DoubleClickjacking : le nouveau piège qui peut vider vos comptes

Le DoubleClickjacking transforme votre double-clic en arme pour les hackers : en une fraction de seconde, la page modifie l’élément sur lequel vous validez, et vous autorisez à votre insu un paiement, une installation ou la prise de contrôle de votre compte. Popularisée par des chercheurs en sécurité, cette variante du clickjacking mise sur notre automatisme le plus ancré. Pour éviter que ce geste banal ne devienne catastrophique, voici un point complet sur le mode opératoire et les parades.

DoubleClickjacking : comprendre la mécanique

L’attaque repose sur un faux bouton “appât”. Entre vos deux clics, un script échange le visuel initial contre un formulaire critique exactement à la même position. Le second clic valide alors l’action que le pirate souhaitait.

Pourquoi les protections classiques échouent ?

Antivirus et filtres anti-phishing ne détectent pas toujours ces manipulations internes, car le code semble légitime pour le navigateur. Ce qui rend le DoubleClickjacking redoutable pour les internautes.

Aucune alerte visuelle

Tout se passe dans le DOM : aucun pop-up suspect, aucun téléchargement. L’utilisateur ne perçoit pas la substitution.

Cookies sécurisés et CSP limitées face au DoubleClickjacking

Des en-têtes comme « SameSite » ou des politiques CSP strictes bloquent les injections externes, mais pas la reconfiguration éclair orchestrée par le script local.

Les bons réflexes pour neutraliser le DoubleClickjacking

Adopter quelques outils et habitudes suffit souvent à rendre le piège inopérant.

• Bloquer les scripts non essentiels avec NoScript ou uBlock Origin en mode avancé.
• Freiner le double-clic réflexe : vérifiez toujours l’élément après le premier clic.
• Mettre à jour le navigateur pour bénéficier des nouvelles défenses contre la manipulation de frames et le DoubleClickjacking.
• Installer une suite de cybersécurité récente capable d’analyser les changements DOM en temps réel.
• Fuir les sites douteux : un cadeau trop généreux cache souvent un détournement de clic.

Que faire si vous avez déjà cliqué ?

D’abord, commencez par changer le mot de passe du service concerné. Puis activez la double authentification si disponible. Enfin, surveillez vos relevés bancaires, lancez un scan antivirus complet et vérifiez les extensions installées dans votre navigateur.

En ralentissant vos clics, en filtrant les scripts et en tenant vos logiciels à jour, vous privez le DoubleClickjacking des quelques millisecondes dont il a besoin pour dériver vos données personnelles.