Le typo-squatting consiste à enregistrer un nom de domaine très proche du vôtre pour tromper vos clients ou vos employés, généralement à des fins de phishing ou de vol d'accès. Simple à mettre en place, il reste l'un des vecteurs d'attaque les plus sous-estimés du moment.
Quand on parle de cybersécurité aujourd'hui, on pense souvent aux vulnérabilités courantes, aux services exposés, voire même au manque de MFA sur les accès critiques... Mais la cybersécurité est bien plus que ça ! Se contenter de la partie purement technique c'est se limiter là où l'attaquant, lui, utilisera tout ce qui est à sa portée pour réaliser son attaque.
C'est pourquoi je commence aujourd'hui cette série d'articles sur l'attaque, souvent incomprise voire inconnue, qu'est le typo-squatting.
En quoi elle consiste ? Quel est son impact concret ? Comment la détecter ? Suivez le guide !
Le typo-squatting, qu'est-ce que c'est ?
Le typo-squatting (ou typosquattage, ou typosquat, il y a beaucoup de variantes) est une technique très simple à mettre en place, et ne nécessite que peu de connaissances techniques. C'est d'ailleurs pourquoi elle est si redoutable !
Elle consiste à enregistrer un nom de domaine très proche de votre domaine d'origine. Tout simplement.
Une fois le domaine enregistré, l'attaquant n'a qu'à héberger un site web reprenant votre visuel et mener des campagnes à grande échelle pour cibler vos clients, ou vos employés, pour récupérer des données personnelles ou des accès à votre infrastructure.
L'ampleur du phénomène
Comme je le disais, cette technique est peu médiatisée. Et pourtant...
Les statistiques sont là :
- Plus de 30 000 domaines imitant les 500 sites les plus visités détectés entre février et juillet 2024, dont plus de 10 000 ont été confirmés malveillants (Zscaler ThreatLabz).
- Pour donner de la légitimité, 48,4% de ces domaines ont obtenu des certificats Let's Encrypt, légitimant la navigation (vous savez, le "petit bouclier vert" dans votre navigateur) (Zscaler ThreatLabz).
- L'APWG (Anti-Phishing Working Group) a recensé 1 003 924 attaques de phishing au premier trimestre 2025 (rapport APWG Q1 2025).
- Enfin, le temps de détection : on est en moyenne sur... 286 jours ! Avec, pour la moitié des cas, environ 6 semaines (étude sur l'abus de DNS pour le phishing).
Quand on sait qu'une fuite de données, ou une attaque, peut être effectuée en quelques secondes, il y a de quoi avoir le vertige !
Comment les attaquants procèdent ?
Il existe plusieurs techniques, souvent combinées entre elles :
- La faute de frappe : réserver un nom de domaine avec une lettre en trop, en moins, ou inversée. Wikipédia a par exemple contré une attaque sur le nom wikiepdia.org (cf. la page Wikipédia sur le typosquattage).
- L'homoglyphe : remplacer une lettre par une autre qui lui ressemble visuellement. Le classique : remplacer un "l" minuscule par un "I" majuscule, quasi indétectable à l'œil dans beaucoup de polices de caractères.
- L'ajout de mots rassurants : coller un mot qui inspire confiance ou urgence au nom de domaine. Dans mon cas, on pourrait voir lumerial-securite.fr ou lumerial-exploitation.fr.
- Le changement d'extension : garder le nom exact, changer juste le "top level domain", à savoir le .fr ou le .com à la fin du nom.
- Le sous-domaine trompeur : utiliser votre nom comme sous-domaine d'un autre domaine, pour que l'affichage paraisse légitime au premier coup d'œil. lumerial.securite-audit.fr.
Bien sûr, il est possible de mixer plusieurs cas. Par exemple, pour exemple.com, on pourrait envisager quelque chose comme "example-security.fr" (on a une faute de frappe, l'ajout d'un mot rassurant, et le changement d'extension...).
Détection et aspect juridique (qui fait mal)
Pour détecter cette attaque, la seule méthode efficace est la surveillance des enregistrements DNS. C'est efficace mais nécessite une vigilance de chaque instant.
Imaginez : rien que pour les domaines en .net et .com, il y a en moyenne 116 000 nouveaux domaines par jour. Si on inclut tous les TLD (extensions de domaine : .fr, .edu, .org, etc.), ce chiffre augmente drastiquement. C'est pourquoi il est primordial d'avoir une analyse automatisée des créations pour pouvoir réagir au plus vite.
Et légalement, on peut faire quelque chose ? En France, il n'existe aucune sanction pénale spécifique au typosquatting : une proposition de loi en 2007 prévoyait jusqu'à 45 000€ d'amende et deux ans de prison pour les domaines en .fr, mais elle n'a jamais été votée. Le seul texte existant, un décret de 2007, se contente d'encadrer la base de données des titulaires de noms de domaine, sans prévoir de peine.
Il reste deux voies de recours concrètes :
- La voie judiciaire (contrefaçon, concurrence déloyale, parasitisme), utile si le domaine pirate concurrence directement votre activité.
- La voie extrajudiciaire, plus rapide et sans avocat : la procédure UDRP de l'ICANN pour les .com/.net/.org (1 500 à 5 000$ à la charge du plaignant), ou Syreli/PARL Expert auprès de l'Afnic pour les domaines en .fr.
Autant dire que réagir après coup reste long et coûteux. D'où l'intérêt de détecter ces domaines avant qu'ils ne soient exploités, plutôt qu'après.
Quelques mesures immédiates
Mon but, avec ce billet de blog, n'est pas tant de vous lister des informations que vous pouvez trouver en ligne au besoin, mais aussi de vous donner quelques pistes pour agir immédiatement sur votre infrastructure. Quelques conseils pour cela :
- Évidemment, le premier réflexe : tenter de trouver si des domaines proches du vôtre ont été enregistrés. Avec les éléments mentionnés plus haut, vous pouvez tenter de trouver des variantes de votre nom de domaine, et ensuite interroger des services Whois (comme whois.com) afin de voir si ces variantes sont déjà connues.
- Il est aussi possible de chercher, dans les enregistrements de certificats, si des domaines proches du vôtre ont obtenu un certificat dernièrement. Le site crt.sh permet de consulter ces journaux de Certificate Transparency directement depuis un navigateur, sans rien installer. Pour automatiser la recherche, l'outil en ligne de commande CTFR fait le même travail plus rapidement, si vous êtes à l'aise avec ça.
- Ensuite, pour se protéger de l'usurpation d'email, il faut vérifier vos enregistrements SPF, DKIM et DMARC : trois protocoles qui permettent aux serveurs de messagerie de vérifier qu'un email prétendant venir de votre domaine a bien été envoyé par vous, et de rejeter ou signaler les autres.
- Enfin, pour protéger votre environnement, la formation des équipes aux risques d'usurpation et d'attaque par ingénierie sociale est primordiale. C'est en s'entraînant que l'on devient vigilant !
Bien sûr, ce ne sont que des exemples de ce qui peut être entrepris. La protection contre ce type d'attaque requiert surtout une vigilance de tous les instants.
Pour conclure
Le typo-squatting a tout ce qu'il faut pour faire des dégâts : simple à mettre en place, difficile à détecter à temps (286 jours en moyenne, rappelez-vous), et quasiment sans filet légal en France une fois que le mal est fait. La bonne nouvelle, c'est que la seule vraie protection, la surveillance continue des nouveaux domaines et certificats ciblant votre marque, n'a rien de sorcier à mettre en place. Elle demande juste de la constance, ce qu'un humain ne peut pas tenir seul face à 116 000 nouveaux domaines par jour.
Alors pourquoi aborder cette vulnérabilité en premier lieu dans cette série d'articles ? Parce que je pense sincèrement que la dimension phishing est encore trop souvent relayée au second plan, alors qu'elle reste, dans la majeure partie des attaques ces derniers temps, un des vecteurs principaux !
Et bien sûr, si vous voulez en savoir plus, ou un accompagnement particulier ? N'hésitez pas à me contacter !
