Les sites Web les plus populaires suivent vos frappes avant même que vous n’appuyiez sur la touche « Envoyer »

Une étude a révélé qu’un nombre surprenant de sites web de premier plan collectent les données que vous avez saisies, telles que des mots de passe ou des adresses électroniques, dans le cadre d’un processus d’inscription que vous ne terminez pas, même si vous n’avez pas appuyé sur “Envoyer”.

Des chercheurs de la KU Leuven, de l’université Radboud et de l’université de Lausanne ont examiné les 100 000 principaux sites web. Afin de déterminer si l’accès aux formulaires en ligne est utilisé à mauvais escient par les traqueurs en ligne, l’équipe a parcouru les sites web, tout en naviguant comme s’ils se trouvaient aux États-Unis et dans l’Union européenne. Selon l’étude, les principaux sites où les adresses électroniques sont divulguées aux domaines des trackers sont USAToday et The Independent, bien que les problèmes de ces deux sites aient été résolus depuis.

“Les adresses électroniques des utilisateurs sont exfiltrées vers des domaines de suivi, de marketing et d’analyse avant la soumission du formulaire et avant de donner leur consentement sur 1 844 sites web visités depuis l’UE et sur 2 950 sites visités depuis les États-Unis”, écrit l’équipe dans son étude, qui sera présentée à la conférence USENIX Security’22 sur la sécurité et la confidentialité.

Les sites eux-mêmes n’utilisent pas nécessairement les données, mais font appel à des services de marketing et d’analyse tiers qui le font. Cinquante-deux sites, dont le domaine russe de Toyota et le géant russe de la technologie Yandex, collectaient des données avant que les internautes n’aient cliqué sur le bouton “Envoyer”.

“S’il y a un bouton Soumettre sur un formulaire, on peut raisonnablement s’attendre à ce qu’il fasse quelque chose – qu’il soumette vos données lorsque vous cliquez dessus”, a déclaré à Wired Güneş Acar, professeur et chercheur au groupe de sécurité numérique de l’Université Radboud. “Nous avons été super surpris par ces résultats. Nous pensions que nous allions peut-être trouver quelques centaines de sites web où votre email est collecté avant que vous ne le soumettiez, mais cela a dépassé de loin nos attentes.”

Dans une étude de suivi, ils ont découvert que Meta et TikTok “collectent des informations personnelles hachées à partir de formulaires Web, même lorsque l’utilisateur ne soumet pas le formulaire et ne donne pas son consentement”.

En mars 2022, ils ont effectué d’autres recherches sur des sites Web, dans lesquels leur robot devait entrer des informations sur l’adresse électronique et le mot de passe, puis cliquer sur quelque chose pour quitter le site Web sans cliquer sur “Envoyer”. L’idée était de voir si ces informations remontaient à Meta et à la correspondance automatique avancée de TikTok, qui collecte les identifiants des données personnelles.

“Nous avons constaté que 8 438 (États-Unis) / 7 379 (UE) sites peuvent fuir vers Meta lorsque l’utilisateur clique sur pratiquement n’importe quel bouton ou un lien, après avoir rempli un formulaire”, écrivent-ils. “En outre, nous avons trouvé 154 (US) / 147 (UE) sites susceptibles de fuir vers TikTok d’une manière similaire.”

Lire aussi : Un script enregistre tout ce que vous tapez au clavier sur plus de 400 sites Web très populaires

Source : IFLScience – Traduit par Anguille sous roche