Que sont les applications mobiles WebView et comment fonctionnent-elles ?
Les applications WebView sont des applications web qui se comportent comme des applications mobiles, mais qui s'exécutent en réalité dans un environnement de navigateur installé sur l'appareil de l'utilisateur. Il s'agit d'un vecteur d'attaque discret, particulièrement propice au vol d'identifiants au sein des applications bancaires WebView.
Une application mobile WebView est souvent confondue avec une Progressive Web Application (PWA), mais elles présentent quelques différences.
Les deux sont principalement utilisées pour simplifier la prise en charge multiplateforme. Plutôt que de développer essentiellement les mêmes fonctionnalités sur plusieurs infrastructures front-end, il est désormais possible de tout faire sur une seule. Elles sont également plus légères à exécuter et à mettre à jour.
Pourquoi les applications bancaires sont-elles une cible majeure pour le vol d'identifiants ?
Les applications bancaires construites sous forme de WebViews sont une cible facile, car elles donnent un accès direct à l'argent. Une fois la session détournée (ou les identifiants volés), les attaquants peuvent agir rapidement. Le chemin entre l'attaque et le butin est bien plus court qu'avec d'autres types d'attaques.
Quels sont les 2 types de vol d'identifiants sur les PWA bancaires ?
Il existe 2 façons dont le vol d'identifiants bancaires se produit sur les applications WebView. Dans les deux cas, les attaquants exploitent l'infrastructure basée sur le navigateur sur laquelle reposent les WebViews. Soit en ciblant de vraies applications bancaires PWA en y injectant des scripts malveillants (= attaques côté client), soit en créant de fausses applications bancaires (= hameçonnage).
Attaques côté client sur de vraies WebViews
Puisque WebView s'exécute dans un environnement de navigateur sur le téléphone, elles sont soumises aux avantages et aux inconvénients des attaques de navigateur. Ces environnements de navigateur sont également appelés le « client » de l'utilisateur — d'où le terme d'attaques côté client.
Le type d'attaques côté client le plus répandu est l'attaque de la chaîne d'approvisionnement web. C'est là que des outils tiers s'exécutant dans l'environnement du navigateur (outils marketing, pixels de suivi, etc.) sont compromis. Ils modifient alors ou ajoutent à la fonctionnalité du script pour intercepter le trafic, copier les champs de formulaire soumis, et toutes sortes d'autres types d'attaques.
Toutes ces attaques côté client sont possibles sur les WebViews.
Fausses WebViews utilisées dans des attaques d'hameçonnage
Qu'y a-t-il de mieux que d'essayer de compromettre une vraie application bancaire ? En créer une fausse. Ici, les attaquants créent des copies d'applications bancaires WebView avec des fonctionnalités minimales. Puis, lors d'attaques d'hameçonnage, ils manipulent socialement les utilisateurs pour qu'ils téléchargent ces applications malveillantes. Dès qu'ils se connectent, les attaquants ont capturé les identifiants, et souvent même le 2FA.
Exemples de vol d'identifiants sur des WebViews bancaires
OTP Bank (2023)
Fin 2023, une attaque d'hameçonnage a ciblé avec succès OTP Bank (Hongrie). Les victimes ont reçu un SMS contenant un lien vers un faux site web imitant OTP Bank. La page incitait les utilisateurs à installer une application — une WebView dans ce cas.
Dès que les utilisateurs ont tenté de se connecter, les attaquants avaient réussi à dérober leurs identifiants et leurs codes 2FA.
TBC Bank (2023-2024)
TBC Bank en Géorgie a subi une attaque de fin 2023 jusqu'en 2024. Dans cette attaque, les utilisateurs étaient ciblés par des appels vocaux et des publicités sur les réseaux sociaux. Là aussi, une page d'atterrissage avec une fausse invite d'installation de PWA poussait les utilisateurs à télécharger l'application malveillante. Tous les identifiants ont été capturés et utilisés par les attaquants.
Lisez l'histoire d'OTP Bank et de TBC Bank ici.
British Airways (2018)
Dans l'attaque côté client la plus notoire à ce jour, leur application mobile était également impliquée. 429 612 transactions clients ont été interceptées, dont la grande majorité a vu ses identifiants bancaires dérobés. L'application de BA était également une WebView, à l'exception d'un service worker (et d'un manifeste installable), ce qui signifiait qu'elle n'était techniquement pas installable ni capable de fonctionner hors ligne comme une WebView complète. Mais à toutes fins pratiques, c'en était une.
Nous avons rédigé l'histoire complète sur le microsite baways.
