Comment un attaquant peut voler vos sessions via le local storage non chiffré de votre navigateur

Le local storage est une mémoire que le navigateur réserve à chaque site pour se souvenir de vos préférences (langue, thème, panier) ou de votre session de connexion. Le problème majeur est que ces données sont stockées en clair, sans chiffrement. N'importe quel code exécuté sur la page peut donc les lire et les exfiltrer.

L'attaque la plus courante est l'injection de code malveillant (XSS). Un attaquant insère un script dans un champ de commentaire ou de connexion. Lorsque vous chargez la page, ce code s'exécute dans votre navigateur, accède au local storage et vole les jetons de session. Résultat : l'attaquant accède à votre compte sans mot de passe ni double authentification.

Exemple : Si un site mal conçu stocke votre identifiant de session dans le local storage, un script injecté via un formulaire peut copier cette valeur et l'envoyer à un serveur distant. L'attaquant utilise ensuite ce jeton pour se faire passer pour vous.

Pour vous protéger : évitez les extensions douteuses, méfiez-vous des sites peu sécurisés et, si vous développez, ne stockez jamais de données sensibles dans le local storage.