Les cybercriminels inventent sans cesse de nouvelles tactiques pour piéger leurs cibles et exploitent les variantes typographiques comme les technologies émergentes pour bâtir des usurpations de noms de domaine convaincantes. Vous familiariser avec quelques stratégies courantes vous aide à préparer votre équipe à la prochaine arnaque de phishing par nom de domaine qui vous visera.
Vous trouverez ci-dessous dix stratégies courantes d’usurpation de noms de domaine. Connaître chacune d’elles nourrit votre threat intelligence des éléments nécessaires pour démasquer les attaquants. Chaque point comprend aussi une solution technique, proposée par nos experts en lutte contre le phishing.
1. Usurpation par domaine doppelgänger
Les doppelgängers, ces jumeaux identiques et inquiétants, apparaissent souvent dans les films d’horreur et les histoires de fantômes. Il en va de même pour les sites de phishing, où les domaines doppelgängers semblent identiques à un nom de domaine pleinement qualifié (FQDN) légitime. Ces usurpateurs omettent toutefois le point décisif entre l’hôte ou le sous-domaine et le domaine, imitant ainsi un FQDN à des fins malveillantes.
Exemples pour genericdomain.com
- www-genericdomain.com
- wwwgenericdomain.com
Solution : Vous pouvez arrêter ces doppelgängers de façon réactive ou proactive. Les approches réactives consistent à demander aux bureaux d’enregistrement ou à d’autres autorités de supprimer ces domaines suspects, tandis que les entreprises proactives enregistrent ou bloquent les domaines et sous-domaines dangereux avant qu’ils ne tombent entre les mains d’un cybercriminel.
2. IDN Spoofing
IDN signifie Internationalized Domain Names. Dans ce type d’attaques, les cybercriminels exploitent les alphabets internationaux pour piéger leurs cibles. Comme les IDN prennent en charge des lettres issues d’écritures telles que le cyrillique, le grec, l’arabe et le chinois, plusieurs caractères d’alphabets différents ressemblent à ceux de l’alphabet anglais. On y trouve souvent l’alpha grec à la place du a anglais, ou le ie cyrillique à la place de son équivalent anglais. Dans les attaques par homoglyphes IDN, les cybercriminels substituent volontairement des caractères sosies pour imiter des domaines légitimes.
Exemples pour genericdomain.com
- genericdօmain.com
- genericdomαin.com
Solution : Pour prendre les auteurs d’IDN spoofing de vitesse, vous devez rechercher les domaines visuellement les plus trompeurs autour de votre marque. Vous pourrez ensuite bloquer ou enregistrer les actifs qui semblent vulnérables à une attaque de spoofing.
3. Usurpation homographique
En linguistique, les paires de caractères qui se ressemblent portent le nom d’homographes. Par exemple, la ressemblance entre le l minuscule et le chiffre 1 trouble souvent les lecteurs.
Il en va de même pour le O majuscule et le chiffre 0. Les attaquants exploitent délibérément cette confusion dans leurs tactiques de spoofing de noms de domaine.
Exemples pour genericdomain.com
- genericclomain.com
- Genericdonnain.com
Solution : Veillez à connaître tous les domaines disponibles comportant des homographes susceptibles de dérouter votre trafic en ligne. Vous pourrez ensuite les examiner et enregistrer les actifs si nécessaire.
4. Typosquatting
Tout le monde fait des erreurs, surtout quand on écrit ou tape dans l’urgence. L’usurpation par typosquatting tire parti de ces erreurs et enregistre des domaines autour des fautes de frappe courantes visant les marques ciblées. Ces variantes se fondent sur la proximité des touches et sur les fautes fréquentes selon les dispositions de clavier.
Exemples pour genericdomain.com
- genericdomian.com
- genericdimain.com
Solution : Là encore, les entreprises proactives recherchent généralement les fautes de frappe courantes autour de leur marque, avec des solutions intelligentes comme le Corporate Domain Management, par une recherche manuelle ou par des demandes de retrait réactives.
5. TLD Squatting
Des criminels rusés enregistrent des noms identiques à celui de la marque visée, mais sur une autre extension (TLD). Les instances de gouvernance d’internet, l’ICANN (Internet Corporation for Assigned Names and Numbers) et l’IANA (Internet Assigned Numbers Authority), ont créé plus de 1 500 extensions, ce qui laisse de nombreuses possibilités aux attaquants pour usurper des marques légitimes. Des réseaux de phishing pourraient usurper votre marque sur des extensions pays comme .SU (Union soviétique) ou des extensions génériques comme .zip et .xyz.
Exemples pour genericdomain.com
- genericdomain.cm
- genericdomain.co
- genericdomain.pk
Solution : En bonne pratique de stratégie numérique, les entreprises devraient enregistrer les domaines de chaque pays où elles opèrent et partout où elles détiennent des marques. Vous pouvez aussi enregistrer la principale gTLD (extension générique) de votre marque et souscrire à des listes de blocage telles que TMCH, DPML et Adult Block.
6. Combosquatting
Les marques accompagnent généralement leurs clients avec différentes ressources numériques et enregistrent souvent des domaines qui associent leur nom d’entreprise au nom d’un service. Ces combinaisons ouvrent un autre vecteur de spoofing pour les attaques de phishing.
Le combosquatting se produit quand les attaquants créent des variantes de la cible où un mot générique comme support ou un nom de pays apparaît dans le nom de domaine.
Exemples pour genericdomain.com
- genericdomain.com
- genericdomain-france.com
- genericdomaingermany.com
Solution : Passez en revue la liste des mots les plus utilisés dans l’espace des noms de domaine et enregistrez le nom si nécessaire.
7. Levelsquatting
Cette attaque simple mais efficace reprend un site existant et enregistre la même chaîne avec un sous-domaine supplémentaire. Pour un œil non averti, ces sous-domaines ressemblent à des extensions légitimes, auxquelles on peut confier ses identifiants ou ses coordonnées bancaires. Un visiteur pressé peut même ne pas remarquer le sous-domaine et tomber dans une attaque de phishing malveillante.
Exemples pour genericdomain.com
- genericdomain.com.shady-domain.net
Solution : Les entreprises trouvent des réponses techniques au levelsquatting en surveillant des sources comme le DNS passif et les certificats SSL.
8. Détournement de sous-domaine
Les services cloud profitent aux entreprises comme à leurs utilisateurs, mais là encore, les attaquants visent les sous-domaines pour détourner le trafic. Le détournement de sous-domaine utilise le nom de domaine dans un sous-domaine d’un service cloud afin de générer des usurpations crédibles.
Exemples pour genericdomain.com
- genericdomain.azurewebsites.net
- genericdomain.atlassian.com
- genericdomain.gitlab.com
- genericdomain.wix.com
Solution : De la même façon, les entreprises peuvent surveiller des sources comme le DNS passif et les certificats SSL pour détecter le détournement de sous-domaine.
9. Domain shadowing et usurpation de sous-domaines
Au-delà des attaques directes contre leur public, les attaquants visent aussi les entreprises et leurs administrateurs de noms de domaine. Pirater le compte d’un administrateur permet à un criminel de créer plusieurs sous-domaines dans le domaine pour échapper à la détection.
Exemples pour genericdomain.com
- suspicious.genericdomain.com
Solution : Se défendre contre le domain shadowing exige des mesures de sécurité solides sur les noms de domaine, notamment la 2FA, des restrictions d’IP, la validation à quatre yeux, des journaux d’activité et davantage. Vous en apprendrez plus sur chacune de ces stratégies, et sur la façon de les mettre en place dans votre entreprise, dans la checklist de cybersécurité des noms de domaine de notre CTO.
10. Soundsquatting
Enfin, il importe de reconnaître aussi la place des technologies émergentes dans la lutte contre les usurpations de noms de domaine. Les cybercriminels exploitent également les objets connectés et la commande vocale, et enregistrent des domaines de phishing qui sonnent comme leurs cibles, en plus de leur ressembler.
Recourir aux homophones permet donc à un attaquant de piéger des visiteurs peu familiers de l’anglais écrit ou qui s’appuient sur des assistants vocaux.
Exemples pour genericdomain.com
- jenericdomain.com
- generikdomain.com
- genericdomane.com
Solution : Régler cette dernière tactique demande aussi de la recherche et du travail manuel, ou l’appui d’experts en Corporate Domain Management. Les entreprises solides doivent détecter tous les domaines les plus trompeurs à l’oreille qui imitent leur marque. Après avoir vérifié chaque correspondance sonore, vous pouvez bloquer les attaques de phishing en enregistrant des domaines sur l’ensemble des vecteurs d’usurpation possibles.
Conclusion
Comprendre ces stratégies courantes de phishing par nom de domaine vous aide à bâtir une solide conscience de base des menaces qui pèsent sur votre entreprise. La connaissance abstraite ne vous mène toutefois qu’à un certain point. Des démarches proactives comme former votre équipe, détecter les menaces liées aux noms de domaine et éliminer les usurpations créent un environnement sûr et productif pour vous comme pour vos clients.
