La fausse page de sponsoring connaît déjà votre nombre d'abonnés
Il vous accueille avec vos propres miniatures. Votre nombre d'abonnés, votre total de vues, votre nombre de vidéos, tout est exact. Ce n'est pas une fuite, c'est l'API publique de YouTube, que n'importe qui peut interroger, mais l'effet sur un créateur qui lit une offre de sponsoring sur invitation est exactement celui que visaient les gens derrière amazonyt.com.
Stefan Dasic, de Malwarebytes, a documenté la campagne cette semaine. Le site se présente comme l'Amazon Artists Music Creator Portal et s'appuie sur quelque chose de réel: Amazon et YouTube ont bien annoncé un partenariat Shopping Affiliate en août. On y trouve un calculateur de revenus avec des formules et des options supplémentaires, et l'ensemble est traduit en neuf langues, dont l'espagnol, le portugais, l'indonésien, l'arabe, l'hindi et l'ourdou. Pour voir votre offre personnalisée, on vous demande de vérifier la chaîne avec Google.
Le bouton de vérification est le piège, et il est soigné. Il ne vous envoie nulle part. Il pose un cadre transparent provenant d'un second domaine, youtubechannelverification.com, par-dessus la page où vous vous trouvez déjà, si bien que la barre d'adresse continue d'afficher amazonyt.com pendant que vous tapez. Le formulaire récupère le mot de passe puis le code à deux facteurs. Ensuite, vous obtenez soit "Verification failed", soit un rassurant "Request received", selon le réglage choisi par les opérateurs ce jour-là.
Deux choses méritent d'être gravées quelque part. La connexion Google se fait sur une adresse Google et nulle part ailleurs, et YouTube ne demande jamais à un site tiers de vérifier votre chaîne. La barre d'adresse est la seule partie d'une page qu'un attaquant ne peut pas repeindre, alors lisez-la avant de taper plutôt qu'après. Si vous pensez avoir donné le mot de passe, changez-le et passez en revue les applications connectées à votre compte Google. La vérification confidentialité et comptes de Tendvane couvre les comptes connectés sur votre PC et les réglages qui les entourent, une étape suivante sensée.