Typosquatting : les domaines sosies

Une fois votre domaine en DMARC p=reject, plus personne ne peut envoyer du courrier en se réclamant de vous. Alors on cesse d'essayer, et on enregistre quelque chose d'adjacent.

La partie inconfortable : l'attaquant contrôle entièrement ce nouveau domaine. Il peut y publier des enregistrements SPF, DKIM et DMARC irréprochables. Son courrier s'authentifie parfaitement, passe tous les contrôles techniques, et arrive en boîte de réception. L'authentification prouve qu'un message vient bien du domaine qu'il revendique — elle ne dit rien de la façon dont un humain lira ce domaine.

C'est pourquoi les sosies sont la suite naturelle d'un durcissement de la messagerie, et non un problème sans rapport. Améliorer sa posture déplace l'attaquant d'un caractère vers la gauche.

Toutes les variantes ne sont pas également convaincantes, et la différence compte pour le tri.

• Changement d'extension. Votre nom de marque exact sous un autre TLD : exemple.co, exemple.net, exemple.io. La plus convaincante de toutes, parce que le nom, lui, est parfaitement correct.
• Substitution de caractères. Des glyphes que l'œil ne sépare pas à vitesse de lecture : un l minuscule pour un i, rn pour m, 0 pour O.
• Omission, doublement, transposition. exemle.com, exeemple.com, exemlpe.com. Elles attrapent des erreurs de frappe plutôt que de lecture, ce qui les rend plus faibles pour une fraude ciblée et meilleures pour capter du trafic opportuniste.
• Combosquatting. Votre vrai nom plus un mot plausible : exemple-support.com, exemple-facturation.com, secure-exemple.com. Rien n'est mal orthographié, et c'est exactement pour cela que ça se lit comme légitime.
• Homoglyphes. Des caractères d'un autre alphabet au rendu identique, comme un а cyrillique à la place d'un a latin. Enregistrés en punycode, ils apparaissent dans le DNS avec un préfixe xn--. Les navigateurs récents affichent la forme punycode quand les alphabets se mélangent, ce qui émousse l'attaque dans la barre d'adresse — mais ne change rien dans un client de messagerie qui affiche un nom d'expéditeur.

Le changement d'extension et le combosquatting sont les deux qui méritent qu'on s'en préoccupe. Ce sont ceux qui survivent à un lecteur attentif.

Générez toutes les permutations d'un nom de marque et vous obtenez des centaines de domaines, la plupart enregistrés par personne, certains par des entreprises légitimes qui partagent quelques lettres avec vous. Remettez cette liste à une équipe sécurité : elle sera ignorée, ce qui est pire que de ne pas l'avoir produite.

Le filtre qui rend la liste exploitable repose sur deux questions.

Peut-il réellement être pris pour le vôtre ? Votre nom de marque exact sous une autre extension, ou une variante que l'œil ne rattrape pas. Un domaine qui partage quatre lettres avec vous n'est pas un sosie, c'est une coïncidence.

A-t-il été enregistré après votre domaine ? C'est la question qui sépare une menace d'un voisin, et celle que la plupart des outils sautent. Un domaine enregistré avant le vôtre ne peut pas avoir été créé pour vous imiter. Ce peut être un concurrent, une entreprise sans rapport, ou un squatteur arrivé le premier — rien de tout cela n'est une attaque contre vous.

C'est la règle qu'applique ReconScope : seuls les sosies capables de tromper ET enregistrés après votre propre domaine vous pénalisent. Les voisins d'orthographe antérieurs à votre marque sont listés à part et n'affectent jamais votre score. Un serveur mail seul n'est pas non plus retenu contre un domaine, puisque toute entreprise réelle en a un.

L'intérêt du filtre n'est pas l'élégance. C'est qu'une liste de six domaines est traitée, et qu'une liste de deux cents ne l'est pas.

Un domaine enregistré et dormant est une possibilité. Ces signaux en font quelque chose qui a un calendrier.

• Des enregistrements MX configurés. Le domaine peut recevoir et envoyer du courrier. Pour la fraude à la facture, c'est le prérequis, et sa présence sur un sosie récemment enregistré est le signal le plus fort que vous obtiendrez.
• Un certificat TLS émis. Visible dans les journaux de Certificate Transparency, souvent plusieurs jours avant que quoi que ce soit ne soit servi. Quelqu'un construit un site, il ne gare pas un nom.
• Une page de connexion qui ressemble à la vôtre. Collecte d'identifiants, visant vos clients ou vos équipes.
• Enregistrement récent, sur une période courte. Une infrastructure de fraude se loue pour des mois, pas pour une décennie.
• Enregistrement sous protection de la vie privée, combiné à ce qui précède. Assez courant pour être faible seul, significatif en compagnie.

Deux de ces signaux ou plus, sur un domaine ayant passé le filtre précédent, méritent une action dans la semaine.

Dans un ordre dicté par la rapidité plutôt que par le formalisme.

• Signalez au bureau d'enregistrement. Tout registrar a un contact abuse et est tenu de traiter les signalements. Joignez des preuves : la page frauduleuse, les en-têtes d'un message envoyé depuis le domaine, la ressemblance avec votre marque.
• Signalez aux services anti-phishing, Google Safe Browsing en premier. Un domaine signalé déclenche un avertissement rouge plein écran dans Chrome, Firefox et Safari, ce qui casse son efficacité plus vite que n'importe quelle procédure de retrait.
• Prévenez en interne. Votre équipe comptable est la cible de la fraude à la facture, et elle a besoin de savoir qu'un domaine précis circule, pas d'un rappel général à la vigilance.
• Prévenez vos clients si une page de connexion vous imite. Désagréable, et bien moins désagréable que l'alternative.
• Envisagez une procédure de règlement pour un domaine reproduisant une marque déposée : UDRP pour les extensions génériques, SYRELI pour le .fr. Plus lent et payant : cela convient à un cas persistant, pas à une première réponse.

Maintenez DMARC en p=reject pendant tout ce temps. Cela n'arrête pas le sosie, mais cela empêche l'attaquant d'usurper en plus votre vrai domaine, ce qui doublerait ses options sans lui coûter davantage.

L'instinct pousse à enregistrer toutes les variantes. L'arithmétique y met fin : des centaines de permutations sur des dizaines d'extensions, renouvelées chaque année, indéfiniment.

Achetez plutôt là où le risque se concentre :

• Votre marque exacte sous les extensions qui comptent pour votre marché. Pour une entreprise française, .com et .fr au minimum, plus .net et .eu si le budget le permet.
• Les deux ou trois substitutions de caractères qui trompent réellement à vitesse de lecture, ce qui fait une liste bien plus courte que celle d'un générateur.
• Les termes de combosquatting liés à l'argent : votre marque suivie de support, facturation, paiement, secure, dans vos langues de travail.

Faites pointer tout ce que vous achetez vers une redirection sur votre vrai site. Cela ne coûte rien de plus, retire définitivement le domaine de la circulation, et récupère discrètement le trafic de ceux qui se sont trompés en tapant.

Une douzaine de domaines à une dizaine d'euros par an couvre l'essentiel du risque réaliste. Au-delà, vous payez un loyer sur des possibilités, et cet argent est mieux employé à de la détection.