-
Une technique de détournement de clic expose des millions d'utilisateurs de gestionnaires de mots de passe
-
Cela affecte les extensions de navigateur telles que celles de 1Password, Bitwarden ou LastPass.
-
Certaines entreprises n'ont toujours pas appliqué les correctifs malgré avoir été notifiées en avril.
Nous faisons confiance à nos gestionnaires de mots de passe comme s'il s'agissait de coffres-forts numériques. Or, selon l'expert Marek Tóth, une simple visite sur un site web malveillant et un clic malencontreux suffisent à compromettre cette sécurité. La technique qu'il a présentée à la DEF CON 33 ne cible pas les applications, mais plutôt les extensions de navigateur que nous utilisons quotidiennement . D'après ses tests, cette simple action peut activer un système de vol d'informations à l'insu de l'utilisateur.
Cette étude, rendue publique lors d'une importante conférence internationale sur la cybersécurité, démontre comment onze extensions de gestionnaires de mots de passe peuvent être manipulées pour permettre des fuites de données. Tóth indique avoir informé les fabricants de cette découverte en avril 2025 et que plusieurs extensions n'avaient toujours pas été corrigées à la mi-août. L'étude comprend des tests pratiques, des sites web conçus pour illustrer la vulnérabilité et une estimation de son ampleur : environ 40 millions d'installations actives potentiellement exposées.
Comment fonctionne l'attaque et pourquoi elle vous affecte
La technique décrite par Tóth consiste à masquer les éléments insérés par les extensions dans la page, permettant ainsi à l'utilisateur d'interagir avec eux sans les voir. En modifiant légèrement l'opacité ou le chevauchement, l'attaquant peut activer la saisie semi-automatique en arrière-plan . Plusieurs méthodes permettent d'y parvenir, allant de la manipulation de l'élément racine de l'extension à la modification de l'intégralité du contenu du site, en passant par des variantes impliquant le chevauchement.
Le scénario le plus délicat se présente lorsqu'il n'est pas nécessaire de créer un faux site web ; il suffit d'exploiter une faille de sécurité sur une page légitime. Dans ce cas, explique-t-il, l'attaquant peut s'emparer des identifiants de connexion. Le risque s'accroît car de nombreux administrateurs renseignent les données non seulement sur le domaine principal, mais aussi sur les sous-domaines, élargissant ainsi la surface d'attaque à l'insu de l'utilisateur.
D'après les données publiées par Tóth et compilées par Socket , au 19 août, 1Password, Bitwarden, Enpass, iCloud Passwords , LastPass et LogMeOnce étaient toujours considérés comme vulnérables. Le 20 août, Socket a mis à jour son rapport, indiquant que Bitwarden avait publié la version 2025.8.0 intégrant un correctif, en attente de distribution sur les plateformes de téléchargement d'extensions. Parmi les gestionnaires de mots de passe ayant implémenté des mesures correctives figurent NordPass, Dashlane, Keeper, ProtonPass et RoboForm. Cette liste est toutefois susceptible d'évoluer si d'autres entreprises publient des correctifs après la divulgation initiale.
Images de Xakata avec Gemini 2.5
La réaction des fabricants a été mitigée. Socket indique que 1Password et LastPass ont classé la vulnérabilité comme « informationnelle », une catégorie qui n'implique généralement aucune modification immédiate. Bitwarden, Enpass et Apple (mots de passe iCloud) ont confirmé travailler sur des mises à jour , tandis que LogMeOnce n'a pas répondu aux tentatives de contact. Certaines entreprises ont reconnu le risque, mais l'ont attribué à des vulnérabilités externes sur les sites web visités.
Alors que certains développeurs hésitent encore sur la marche à suivre, Tóth et l'équipe Socket s'accordent sur l'existence de mesures pratiques pour limiter les risques. L'une des plus efficaces consiste à désactiver la saisie automatique manuelle et à privilégier le copier-coller. Il est également recommandé de configurer la saisie automatique uniquement pour les URL exactes, afin d'empêcher son fonctionnement sur les sous-domaines. Dans les navigateurs basés sur Chromium, l'utilisation de l'extension peut être restreinte grâce à l'option d'accès « au clic », exigeant une autorisation explicite de l'utilisateur pour chaque instance.
Il ne suffit pas de cliquer et de tout perdre. Pour que l'attaque réussisse, l'extension doit être déverrouillée, le navigateur ne doit pas avoir redémarré et l'utilisateur doit interagir au moment précis. De plus, l'analyse s'est concentrée sur seulement onze extensions. Rien ne prouve que toutes les solutions du marché soient vulnérables, même si l'expert prévient que ce type d'attaque pourrait se reproduire avec d'autres extensions.
Le point faible réside dans le DOM , la structure interne utilisée par les sites web pour organiser les boutons, les formulaires et les menus. Les gestionnaires de mots de passe y insèrent leurs éléments, et si une page malveillante parvient à les déplacer, les masquer ou les forcer, l'utilisateur risque de cliquer dessus par inadvertance. Ce même risque s'étend à d'autres extensions telles que les portefeuilles de cryptomonnaies ou les applications de prise de notes.
Javier Márquez, rédacteur technique | 21 août 2025
