Domaine sosie : comment fonctionne le typosquatting et comment le détecter

Un domaine sosie est un nom de domaine enregistré pour ressembler au vôtre, au point qu'un lecteur pressé ne voit pas la différence : dupont-imo.fr au lieu de dupont-immo.fr, ou acme-properties.co au lieu de acme-properties.com. On parle de typosquatting et, lorsque l'objectif est de se faire passer pour votre entreprise dans un e-mail, d'usurpation de nom de domaine.

Cet article détaille les techniques des fraudeurs, explique pourquoi un sosie équipé d'un serveur de messagerie passe en priorité, ce que révèlent les enregistrements DNS publics, et comment détecter un domaine frauduleux sans jamais ouvrir son site.

Qu'est-ce qu'un domaine sosie ?

Vos clients, fournisseurs et partenaires ont appris à faire confiance au domaine qui suit le @ de vos adresses e-mail. Le sosie emprunte cette confiance : c'est un autre domaine, détenu par quelqu'un d'autre, qui se lit comme le vôtre au premier coup d'œil.

Il ne faut pas le confondre avec l'usurpation directe de votre adresse (le spoofing), qui consiste à falsifier votre domaine exact dans le champ expéditeur d'un e-mail. Une politique DMARC sur votre propre domaine permet de bloquer cette usurpation-là (voir notre guide DMARC p=reject). Le sosie contourne cette protection : le fraudeur envoie depuis un domaine qui lui appartient réellement. Ses e-mails peuvent donc passer les contrôles d'authentification, qui prouvent quel domaine a envoyé le message, et non que ce domaine est le vôtre.

Un nom de domaine similaire n'est pas forcément malveillant : certains appartiennent à des revendeurs, d'autres dorment, d'autres encore sont à vous ou à une entreprise légitime au nom proche. Détecter les sosies, c'est donc les classer par niveau de risque, pas seulement les lister.

Comment les fraudeurs fabriquent un domaine sosie

La plupart des sosies proviennent d'un petit nombre de techniques, appliquées mécaniquement à votre nom. Avec dupont-immo.fr comme exemple :

• Omission : une lettre disparaît, comme dans dupont-imo.fr. En lecture rapide, le cerveau comble le manque.
• Inversion : deux lettres voisines échangent leur place, comme dans dupotn-immo.fr.
• Lettre doublée : une lettre est répétée, comme dans duppont-immo.fr.
• Faute de frappe : une lettre est remplacée par sa voisine sur le clavier, et les voisines dépendent de la disposition. En AZERTY, le m se trouve à côté du l (dupont-imlo.fr), en QWERTY, à côté du n (dupont-imno.fr). Vos clients français et étrangers ne font pas les mêmes fautes.
• Homoglyphe : un caractère est remplacé par un autre d'apparence identique, par exemple le chiffre 0 à la place de la lettre o (dupont-imm0.fr), ou une lettre cyrillique à la place de sa jumelle latine. Notre article sur l'attaque par homoglyphe détaille ce cas.
• Autre extension : le nom reste identique, seule l'extension change : dupont-immo.com, dupont-immo.net, ou encore dupont-immo.co, facile à confondre avec .com.
• Mot ajouté : un mot rassurant est accolé à votre nom, comme dans dupont-immo-paiement.fr et facture-dupont-immo.fr, ou, pour une clientèle anglophone, acme-properties-invoice.com.
• Tiret : un tiret est retiré ou ajouté, comme dans dupontimmo.fr ou acmeproperties.com.
• Faux sous-domaine : votre domaine complet est placé au début d'une adresse plus longue, comme dupont-immo.fr.example.com, ou son point devient un tiret, comme dans dupont-immo-fr.com. Dans le premier cas, le vrai domaine est example.com.

Chaque technique produit de nombreux candidats, et les techniques se combinent entre elles. Générées de façon systématique pour un seul nom, les variantes se comptent par centaines, bien plus qu'on ne peut en vérifier à la main.

Pourquoi un nom de domaine similaire menace votre entreprise

Un sosie sert rarement à attaquer vos systèmes. Il sert à parler aux personnes qui vous paient, ou que vous payez. Le scénario type est la fraude au faux RIB : un client reçoit un e-mail qui semble venir de vous et qui annonce de nouvelles coordonnées bancaires avant une échéance. Le virement part sur le compte du fraudeur, et la perte n'apparaît souvent qu'au moment de relancer la facture impayée. Notre article sur la fraude au faux RIB décrit le mécanisme complet.

Le même domaine peut aussi servir à envoyer de fausses factures à vos fournisseurs, à copier votre espace client sur une page d'hameçonnage, ou à solliciter vos collaborateurs au nom d'un dirigeant. Les entreprises qui demandent régulièrement des virements à leurs clients sont les plus exposées. C'est le cas des agences immobilières et administrateurs de biens, qui encaissent dépôts de garantie, loyers et charges.

Le préjudice n'est pas seulement financier : un client qui a payé le mauvais compte peut vous en tenir pour responsable. C'est l'usurpation de marque sous sa forme la plus concrète : personne ne touche à vos systèmes, et pourtant votre réputation est retournée contre vous.

MX et SPF : ce qui rend un domaine sosie dangereux

Un sosie enregistré est un signal d'alerte. Un sosie capable de gérer des e-mails est prêt à servir. Deux enregistrements DNS font la différence.

L'enregistrement MX (mail exchanger) indique aux autres serveurs où livrer les e-mails adressés au domaine. Si dupont-imo.fr en possède un, le fraudeur peut recevoir des réponses. C'est plus grave qu'il n'y paraît : quand un client prudent répond pour demander si le nouveau RIB est authentique, sa question arrive chez le fraudeur, qui confirme.

L'enregistrement SPF est un enregistrement TXT, consulté par les serveurs destinataires, qui liste les serveurs autorisés à envoyer des e-mails pour le domaine. Les messages d'un sosie doté d'un SPF valide passent ce contrôle, ce qui augmente leurs chances d'arriver en boîte de réception.

dupont-imo.fr.  MX   10 mail.dupont-imo.fr.
dupont-imo.fr.  TXT  "v=spf1 mx -all"

Ces deux lignes, sur un domaine qui ne diffère du vôtre que d'une lettre, décrivent un domaine prêt à envoyer et à recevoir des e-mails. Aucune ne prouve à elle seule une intention frauduleuse, mais associées à une date de création récente, elles placent ce sosie en tête de liste.

Un sosie sans enregistrement MX n'est pas inoffensif pour autant : le fraudeur peut en ajouter un le jour où il est prêt.

Ce que révèlent les DNS, sans visiter le site

Tout ce qu'il faut pour évaluer un sosie est public et se lit sans contacter son serveur :

• Serveurs de noms (NS) : si le domaine est configuré, et chez quel fournisseur DNS. Les domaines parqués, couverts de publicités ou mis en vente, utilisent souvent des serveurs de noms reconnaissables.
• Enregistrements A et AAAA : si le nom pointe vers un serveur, en général pour un site web.
• Enregistrements MX : si le domaine peut recevoir des e-mails.
• SPF (un enregistrement TXT) : s'il déclare des serveurs autorisés à envoyer des e-mails.
• Date de création (RDAP) : quand le domaine a été enregistré. RDAP, le successeur du WHOIS, indique aussi le bureau d'enregistrement (registrar) et souvent son contact abus. Un sosie récent mérite plus d'attention qu'un domaine ancien.

Visiter le site du sosie n'apporte rien de plus et comporte de vrais risques. La page peut héberger un formulaire d'hameçonnage ou un téléchargement malveillant. Votre visite révèle votre adresse IP et votre navigateur à celui qui l'exploite, et peut lui signaler qu'il a été repéré. Certains sites frauduleux affichent en outre un contenu différent selon le visiteur : ce que vous voyez n'a donc pas valeur de preuve.

L'analyse gratuite des domaines sosies de Spamr applique cette règle : elle génère les variantes de votre domaine, interroge uniquement les DNS publics et le RDAP, et ne se connecte jamais aux sites des sosies. Chaque sosie reçoit un niveau de risque (critique, élevé, moyen ou faible) calculé par des règles fixes, avec ses raisons.

Détecter un domaine frauduleux : vérification manuelle ou surveillance continue

Vous pouvez commencer à la main. Notez les variantes les plus évidentes de votre nom (une lettre en moins, les autres extensions courantes, votre nom suivi de « facture » ou « paiement ») et testez-les dans le moteur de recherche de disponibilité d'un registrar. Pour celles qui sont déjà enregistrées, deux requêtes en ligne de commande montrent si elles gèrent des e-mails :

dig +short MX dupont-imo.fr
dig +short TXT dupont-imo.fr

Une recherche RDAP donne ensuite la date de création et le registrar. Pour les extensions génériques comme .com, l'ICANN propose un outil de recherche sur son site. Pour les extensions nationales comme .fr, le registre de l'extension propose en général sa propre recherche.

La vérification manuelle atteint vite ses limites :

• Vous testez les variantes auxquelles vous pensez, et les fraudeurs pensent à d'autres.
• Une fois les techniques combinées, la liste compte plusieurs centaines de noms.
• Une vérification ne vaut que le jour où elle est faite. Un sosie peut être enregistré la semaine prochaine, ou recevoir un enregistrement MX le mois suivant.

La surveillance continue répond à ce dernier point : régénérer régulièrement les variantes, comparer avec les résultats précédents, et alerter dès qu'un nouveau sosie apparaît ou qu'un sosie existant s'équipe d'un serveur de messagerie. Les offres de surveillance de Spamr relancent l'analyse de votre domaine chaque jour et vous préviennent par e-mail en cas de changement.

Que faire face à un domaine sosie dangereux

1. Ne le visitez pas et ne contactez pas son propriétaire. Vous n'y gagnez rien et vous le mettez en alerte.
2. Conservez les preuves : le nom de domaine, ses enregistrements DNS et sa date de création, avec la date à laquelle vous les avez constatés.
3. Prévenez les personnes exposées : clients, fournisseurs et collaborateurs, par un canal que vous utilisez déjà. Rappelez-leur que vous n'annoncerez jamais un changement de RIB par simple e-mail, et que toute demande de ce type doit être confirmée par téléphone, à un numéro qu'ils connaissent déjà.
4. Signalez-le au registrar et à l'hébergeur, dont les contacts abus figurent dans les données d'enregistrement. Notre guide pour faire supprimer un domaine frauduleux détaille ce qu'il faut leur envoyer.
5. Faites-vous aider si un paiement est parti : contactez votre banque sans attendre et déposez plainte. Cybermalveillance.gouv.fr, le dispositif national d'assistance aux victimes, vous oriente dans vos démarches.

À retenir

• Un domaine sosie est un autre domaine qui se lit comme le vôtre. DMARC sur votre propre domaine ne l'arrête pas.
• Les fraudeurs combinent quelques techniques : omissions, fautes de frappe, homoglyphes, autres extensions, mots ajoutés et tirets.
• Les sosies dangereux ont un enregistrement MX et un enregistrement SPF : ils peuvent envoyer des e-mails et recevoir les réponses.
• Les DNS publics et les données d'enregistrement suffisent pour évaluer le risque : ne visitez jamais le site.
• Une vérification isolée n'est qu'une photographie. La détection fonctionne mieux sous forme de surveillance continue.