Domaines sosies : repérer l’hameçonnage avant le premier e-mail

Les campagnes d’hameçonnage les plus efficaces contre les petites entreprises ne piratent rien. Quelqu’un enregistre votresocitee.fr, attend quelques jours pour que le domaine ne soit plus tout neuf, installe un serveur de messagerie et écrit à vos clients, ou à votre propre comptable, depuis compta@votresocitee.fr. Le message a l’air juste parce qu’il l’est : l’attaquant a copié votre signature dans un e-mail public. Seul le domaine est faux, à deux lettres près.

Comme l’attaquant a besoin du domaine avant tout le reste, l’enregistrement est le tout premier signal que vous aurez, en général des jours ou des semaines avant le premier message. Le surveiller ne coûte presque rien. Perimetry le fait à chaque audit.

Les dix façons de varier un domaine

À partir de exemple.fr, la liste des candidats se construit mécaniquement :

Technique	Exemples
Autres extensions	`exemple.com`, `exemple.net`, `exemple.org`, `exemple.io`, `exemple.shop`
Omission	`exmple.fr`, `exempl.fr`
Inversion	`exepmle.fr`, `exmeple.fr`
Répétition	`exeemple.fr`, `exemplle.fr`
Caractères qui se ressemblent	`exemp1e.fr` (un 1 pour le l), `exernple.fr` (rn pour m), `exemp
Voyelle changée	`example.fr`, `exomple.fr`
Mots ajoutés	`exemple-connexion.fr`, `exemple-support.fr`, `monexemple.fr`, `exemple-paiement.fr`
Touches voisines	`wxemple.fr`, `exempme.fr`
Trait d’union	`ex-emple.fr`, `exem-ple.fr`
Point de sous-domaine	`exem.ple.fr`, `ex.emple.fr`

Un seul domaine produit entre 150 et 300 candidats plausibles. Presque tous sont libres, ce qui est une bonne nouvelle et ce qui rend le contrôle rapide : un domaine libre n’a pas de serveurs de noms, et une requête DNS le dit en quelques millisecondes sans interroger le bureau d’enregistrement.

Ce que « enregistré » veut dire, et ce que ça ne veut pas dire

Perimetry signale un candidat comme enregistré quand il a des serveurs de noms. C’est le premier signal, pas une preuve de malveillance. Beaucoup de sosies sont enregistrés par des investisseurs en noms de domaine qui les garent avec de la publicité, par des concurrents, ou par votre propre entreprise il y a des années. Le rapport ajoute donc deux informations à chaque sosie enregistré :

A-t-il un serveur de messagerie ? Un enregistrement MX sur un domaine sosie signifie que quelqu’un compte envoyer ou recevoir des e-mails en son nom. C’est la configuration dont une campagne d’hameçonnage a besoin, et dont un domaine parqué n’a pas besoin.
A-t-il un site ? Le rapport indique si le domaine répond en HTTPS et quel est le titre de la page. Une copie de votre propre page d’accueil ne trompe pas.

Un sosie avec une messagerie configurée et un site copié est un constat de gravité élevée. Un domaine enregistré sans l’un ni l’autre est de gravité moyenne : à regarder, sans urgence.

Ceux qui vous appartiennent

Beaucoup d’entreprises enregistrent par précaution quelques variantes et les font pointer vers leur site principal. Perimetry vous permet de les déclarer comme vôtres : elles sortent alors de la liste des sosies et sont vérifiées comme vos propres domaines, y compris sur le refus correct des e-mails (voir SPF, DKIM et DMARC, partie « Les domaines qui n’envoient jamais d’e-mails »). Un domaine enregistré par précaution qui accepte des e-mails est un domaine qu’un attaquant n’a même pas besoin d’acheter.

Quand un nouveau sosie apparaît

Perimetry retient quels sosies étaient enregistrés lors de l’audit précédent. Un domaine libre la semaine dernière et enregistré cette semaine apparaît dans la partie « changements » du rapport, avec ses serveurs de noms, son serveur de messagerie et sa page web. C’est le moment d’agir, dans cet ordre :

Regardez qui l’a enregistré. La fiche WHOIS est en général masquée, mais le bureau d’enregistrement et la date d’enregistrement sont visibles. Un enregistrement d’il y a deux jours derrière un service d’anonymat, avec une messagerie déjà configurée, n’a rien à voir avec un domaine parqué depuis cinq ans.
Prévenez les personnes visées. Votre service comptable, vos clients, vos fournisseurs. Un court message (« nous ne vous écrirons jamais depuis un autre domaine que exemple.fr ; si vous recevez quelque chose d’une adresse ressemblante, appelez-nous ») ne coûte rien et déjoue la plupart des campagnes.
Bloquez-le sur votre passerelle de messagerie. Ajoutez le sosie à la liste de blocage de votre organisation pour que personne en interne ne reçoive ses e-mails.
Signalez-le. Si le domaine héberge une copie de votre site ou une page de connexion, signalez-le à l’adresse d’abus du bureau d’enregistrement et à l’hébergeur. La plupart retirent un hameçonnage évident en moins d’un jour. Google Safe Browsing et Microsoft SmartScreen acceptent aussi les signalements ; une fois listé, les navigateurs avertissent les visiteurs.
Envisagez une procédure. Pour un domaine qui utilise votre marque et vise vos clients, la procédure UDRP (et ses équivalents pour les extensions nationales, comme Syreli pour le .fr) aboutit en général, mais elle prend des semaines et coûte plus cher que le domaine. Gardez-la pour les domaines qui restent en ligne.

Ce que vous ne pouvez pas faire, et quoi faire à la place

Vous ne pouvez pas enregistrer toutes les variantes : la liste est sans fin et les extensions se multiplient chaque année. Enregistrez celles qui comptent (votre nom en .com, .net, l’extension nationale de chaque pays où vous travaillez, les deux ou trois fautes de frappe les plus probables) et surveillez le reste.

Vous ne pouvez pas empêcher quelqu’un d’enregistrer un sosie. Vous pouvez faire en sorte qu’il ne serve à rien : publiez une politique DMARC stricte sur votre vrai domaine pour que les attaquants ne puissent pas simplement falsifier votre adresse et doivent passer par un sosie, qui se voit ; et dites une fois, par écrit, à vos clients quel est votre domaine.

À quoi ressemble le rapport

Nouveau domaine sosie enregistré : votresocitee.fr — élevée Enregistré depuis l’audit de cette semaine (serveurs de noms chez un bureau d’enregistrement axé sur l’anonymat). A un serveur de messagerie (mx1.example-host.net) et répond en HTTPS avec le titre « Votre Société — Connexion ». À traiter comme un hameçonnage en préparation : prévenez clients et équipe, bloquez le domaine sur votre passerelle de messagerie, signalez-le au bureau d’enregistrement et à l’hébergeur.

Les candidats qui restent libres ne sont pas listés : ils noieraient les quelques-uns qui comptent.