Bien que Microsoft Edge soit présenté comme étant plus sécurisé que Chrome et Firefox, l'alerte de sécurité du navigateur est susceptible d'abus frauduleux du support technique. Un chercheur en sécurité a découvert une vulnérabilité dans Edge qui pourrait permettre aux fraudeurs d'afficher une fausse alerte de sécurité pour n'importe quel domaine.

Manuel Caballero, qui tient le blog Broken Browser, a découvert que les fraudeurs pouvaient également personnaliser le texte des fausses alertes afin d'attirer les utilisateurs non avertis vers des numéros de support technique. En fait, les opérateurs des centres d’appel inciteraient les victimes à dépenser d’énormes sommes d’honoraires.

Caballero a noté que la campagne malveillante n’est pas nouvelle. Cependant, il a reconnu que les escrocs avancent leur technique pour tromper plus d'utilisateurs. Il a écrit dans un article de blog:

«Ils affichent des avertissements rouges ou des BSOD contenant de faux messages et parfois même des alertes de blocage pour empêcher les utilisateurs de partir. Lorsqu'un utilisateur ferme le message d'alerte, un nouveau message apparaît, à l'infini."

Une faille existe dans la fonction de sécurité SmartScreen d'Edge

Caballero a déclaré que le bogue de sécurité existait dans la fonctionnalité de sécurité SmartScreen d'Edge, ajoutant que la faille était unique à Edge. SmartScreen détecte les téléchargements au volant et les URL de phishing de manière à afficher une alerte de sécurité dans la fenêtre du navigateur.

Les messages d’avertissement résident dans les protocoles d’installation d’Edge, ms-appx: et ms-appx-web. Edge utilise ces protocoles pour afficher des messages d'avertissement lorsque le navigateur détecte des sites de phishing ou de diffusion de programmes malveillants.

Le chercheur en sécurité a expliqué que la faille pourrait non seulement permettre aux pirates d'extraire les protocoles et de personnaliser les messages d'avertissement, mais également aux cyber-escrocs de simuler l'URL dans la barre d'adresse d'Edge. Les arnaqueurs peuvent également ajouter un hachage et créer une page d'escroquerie de support technique afin que l'usurpation apparaisse authentique. De même, les utilisateurs non avertis penseraient qu'un site Web qu'ils visitent est légitime, alors qu'en réalité, il est usurpé.

Cette vulnérabilité pourrait constituer un outil efficace pour les arnaqueurs du support technique afin de masquer leur attaque avec une URL légitime. En outre, il n'y a actuellement aucun correctif pour la faille, selon Caballero, qui a affirmé que Microsoft avait ignoré ses rapports dans le passé.

Lire aussi:

• Comment faire pour supprimer l'escroquerie d'assistance technique dans Windows
• Micorsoft met en garde les utilisateurs d'Hicurdismos, une arnaque au "support technique téléphonique"
• Microsoft Edge prend en charge Windows Defender Guard pour une sécurité accrue