Domaines sosies et typosquatting : repérer un domaine créé pour usurper votre identité

Un domaine sosie est un nom de domaine enregistré pour ressembler au vôtre au premier coup d'œil : examp1e.com au lieu de example.com, example-billing.com, example.co, ou une variante qui remplace une lettre latine par un caractère similaire d'un autre alphabet. Le typosquatting en est la forme la plus ancienne : quelqu'un enregistre le domaine sur lequel tombent vos clients lorsqu'ils font une faute de frappe.

La plupart de ces enregistrements sont inoffensifs ou simplement parqués. Ceux qui comptent ont des serveurs de messagerie configurés, un certificat TLS ou une page web qui copie votre charte graphique. Ce sont ces domaines qui servent à envoyer de fausses factures en votre nom, à héberger une fausse page de connexion ou à recueillir des e-mails qui vous étaient destinés.

La bonne nouvelle : vous pouvez les trouver vous-même en quelques commandes, et il existe une démarche claire pour faire supprimer les plus dangereux.

Comment sont construits les domaines sosies

Attaquants et opportunistes utilisent une poignée de schémas prévisibles :

• Substitution de caractères : 1 pour l, 0 pour o, rn pour m (exarnple.com).
• Omission et répétition : une lettre manquante ou doublée (exmple.com, exaample.com).
• Mots ajoutés : example-login.com, example-support.com, secure-example.com.
• Autres extensions : example.co, example.net, example.io.
• Homoglyphes : des noms de domaine internationalisés qui utilisent des caractères cyrilliques ou grecs dont le rendu est presque identique aux lettres latines. Dans le DNS, ils apparaissent en Punycode et commencent par xn--.
• Astuces de sous-domaine : example.com.account-verify.net, où le vrai domaine enregistré est la partie finale.

Comme ces schémas sont prévisibles, on peut les générer et les vérifier automatiquement.

Comment rechercher vous-même les sosies

L'outil open source dnstwist génère des permutations de votre domaine et vérifie lesquelles existent réellement. Un bon premier passage n'affiche que les variantes enregistrées :

dnstwist --registered example.com

Pour voir lesquelles servent une page proche de la vôtre, il peut comparer le HTML de chaque site avec le vôtre grâce au hachage flou :

dnstwist --lsh example.com

Pour chaque sosie enregistré, regardez 3 éléments :

1. Les enregistrements de messagerie. Un sosie doté d'enregistrements MX peut recevoir des e-mails. Vérifiez avec dig MX examp1e.com +short. C'est la capacité à gérer du courrier qui transforme un domaine parqué en outil de fraude à la facture.
2. Les certificats. Un certificat émis pour le sosie indique que quelqu'un compte servir du HTTPS depuis ce domaine. Les journaux Certificate Transparency enregistrent les certificats émis et vous pouvez les consulter sur crt.sh. Notre article sur les journaux Certificate Transparency explique comment.
3. Le contenu. Ouvrez le site dans un navigateur isolé ou vérifiez-le avec un service de capture d'écran. Une copie de votre logo, de votre formulaire de connexion ou de votre portail de facturation est le signal le plus clair.

Répétez ensuite la vérification régulièrement. Un sosie enregistré le mois dernier et silencieux aujourd'hui peut obtenir des enregistrements MX et une page de connexion demain.

Quels constats méritent une action

Toutes les variantes n'appellent pas une réaction. Une façon raisonnable de les trier :

• Surveiller : enregistré, parqué, sans MX, sans certificat. Notez-le et revérifiez plus tard.
• Examiner : enregistrements MX présents, ou certificat récent, ou date d'enregistrement datant de quelques semaines.
• Agir maintenant : une page qui imite votre marque, un formulaire de connexion, ou des signalements de clients ou de collaborateurs ayant reçu des e-mails de ce domaine.

Si un sosie envoie des e-mails en votre nom, indiquez aussi à votre service comptable et à vos clients clés quel domaine surveiller. Un court message (« nous ne facturons que depuis example.com ») évite plus de dégâts que n'importe quelle procédure de retrait.

Faire supprimer un domaine sosie

Pour une page d'hameçonnage active, commencez par les voies les plus rapides :

• Signalez l'URL à Google Safe Browsing et à Microsoft, afin que les navigateurs commencent à avertir les visiteurs.
• Signalez-la au bureau d'enregistrement du domaine. Les bureaux d'enregistrement accrédités par l'ICANN doivent publier un contact abus et, selon le Registrar Accreditation Agreement de 2013 (section 3.18), prendre des mesures raisonnables et rapides pour examiner les signalements d'abus.
• Signalez-la à l'hébergeur indiqué par l'adresse IP du site.

Pour un domaine qui porte atteinte à votre marque sans être manifestement malveillant, la voie habituelle pour les extensions génériques est la procédure UDRP (Uniform Domain Name Dispute Resolution Policy). Le requérant doit démontrer que le domaine est identique ou similaire au point de prêter à confusion avec une marque sur laquelle il a des droits, que le titulaire n'a aucun droit ni intérêt légitime sur ce domaine, et qu'il a été enregistré et est utilisé de mauvaise foi. Les mesures possibles sont la radiation ou le transfert du domaine. C'est une démarche juridique : impliquez votre avocat.

Notre article sur les fausses pages de connexion utilisant votre marque détaille la procédure de retrait.

Limiter les dégâts en amont

Vous ne pouvez pas empêcher quiconque d'enregistrer des domaines, mais vous pouvez rendre les sosies moins utiles :

• Enregistrez les variantes évidentes de votre domaine principal : les fautes de frappe les plus courantes et les extensions que vos clients sont susceptibles de taper.
• Publiez une authentification e-mail stricte sur votre vrai domaine. SPF, DKIM et une politique DMARC quarantine ou reject n'arrêteront pas un sosie, mais ils empêchent l'usurpation exacte de votre propre domaine et ne laissent à l'attaquant que le sosie. Voir SPF, DKIM et DMARC expliqués.
• Convenez d'une vérification des paiements. Tout changement de coordonnées bancaires est confirmé par téléphone, à un numéro que vous connaissez déjà, jamais à celui indiqué dans l'e-mail.
• Indiquez à vos clients vos domaines officiels sur votre site et sur vos factures.

Liste de contrôle

• Lancez dnstwist --registered sur chacun de vos domaines.
• Pour chaque résultat, vérifiez les enregistrements MX, les certificats sur crt.sh et le contenu de la page.
• Signalez l'hameçonnage actif à Google, Microsoft, au bureau d'enregistrement et à l'hébergeur.
• Envisagez une procédure UDRP avec votre avocat en cas d'atteinte à la marque.
• Enregistrez les variantes clés et appliquez DMARC sur votre vrai domaine.
• Répétez la recherche de façon planifiée, pas une seule fois.

Comment Datahorses vous aide

Datahorses surveille votre entreprise depuis l'extérieur chaque jour, y compris les domaines nouvellement enregistrés qui ressemblent au vôtre, leur capacité à recevoir des e-mails et l'apparition d'une page imitant votre connexion. Nous n'entrons pas dans vos systèmes et n'avons besoin d'aucun accès. Quand quelque chose change, un spécialiste l'examine et vous recevez le constat avec des étapes claires, comme décrit dans ce qui se passe lorsque nous trouvons quelque chose. La liste complète figure dans ce que nous surveillons.