Sécurité informatique : Modifier le mail déjà envoyé, c’est possible !

Il est possible de modifier un mail déjà envoyé via les services de messagerie les plus utilisés. Un chercheur en sécurité informatique est parvenu à corriger un message dans la boîte de réception d’un destinataire, après avoir exploité une faille du format HTML. La personne qui reçoit le courrier n’en est aucunement informée. Faisons le point sur cette possibilité de modification des contenus.

Cybersécurité : recherche de Francis Ribeiro

Le chercheur en sécurité informatique Francisco Ribeiro a réussi à corriger les messages déjà transmis dans la boîte de messagerie d’un destinataire. Il a alors exploité la mise en forme des mails en rendant possible les modifications par des feuilles de style : ajout d’images, changement de police et de taille de caractères. Ce CSS (cascading style sheets) est hébergé sur un serveur à part.

Comme la plupart des services de messagerie utilisent aujourd’hui le format HTML au lieu du texte basique, l’acte a été plus facile à réaliser. Par conséquent, à travers un menu déroulant, il est possible de personnaliser son courrier, sans avoir à ouvrir son mail via la méthode classique.

Intérêt de cette solution de sécurité informatique

Parfois, certaines personnes envoient un message sous le coup de l’émotion et regrettent après l’avoir envoyé. D’autres ont écrit un mail professionnel sans avoir fait de relecture ou l’ont remis au mauvais moment. Certes, au moins une fois dans sa vie, un utilisateur a expédié un courrier électronique par erreur qu’il se demande s’il n’existe pas un moyen de le changer à distance. Pour répondre à ce besoin, Francis Ribeiro a prouvé qu’il est possible de modifier les feuilles de style CSS des messageries HTML. Toutefois, cela ouvre la porte à d’éventuelles arnaques ou à un « Ropemaker ».

Switch exploit

Francisco Ribeiro a non seulement parvenu à modifier la feuille de style appelé « swtich exploit », mais il a également réussi à corriger un lien dans un mail déjà expédié. Cette technique peut être utilisée à mauvais escient surtout parce qu’elle permet d’avoir un contrôle total sur le texte. Elle consiste à intégrer dans les tags <div>du code HTML deux différentes URL. Pour que l’une de ces dernières puisse s’afficher, il est nécessaire d’activer la commande « display » dans la feuille de style.

Matrix exploit

Les fraudeurs peuvent réécrire partiellement ou dans sa totalité un mail déjà reçu par le destinataire grâce au « matrix exploit ». Cette technique consiste à intégrer dans le code HTML du message toutes les lettres de l’alphabet sous forme d’un tag <div>. Par la suite, il faut composer le texte dans la feuille de style. Il est possible d’ajouter des liens vers n’importe quel site à travers le matrix exploit, sans que le destinataire ne soit pas informé des modifications.

Les services de messagerie testés

Ce hack baptisé « Ropemaker » facilite les cyberattaques ciblées étant donné qu’il court-circuite les systèmes de contrôle de contenus des services de messagerie. Il a été testé avec succès sur des utilisateurs de Microsoft Outlook, Apple Mail et Mozilla Thunderbird. Par ailleurs, le hacking a échoué auprès des usagers de Gmail, d’Haltospam, d’Outlook.com et d’icloud.com.