Les utilisateurs de la banque en ligne toujours négligents

Ce ciblage n'a rien de surprenant puisque les sites financiers sont les plus attaqués par les auteurs de phishing. Les chercheurs ont ainsi demandé à 67 clients d'une même banque de réaliser des opérations en ligne sur le site. Ils ont introduit différents éléments visuels de nature à alerter les internautes sur la légitimité du site, comme l'absence du cadenas indiquant une page sécurisée HTTPS ou d'une image d'authentification et l'affichage d'un pop-up alertant sur la non certification du site.

Dans le premier test, au cours duquel l'authentification se faisait sur une page classique HTTP, et non HTTPS comme c'est en principe le cas, 100% des internautes se sont néanmoins connecté à leurs comptes. L'absence de sécurisation signalée par un icône représentant un cadenas en bas de page n'a donc en rien freiné les utilisateurs.

Durant le second test, les chercheurs ont ôté les images présélectionnées par le client, censées l'informer sur la légitimité du site de banque américain. L'absence combinée d'image et du protocole sécurisé n'a alerté que 3% des participants. Enfin, les universitaires ont affiché un pop-up d'avertissement sur la validité d'un certificat de sécurité. En dépit de cette flagrante mise en garde, 53% n'en ont pas tenu compte et ont saisi leurs identifiants de connexion.

Première conclusion de l'enquête tirée par les chercheurs, les internautes ignorent les indicateurs apportés par HTTPS. Quant à l'utilisation d'une image par les banques pour protéger l'accès à l'application de banque en ligne, elle apparaît comme inefficace. L'apport des outils antiphishing des navigateurs Web comme ceux de Firefox et IE7 n'a pu en revanche être évalué dans ces tests, ces derniers ayant été conduits sur IE6.

Toutefois, des chercheurs de l'université américaine de Pittsburgh, à la demande de la National Science Foundation et de l'U.S. Army Research Office, avaient réalisé un comparatif de 10 solutions antiphishing. Le benchmark estimait les taux de faux positifs de nature à tromper les utilisateurs. Selon eux, ces identifications erronées de sites légitimes pourraient en effet inciter les internautes à ignorer les avertissements de l'antiphishing.

Les travaux du MIT et de Harvad mettent en tout cas en évidence l'ampleur du travail restant à faire en matière de sensibilisation des internautes. Ils prouvent également aux pirates que l'accroissement de la sophistication des sites leurres n'est pas incontournable. L'efficacité repose probablement plus pour eux sur la rapidité à concevoir de nouveaux leurres.