Comment les extensions de navigateur peuvent-elles voir votre compte de trading ? Les autorisations que vous accordez peuvent aller plus loin que vous ne le pensez

Vous avez installé une extension de traduction pour lire la documentation du projet et ajouté un outil d'alerte de prix pour suivre le marché. Lors de l'installation, votre navigateur vous a demandé la permission de « Lire et modifier toutes vos données sur tous les sites web », et vous avez accepté sans y penser davantage.

 

Mais cette autorisation peut aller bien au-delà de la traduction d’articles ou de l’affichage des prix. Si l’accès de l’extension inclut le site de votre plateforme d’échange, il peut également être en mesure de lire les pages de votre compte que vous ouvrez après vous être connecté — et même d’en modifier le contenu. Il n’a pas nécessairement besoin de votre mot de passe de compte ou de votre clé API pour y parvenir.

 

Protéger votre compte de trading signifie aller au-delà de « Qui connaît mon mot de passe ? ». Cela signifie aussi poser une question souvent négligée : Qui est autorisé à lire et modifier la page web qui se trouve devant moi ?

Une extension de navigateur est bien plus qu'une simple icône sur votre barre d'outils. Avec les autorisations appropriées, elle peut exécuter du code sur les sites web dans son périmètre autorisé, lire le contenu des pages, ajuster la mise en page et transmettre les informations qu'elle lit à d'autres composants de l'extension. Des fonctionnalités telles que la traduction et le remplissage automatique reposent sur ces capacités.

 

Le problème est que les autorisations d'accès au site web définissent où une extension peut fonctionner, pas si chaque action correspond à l'objectif que vous avez en tête. « Aidez-moi à traduire cette présentation de projet » ne signifie pas automatiquement « Lisez uniquement cette présentation de projet. » Si vous autorisez une extension à accéder à tous les sites web, cet accès peut également couvrir votre plateforme d'échange et votre messagerie web.

 

En utilisant Chrome comme exemple, les autorisations et fonctionnalités suivantes méritent une attention particulière. Ces fonctionnalités dépendent des autorisations spécifiques accordées : l'accès à tous les sites web n'accorde pas automatiquement l'accès au presse-papiers ou l'accès via l'API Cookies.

 

Autorisation ou capacité	Ce que l'extension peut accéder	Risques potentiels pour le compte
Lire et modifier les pages web auxquelles il a accès	Texte, formulaires, boutons et informations déjà chargés sur les pages de compte	Une extension malveillante peut lire les soldes, les positions ou les détails des commandes, ou modifier ce qui est affiché sur la page et le contenu des champs de saisie.
Lire ou écrire dans le presse-papiers	Texte copié, tel qu'une adresse de destinataire ; les fonctionnalités exactes dépendent de la présence d'autorisations de lecture, d'écriture ou des deux.	Avec l'accès à la lecture du presse-papiers, une extension malveillante peut lire les informations sensibles que vous copiez. Avec l'accès à l'écriture du presse-papiers, elle peut remplacer l'adresse de retrait copiée avant que vous ne la colliez.
Accédez aux cookies du site web via l'API Cookies	Cookies pour les sites web autorisés, qui peuvent inclure des informations permettant de maintenir votre état de connexion	Si les cookies volés contiennent des informations d'authentification de session valides, un attaquant peut tenter de hijacker votre session. Dans Chrome, l'accès via cette API nécessite à la fois la permission cookies et les autorisations correspondantes du site web.

Le scénario suivant est hypothétique et illustre le risque, sans décrire un incident spécifique ayant été révélé.

 

Pour lire des articles en anglais, Lin installe une extension de traduction et lui accorde l'accès à tous les sites web. Quelques jours plus tard, il ouvre sa plateforme d'échange à partir d'un signet, se connecte comme d'habitude et se prépare à examiner ses actifs et effectuer un retrait.

 

Supposons que l'extension contienne un code malveillant et qu'elle ait déjà obtenu l'accès au site web de la plateforme d'échange. Le risque pourrait se dérouler comme suit :

 

D'abord, il lit la page et cherche des opportunités. Lorsque Lin ouvre ses pages d'actifs et de commandes, l'extension lit les informations déjà affichées ou chargées là-bas. Il peut être en mesure de voir ce contenu sans demander séparément l'accès à l'API de la plateforme d'échange ni demander à Lin de saisir à nouveau son mot de passe.

 

Ensuite, il modifie ce qu'il voit ou est sur le point de soumettre. Par exemple, il pourrait changer l'adresse du destinataire affichée sur la page, modifier le formulaire de retrait ou insérer une fenêtre de « vérification de sécurité » qui semble provenir de la plateforme. Ce sont là des façons possibles d'abuser de l'accès en lecture et écriture à la page web. Que l'extension puisse ensuite accomplir des actions sensibles dépend encore des procédures de vérification et des contrôles de risque de la plateforme.

 

La partie la plus trompeuse est la suivante : le domaine dans la barre d’adresse peut encore être correct.

 

HTTPS protège les données en transit entre votre navigateur et le site web. Il ne prévient pas automatiquement une extension autorisée de lire ou de modifier la page web localement. Vérifier le domaine officiel est donc toujours nécessaire, mais cela ne remplace pas l'examen de vos extensions de navigateur.

 

Le site que vous visitez peut être légitime, mais la page que vous voyez peut encore avoir été modifiée par une extension de navigateur malveillante.

Après votre connexion, les sites web utilisent généralement des informations de session pour reconnaître les demandes ultérieures. Si un attaquant obtient des informations de session valides, il peut tenter d’utiliser votre session authentifiée existante au lieu de recommencer avec un mot de passe et un code de vérification. Le succès de cette tentative dépend également de l’expiration de la session, des vérifications d’appareil et d’autres contrôles de sécurité.

 

Même sans voler les informations de session, une extension malveillante peut être en mesure de lire vos pages de compte après une connexion normale. L'activation de l'authentification à deux facteurs ne masque pas automatiquement vos soldes, vos commandes ou vos formulaires de retrait aux extensions ayant l'autorisation d'accéder à la page web. La vérification de connexion et les autorisations d'accès à la page web servent des objectifs différents.

4.1 Limiter l'accès « À tous les sites Web » à ce qui est réellement nécessaire

Dans Chrome, allez dans Extensions → Gérer les extensions → Détails pour consulter les autorisations d'accès aux sites d'une extension. Pour les outils qui n'ont pas besoin d'un accès continu aux pages web, choisissez l'option qui permet l'accès uniquement lorsque vous cliquez sur l'extension, si disponible. Pour les outils qui ne servent que quelques sites web, restreignez l'accès à ces sites spécifiques. Les noms exacts des options peuvent varier selon la version et la langue.

 

Un outil de lecture d'articles ne devrait pas avoir un accès permanent à votre plateforme d'échange et à votre e-mail simplement pour plus de commodité. Accordez l'accès uniquement lorsqu'il est nécessaire, plutôt que de le laisser activé en permanence sur tous les sites web.

4.2 Maintenez un environnement propre pour le trading et les e-mails

Séparez les activités de trading des tests de nouvelles extensions, du téléchargement d'outils inconnus et d'autres activités similaires. Pensez à utiliser un navigateur distinct sans extensions inutiles. Pour les transactions de haute valeur, envisagez d'utiliser un appareil dédié.

 

Ne protégez pas uniquement vos pages d'échange tout en permettant à de nombreux extensions d'accéder à votre compte e-mail lié. Votre boîte de réception peut recevoir des liens de réinitialisation de mot de passe, des alertes de sécurité et des messages de vérification, ce qui en fait une partie du processus de récupération de compte.

 

Le mode incognito ne garantit pas que les extensions sont désactivées. Chrome permet à des extensions individuelles de s'exécuter en mode incognito si vous les autorisez explicitement, donc vérifiez également ces paramètres.

4.3 Réévaluer la confiance lors de l'installation ou de la mise à jour

Avant d’installer une extension, vérifiez l’identité du développeur, confirmez que vous la téléchargez à partir d’une source officielle, et examinez sa description des fonctionnalités. Ne prenez pas votre décision uniquement en fonction de son nom, de son icône ou de ses notes. Supprimez les extensions que vous n’utilisez plus.

 

Si une mise à jour demande des autorisations supplémentaires, n'acceptez pas simplement ces autorisations pour restaurer la fonctionnalité. Lorsqu'une extension ajoute des autorisations qui déclenchent un avertissement, Chrome exige que les utilisateurs acceptent les nouvelles autorisations avant de la réactiver. Considérez cette invite comme une occasion de réévaluer l'extension, et non comme une confirmation routinière.

 

Posez-vous la question : pourquoi un outil qui n'affichait auparavant que le prix du marché a-t-il maintenant besoin d'accéder à davantage de sites web ou de permission pour lire le presse-papiers ?

4.4 Maintenez les mesures de sécurité au niveau du compte

Activez l'authentification à deux facteurs de la plateforme, le mot de passe de trading et toutes les restrictions d'adresse de retrait disponibles. Avant d'effectuer un retrait, vérifiez l'adresse complète du destinataire, le réseau et le montant auprès d'une source indépendante et fiable. Ne considérez pas deux affichages des mêmes informations sur une même page web comme deux vérifications indépendantes.

 

Si une adresse, un bouton ou un processus de vérification semble soudainement inhabituel, arrêtez ce que vous faites et vérifiez-le via les canaux officiels sur un appareil de confiance. Ne poursuivez pas les instructions sur une page suspecte pour « corriger votre compte ».

Si vous soupçonnez qu'une extension est malveillante, arrêtez de saisir vos mots de passe ou codes de vérification dans ce navigateur. Suivez les étapes suivantes dans l'ordre :

1. Arrêtez les activités sensibles et isolez l’environnement suspect. Ne continuez pas à vous connecter, à créer des clés API ou à effectuer des retraits. Enregistrez le nom, la version et la source de l’extension suspecte, puis désactivez-la ou supprimez-la. Fermez toutes les pages de compte ouvertes et quittez le navigateur. Vérifiez également votre appareil à la recherche d’autres logiciels suspects.

2. Utilisez un autre appareil de confiance pour vérifier votre compte et limiter les pertes potentielles. Utilisez l'application officielle ou accédez directement au site officiel pour consulter vos commandes, votre historique de retraits et vos paramètres de sécurité. Si vous constatez une activité non autorisée, contactez immédiatement le support client officiel et utilisez toutes les fonctionnalités disponibles de gel ou de restriction de compte.

3. Adresse potentiellement compromise : dans un environnement de confiance, modifiez tous les mots de passe qui pourraient avoir été exposés, révoquez les sessions de connexion suspectes, supprimez ou remplacez les clés API potentiellement compromises, et vérifiez la présence d'adresses de retrait ou de modifications des paramètres de sécurité inconnues. Effacer les cookies sur votre propre appareil n'annule pas une session détenue par un attaquant ; la session doit également être révoquée sur le serveur.

4. Vérifiez également votre compte e-mail lié. Examinez les récents connexions, les méthodes de récupération, les règles de transfert et les autorisations d'accès tiers. Après avoir sécurisé votre compte sur la plateforme d'échange, ne laissez pas votre e-mail lié accessible à quelqu'un d'autre.

Si vous avez saisi une phrase secrète de wallet ou une clé privée dans une extension suspecte, considérez ces identifiants comme compromis. Supprimer l’extension ou modifier le mot de passe de déverrouillage de l’application wallet ne rendra pas invalide une phrase secrète ou une clé privée exposée. Créez un nouveau wallet avec une phrase secrète nouvellement générée sur un appareil de confiance, puis transférez soigneusement les actifs concernés vers celui-ci.

Une extension peut ne proposer que la traduction, des alertes ou la saisie automatique, mais cela ne signifie pas que vous devez lui accorder l'accès à tous les sites web.

 

Avant de l’installer, demandez quel accès il nécessite. Pendant son utilisation, limitez les sites qu’il peut consulter. Si quelque chose semble anormal, quittez d’abord l’environnement suspect, puis prenez des mesures pour sécuriser votre compte.

 

Souvenez-vous : 

La description de la fonctionnalité vous indique ce que l'extension entend faire. Ses autorisations déterminent ce qu'elle est autorisée à faire. Protéger votre compte de trading commence par prendre chaque demande d'autorisation au sérieux.