Depuis le 04 Mars 2008, WebRankInfo, l’un des sites les plus connus dans le petit monde du référencement francophone renvoie sur une page de parking, au grand dam de son webmaster et de plusieurs milliers de WRInautes.

Un cracker a réussi à faire transférer le nom de domaine sur une page de parking en usurpant le compte Gmail du webmaster.

Je souhaite à Olivier Duffez de pouvoir récupérer son nom de domaine dans les plus brefs délais mais surtout profiter de cet exemple pour attirer l’attention des webmasters sur la faille qui a permis ce détournement.

Le code EPP ainsi obtenu, le pirate n’a eu aucune difficulté à transférer le nom de domaine chez un autre registrar et à le faire pointer vers son propre site, en l’occurrence une page de parking.

La mésaventure de David Airey, et aujourd’hui celle de WebrankInfo nous enseignent plusieurs choses :

 Gmail, mais aussi la plupart des services de mail en ligne, sont la cible de pirates qui cherchent soit à cracker le mot de passe soit à rerouter le courrier vers leur propre compte.

 La plupart des failles identifiées sur Gmail comme sur Yahoo ! mail et autres services similaires (webmail) sont à base de JavaScript : l’injection de code ou la récupération de mot de passe se fait lorsqu’on visite un site contenant un code JavaScript malicieux alors qu’on est connecté sur son compte webmail.

Il est donc judicieux de désactiver JavaScript dans son navigateur quand on se sert de ces services. Cela est facile à faire avec FireFox, mais pose d’autres problèmes car de nombreux sites (comme Google Adsense) ne fonctionnent qu’avec JavaScript activé.

 Une autre mesure de sécurité consiste à ne jamais garder une fenêtre ouverte sur son compte webmail : toujours se déconnecter de son compte après avoir consulté son courrier et avant d’aller naviguer sur d’autres sites.

Cette mesure réduit les risques, mais ne garantie pas une sécurité absolue : il existe de nombreux autres moyens de faire exécuter du code JavaScript de manière indétectable par les filtres, comme de l’insérer dans des images ou même des documents PDF attachés à des mails que vous ouvrez dans votre boite de réception.

En conclusion, pour éviter le détournement de nom de domaine, n’utilisez jamais un compte webmail (du type Gmail, Yahoo, Laposte ou autre) lors de l’enregistrement de votre nom de domaine, mais utilisez toujours un compte POP3, beaucoup plus sûr.