On se souvient que fin mai, quatre banques françaises avaient été les cibles d'une attaque par phishing. L'escroquerie consiste à se faire passer pour un organisme connu afin de se voir fournir des données confidentielles par l'usager. L'attaque se réalise par courrier électronique qui pointe vers un faux site ressemblant trait pour trait à l'original. Un bête formulaire recueille alors les coordonnées confidentielles de la future victime pour les remettre docilement dans les mains de l'escroc.

Tous les établissements financiers avaient bien entendu publié un message d'alerte en page de garde de leur site. Mais sur les quatre banques considérées, la Société Générale a pris une mesure supplémentaire.

Cette fois il s'agit de lutter contre les keyloggers, les enregistreurs de frappes qui écoutent et notent tous les touches tapotées par l'usager. Un procédé idéal pour glaner quelques codes secrets. Désormais, "pour renforcer la sécurité de LogitelNet, la saisie de votre code secret se fera prochainement avec un clavier virtuel. C'est-à-dire que vous utiliserez votre souris pour saisir votre code secret". Pour ajouter un peu plus d'aléas dans l'opération, ce clavier sera situé à un emplacement différent à chacune des connexions du client. Enfin, l'affichage de la grille de chiffres sera à chaque fois modifié. Notons pour finir que la BNP a mis en place un système équivalent voilà quelques semaines.

Selon une étude de l'APWG (Anti-Phishing Working Group), rapportée par nos confrères de VirusTraq, les attaques de phishing explosent actuellement. Et face à la multiplication naturelle des dispositifs anti-phishing, ces auteurs n'hésitent pas à avoir recours en outre à des keyloggers. Soulignons enfin que ces petits logiciels très discrets accompagnent encore très souvent les malwares, chevaux de Troie en tête.