Lorsque nous et les médias spécialisés avons signalé l'attaque Polyfill, les réactions ont été étonnamment modérées. Cela s'explique peut-être par le résultat visible : une simple redirection vers des sites obscurs. (Pour la chronologie complète, consultez notre chronologie complète de Polyfill.io.)
Mais, comme nous l'avons détaillé dans notre post-mortem, les conséquences potentielles sont bien plus graves :
« Ici, le mauvais acteur a choisi de ne rediriger les utilisateurs que vers des sites pour adultes et de paris, mais il aurait pu se passer bien pire. Écouter les frappes clavier sur un faible pourcentage de sessions en fonction de la géolocalisation et de l'heure, injecter des logiciels malveillants, miner des cryptomonnaies ou réécrire des boutons sur des sites pour rediriger vers des portails de paiement usurpés.
D'une simple redirection à la capture de données de carte bancaire, les attaques JavaScript côté client peuvent tout faire. L'attaque Polyfill aurait pu avoir un impact bien plus négatif — d'une certaine façon, nous avons eu de la chance. Que cela nous serve de rappel : nous devons surveiller nos scripts côté client. »
La réalité, c'est qu'il s'est probablement passé bien plus que ça.
Nouveaux éléments sur le transfert de domaine
Le domaine hébergeant le script a été vendu à une entreprise exploitée depuis la Chine appelée Funnull. Environ six semaines plus tard, les redirections ont commencé et l'incident a été reconnu comme une attaque. La société de sécurité Sansec a publié son analyse forensique de la charge utile de redirection. (La CVE-2024-38526 associée a été attribuée à pdoc, l'outil de documentation Python qui chargeait polyfill.io, et non à l'incident dans son ensemble.)
Récemment, une source non divulguée a révélé que le domaine polyfill[.]io — au cœur de l'attaque — avait été vendu pour une « somme qui change une vie ».
Le script Polyfill a été créé à l'origine par Andrew Betts et Jake Champion. Andrew Betts a publié un tweet (depuis supprimé) reconnaissant la vente et admettant qu'il n'avait aucune influence sur celle-ci.
Un autre utilisateur X, John Schulz, a découvert une annonce (depuis supprimée) de Funnull désignant Jake Champion comme la personne ayant transféré le domaine :
Took me a bit to find it, but here's the announcement pic.twitter.com/9sdSboOu7l
— John Schulz (@JFSIII) February 24, 2024
Un tweet désormais supprimé de Jake Champion confirme qu'il a personnellement transféré le domaine à Funnull.
Scénarios catastrophes possibles
L'attaque a été découverte parce que des utilisateurs étaient redirigés vers des sites pour adultes et de paris. Cependant, si le domaine a été vendu pour une « somme qui change une vie », il semble peu probable qu'il n'ait été utilisé que pour une exploitation aussi basique.
Pendant des semaines, cette attaque a touché un demi-million de sites web, dont Intuit, The Guardian, Hulu et The Verge.
Voici quelques scénarios catastrophes potentiels qui auraient pu être exécutés en prenant le contrôle d'un seul fichier JavaScript tiers.
Attaque DDoS
Les attaquants peuvent collecter les adresses IP des visiteurs sur un demi-million de sites web et exploiter leurs machines pour envoyer des requêtes vers n'importe quelle cible, créant ainsi l'une des plus grandes attaques DDoS jamais vues. Cela peut paralyser des institutions majeures, publiques comme privées, pendant des heures.
Attaque Workday
Les attaquants peuvent inciter des employés à partager leurs identifiants Workday, obtenant ainsi un accès non autorisé aux systèmes back-end ou en exfiltrant simplement leur jeton de session. Cela peut entraîner :
- La manipulation des fiches de paie
- Le vol de dossiers d'employés
- L'accès à des données RH sensibles
- … et bien plus encore
Réécriture du contenu d'une page web
Sur des sites d'information infectés, les attaquants peuvent réécrire le contenu pour :
- Provoquer des réactions ou de la panique
- Manipuler l'opinion publique
- Modifier les récits sur des sujets controversés
- … et bien plus encore
Capture de données personnelles et de coordonnées bancaires
Les attaques côté client récoltent souvent des informations personnellement identifiables (PII) et des données de paiement. Avec plus d'un demi-million de sites affectés, dont beaucoup disposent de formulaires de paiement, les attaquants peuvent dérober des données bancaires à grande échelle.
Infection d'autres sites web
Un site infecté peut héberger des scripts malveillants, permettant à l'attaque de se propager. Cette tactique complique les efforts de détection et de confinement. Cette technique est couramment utilisée dans les compromissions côté client, comme on l'a vu avec Schrwaa[.].com (lien sécurisé vers un article).
Minage de cryptomonnaies dans le navigateur
Le cryptojacking — forcer les navigateurs des utilisateurs à miner des cryptomonnaies — est une tactique bien documentée. Si elle est exécutée sur un demi-million de sites à fort trafic, les attaquants peuvent tirer d'immenses profits des millions de visiteurs quotidiens. Consultez les attaques BrowseAloud et Copay event-stream pour voir des exemples récents.
Un scénario cumulatif
Il est essentiel de souligner que ces scénarios ne sont pas isolés — ils peuvent se produire simultanément. Les redirections ont déjà eu lieu, mais les autres scénarios ont peut-être également été actifs.
Sans surveillance côté client, il est impossible de le savoir.
Pour être précis sur les preuves : la seule charge utile que les chercheurs ont capturée et décodée était la redirection. Une désobfuscation indépendante par SecureLayer7 n'a trouvé aucune preuve capturée de collecte d'identifiants, d'enregistrement des frappes clavier ou d'exfiltration de données personnelles, et la divulgation forensique de Sansec a documenté ce même comportement limité à la redirection. Les scénarios ci-dessus relèvent donc de la capacité, pas d'événements confirmés — mais comme le script était reconstruit à chaque requête, une variante de vol de données ciblé n'apparaîtrait jamais dans un scan public. Redirection : prouvée. Vol discret et ciblé : plausible par conception, jamais capturé.
C'est cette incertitude qui nous a poussés à créer cside. Même si nous ne pouvons pas voir chaque attaque à l'échelle mondiale, nous surveillons les scripts tiers sur votre site pour détecter et prévenir ce type d'attaques avant qu'elles ne nuisent à vos utilisateurs.
Espérons que la redirection était le pire de tout cela. Mais le fait que bien pire aurait pu se produire est une raison suffisante pour agir. En 2025, l'OFAC a sanctionné Funnull pour l'opération plus large derrière ce domaine, un rappel que les personnes qui le faisaient tourner n'étaient pas des amateurs. Protégez votre site en quelques secondes, gratuitement, en vous inscrivant dès aujourd'hui.
