Fausse fenêtre de connexion : le piège qui imite votre navigateur

Ce qui se passe à l’écran

Vous ouvrez un lien vers un document à lire. La page vous demande de vous connecter avec votre compte Microsoft pour y accéder, et cette fenêtre s’ouvre :

Vous saisissez votre mot de passe, puis le code reçu sur votre téléphone. Cette fenêtre n’a jamais existé, elle faisait partie de la page. C’est comme un guichet de banque peint sur un mur, avec la bonne enseigne, derrière lequel quelqu’un récupère ce que vous déposez.

La technique s’appelle « browser in the browser », le navigateur dans le navigateur. Elle imite les fenêtres « Se connecter avec… » que beaucoup de sites proposent vraiment, avec un compte Google, Microsoft, Apple ou Facebook. Lire l’adresse affichée dans la fenêtre ne prouve donc rien.

Un chercheur l’a décrite en 2022. Fin 2025, d’autres l’ont trouvée dans Sneaky 2FA, un outil d’hameçonnage vendu à des escrocs pour viser les comptes Microsoft. Elle a aussi servi contre des comptes Facebook.

Ce que l’escroc récupère

Votre mot de passe, mais parfois davantage. Avec certains de ces outils, la fausse fenêtre transmet en direct ce que vous saisissez au vrai service. Vous recevez donc un vrai code et vous vous connectez vraiment.

Le service crée alors une sorte de laissez-passer, le jeton de session, qui évite de redemander le mot de passe et le code à chaque page. Si l’escroc le copie, il peut entrer dans le compte sans passer par le code.

Sur ordinateur : essayer de sortir la fenêtre

Vous pouvez attraper la fenêtre par sa barre de titre et la tirer au-delà du bord de votre navigateur. Si elle reste bloquée dans la page, elle est fausse.

Si votre navigateur occupe tout l’écran, vous pouvez la tirer vers le haut, par-dessus la barre d’adresse. Une fausse fenêtre s’arrête sous cette barre.

Si elle passe, c’est une vraie fenêtre, ce qui ne prouve pas que le site est honnête. Son adresse, cette fois, est la vraie. Mieux vaut la lire avant de saisir quoi que ce soit.

Deux autres indices : une fausse fenêtre disparaît quand vous réduisez le navigateur et elle n’a pas sa propre entrée dans la barre des tâches.

Sur téléphone : repartir de zéro

Le test ne marche pas sur téléphone, où les fenêtres ne se déplacent pas. Le plus sûr est de ne rien saisir, de fermer la page, puis d’ouvrir vous-même l’application du service ou de taper son adresse dans le navigateur.

Le même réflexe vaut sur ordinateur dès que la demande de connexion arrive après un lien reçu par mail ou par SMS.

Ce qui tient, même face à une fenêtre réussie

1. Le gestionnaire de mots de passe. Il regarde l’adresse réelle de la page, pas celle qui est dessinée. S’il ne propose rien là où il remplit d’habitude, mieux vaut s’arrêter et ne pas recopier le mot de passe à la main. Il peut aussi rester muet sur un vrai site, donc son silence ne prouve rien, mais il invite à repartir de zéro.
2. La clé d’accès (ou « passkey »). Elle remplace le mot de passe. Votre téléphone ou votre ordinateur confirme que c’est vous, par une empreinte, votre visage ou un code, sans rien à saisir sur la page. Elle est liée au vrai site, donc un faux site ne peut pas s’en servir.
3. La clé de sécurité physique. Un petit objet à brancher ou à approcher du téléphone, qui vérifie lui aussi le site.

Si une page où vous utilisez d’habitude une clé vous réclame soudain un mot de passe ou un code, mieux vaut s’arrêter, car un faux site a intérêt à vous faire passer par là.

Les codes reçus par SMS ou affichés par une application ne bloquent pas ce piège, puisque vous les saisissez vous-même. La double authentification reste à activer, car elle arrête le mot de passe volé puis essayé automatiquement.

Si vous avez saisi quelque chose

1. Changer le mot de passe sur le vrai site, ouvert par vous-même, et partout où il servait.
2. Fermer les connexions ouvertes. Dans les réglages de sécurité du compte, vous pouvez déconnecter les appareils que vous ne reconnaissez pas. Changer le mot de passe peut ne pas suffire à couper un laissez-passer déjà volé.
3. Vérifier ce qui a pu être ajouté, comme un numéro ou une application de double authentification inconnus, une règle qui transfère ou supprime vos mails.
4. Signaler le faux site sur Phishing Initiative. Si vous avez saisi votre carte, le plus urgent est d’appeler votre banque pour faire opposition. Le guide arnaques après une fuite détaille chaque cas.

Sources

• mr.d0x, « Browser In The Browser (BITB) Attack », 15 mars 2022
• Push Security, « Analyzing the latest Sneaky2FA Browser-in-the-Browser phishing page », 18 novembre 2025
• BleepingComputer, « Sneaky2FA PhaaS kit now uses redteamers’ Browser-in-the-Browser attack », 19 novembre 2025
• Kaspersky, « Browser-in-the-browser attack: a new phishing technique », 25 avril 2022
• Kaspersky, « What a browser-in-the-browser attack is, and how to spot a fake login window », 4 mars 2026
• Tom’s Guide, « This “browser in browser” attack will steal your passwords », 21 mars 2022
• NIST, Digital Identity Guidelines, SP 800-63B-4 (résistance au phishing)
• Apple, « About the security of passkeys » ; FIDO Alliance, « Passkeys »
• Proofpoint, sur le retour forcé vers une méthode plus faible que la clé d’accès, 12 août 2025
• Microsoft Security, sur une campagne d’hameçonnage avec vol de session, 21 janvier 2026
• Cybermalveillance.gouv.fr, fiche réflexe « Hameçonnage »
• Les écrans de ce guide sont des reconstitutions d’après les captures publiées par des chercheurs.