackeurs pour récolter les informations de comptes d'internautes. Elle consiste à remplacer une page de connexion (son compte mail, ou celle d'un réseau social), par une contrefaçon ou une page qui dupera les utilisateurs à entrer leurs codes, numéro de compte, etc. Une fois les informations entrées, les hackeurs prennent ainsi le contrôle sur divers sites.

L'extension de Google est faite afin de détecter ces sites tentant d'usurper les originaux. Password Alert va aussi jusqu'à informer les utilisateurs qu'ils utilisent leurs mots de passe Google sur d'autres sites. C'est justement une erreur commise par beaucoup d'internautes. Cela facilite le travail des hackeurs qui peuvent ainsi obtenir les informations du compte Google à partir d'autres sites.

Malheureusement pour Google, l'extension Alerte Mot de Passe, qui devait être très bien accueillie, n'est pas aussi fiable que l'on pourrait le croire. Un consultant en sécurité, Paul Moore, a découvert qu'il était possible pour les sites de phishing de tromper l'extension. Il suffisait d'ajouter sept lignes de codes pour ne pas être considéré comme une menace.

Drew Hintz de Google a ensuite publié sur Twitter que cette faille n'était plus active. Moore n'a pas lâché l'affaire puisqu'un autre tweet a annoncé qu'il a trouvé une autre faille java script à l'extension de Google. À l'heure actuelle, un correctif à cette seconde faille n'est toujours pas officialisé.