Domaine et phishing : protéger vos clients
Auteur : Rédaction Domeny.ForSale Publié le Mis à jour le
En bref : Enregistrer le domaine principal ne suffit pas : les escrocs peuvent utiliser une adresse similaire ou falsifier l’expéditeur d’un message. La meilleure protection combine la sécurisation du compte chez le bureau d’enregistrement, une configuration correcte de SPF, DKIM et DMARC, la surveillance des domaines similaires et des règles claires de communication avec les clients.
Comment les domaines servent au phishing
Le phishing consiste à tenter de soutirer des données, de l’argent ou des accès au moyen d’un message ou d’un site qui se fait passer pour une organisation de confiance. L’attaquant n’a pas besoin de prendre le contrôle du véritable domaine de l’entreprise. Le plus souvent, il enregistre une adresse trompeusement similaire, par exemple votreboutique-aide.pl au lieu de votreboutique.pl, ou remplace une lettre par un autre caractère.
Les domaines mêlant des caractères de différents alphabets constituent un cas particulier. Certaines lettres peuvent sembler presque identiques, alors que le système les reconnaît comme des caractères distincts. Une telle adresse peut ressembler au véritable nom, surtout sur un petit écran.
Le cadenas et le préfixe HTTPS ne garantissent pas qu’un site est digne de confiance. Ils indiquent avant tout que la connexion à ce site est chiffrée. Un escroc peut lui aussi obtenir un certificat pour le domaine qu’il a enregistré.
Protégez votre domaine contre une prise de contrôle
La prise de contrôle du domaine principal est plus dangereuse que l’enregistrement d’une adresse similaire : elle permet de rediriger le site, d’intercepter les e-mails ou de modifier les paramètres des services. L’accès à l’interface du bureau d’enregistrement et au système DNS doit être protégé avec autant de rigueur que l’accès aux services bancaires de l’entreprise.
Les mesures de base sont les suivantes :
- activer l’authentification multifacteur, de préférence avec une clé matérielle ou une application plutôt qu’avec un simple SMS ;
- utiliser un mot de passe unique, conservé dans un gestionnaire de mots de passe ;
- limiter le nombre de personnes disposant d’un accès administrateur ;
- activer le verrouillage du transfert du domaine et les notifications de modification, si le bureau d’enregistrement les propose ;
- consigner les informations de renouvellement et prévoir un moyen de paiement de secours ;
- vérifier régulièrement les enregistrements DNS, les contacts et les comptes autorisés à effectuer des modifications.
DNSSEC protège l’intégrité des réponses DNS au moyen de signatures cryptographiques. Ce mécanisme contribue à limiter la falsification des réponses du système de noms de domaine, mais n’empêche pas l’enregistrement d’adresses similaires et ne remplace pas les autres protections. Vérifiez sa disponibilité et les modalités d’activation de DNSSEC auprès du bureau d’enregistrement et de l’opérateur DNS.
Limitez la falsification des e-mails de l’entreprise
SPF, DKIM et DMARC sont trois mécanismes complémentaires d’authentification des e-mails. SPF indique les serveurs autorisés à envoyer des messages pour le domaine. DKIM ajoute une signature permettant au destinataire de vérifier que le message n’a pas été modifié et qu’il a été signé par le domaine indiqué.
DMARC définit ce que le serveur du destinataire doit faire d’un message qui échoue aux contrôles requis et permet de recevoir des rapports. Pour le déployer, commencez de préférence par inventorier toutes les sources d’envoi légitimes : messagerie de l’entreprise, newsletter, système de facturation, plateforme de commerce en ligne et outil de gestion des demandes.
N’appliquez pas d’emblée la politique la plus stricte sans effectuer de tests. L’oubli d’un système d’envoi pourrait alors entraîner le rejet de messages légitimes. Une démarche prudente consiste à configurer SPF et DKIM, à activer les rapports DMARC, à corriger la configuration des sources repérées, puis à passer progressivement à la mise en quarantaine ou au rejet des messages.
Ces mécanismes compliquent l’envoi d’e-mails dont l’adresse d’expéditeur affichée utilise le véritable domaine. Ils n’arrêtent toutefois pas les messages envoyés depuis un domaine similaire : la surveillance et la sensibilisation des clients restent donc nécessaires.
Surveillez les adresses similaires et définissez vos priorités
Il est impossible d’enregistrer toutes les variantes comportant des fautes de frappe dans toutes les extensions. Les enregistrements défensifs sont surtout utiles pour les erreurs les plus évidentes, les marchés clés et les noms directement liés à la connexion ou aux paiements. Chaque domaine supplémentaire doit être renouvelé et surveillé : un vaste portefeuille négligé peut donc lui-même devenir un risque.
La surveillance doit porter sur les nouveaux domaines ressemblant à la marque, les changements de certificats, les résultats de recherche et les signalements des clients. La seule ressemblance d’un nom ne prouve pas une fraude. Ce sont des indices supplémentaires qui doivent donner l’alerte : copie d’une page de connexion, formulaire de paiement, utilisation du logo ou messages orientant les clients vers une adresse suspecte.
Lorsqu’un abus est détecté, conservez les preuves : adresse complète du site, captures d’écran, contenu du message avec ses en-têtes et date et heure de l’incident. Vous pouvez ensuite signaler l’incident à l’hébergeur, au bureau d’enregistrement, au fournisseur de messagerie ou à l’éditeur du navigateur, selon la méthode d’attaque. Les conditions et les formulaires requis varient d’un prestataire à l’autre : vérifiez-les dans leur documentation officielle.
Apprenez aux clients à reconnaître le bon canal
Le client doit savoir depuis quel domaine l’entreprise envoie ses messages et à quelle adresse il doit se connecter. Les consignes de sécurité doivent être précises, par exemple : « Nous ne vous demandons jamais votre mot de passe ni un code à usage unique par e-mail » et « Pour effectuer un paiement, accédez vous-même à votre espace client sur notre site ».
Une adresse permanente pour signaler les messages suspects et de brèves instructions accessibles sans connexion constituent une bonne solution. Les messages concernant un paiement ou une modification de données ne doivent pas exercer de pression inutile. Une demande soudaine de virement vers un nouveau compte bancaire doit être confirmée par un second canal convenu à l’avance.
La première étape concrète est un audit : vérifiez le compte chez le bureau d’enregistrement, les enregistrements SPF, DKIM et DMARC ainsi que la liste de tous les systèmes envoyant des e-mails au nom de l’entreprise. Ce n’est qu’à partir de cet état des lieux que vous pourrez durcir la politique de messagerie et mettre en place la surveillance des domaines similaires.
À lire aussi : DNSSEC — faut-il renforcer la protection de votre domaine ?
À lire aussi
