La capacité à enregistrer un nom de domaine ressemblant à celui d'une marque légitime est au cœur d'une grande partie de la fraude en ligne et du phishing. Les techniques de création de domaines trompeurs ont évolué bien au-delà du simple typosquatting initial, où l'attaquant enregistrait une variante avec une faute de frappe évidente. En 2026, les domaines frauduleux utilisent des combinaisons sophistiquées de techniques qui les rendent difficiles à distinguer des domaines légitimes pour un utilisateur peu attentif, et parfois pour les systèmes de sécurité qui analysent les URLs. Comprendre chaque technique, ses variantes, et les signaux qui permettent de la détecter est le fondement d'un programme de surveillance de marque efficace.
Les recherches sur les domaines frauduleux publiées ces dernières années montrent systématiquement que le nombre de domaines imitant les grandes marques est bien supérieur à ce que ces marques connaissent et surveillent activement. Pour chaque domaine frauduleux identifié et pris en charge par une procédure de takedown, plusieurs autres opèrent sans être détectés, soit parce qu'ils ne sont pas encore actifs (domaines enregistrés défensivement par des squatteurs), soit parce qu'ils n'ont pas encore attiré suffisamment de trafic pour être signalés, soit parce qu'ils imitent la marque de façon suffisamment subtile pour ne pas déclencher les alertes des surveillances peu sophistiquées.
Le typosquatting classique exploite les erreurs de frappe les plus courantes pour un nom de domaine donné. Pour un domaine brandexemple.fr, les variantes typiques incluent les transpositions de lettres adjacentes (brandexemploe.fr), les doubles lettres (branndexemple.fr), les omissions de lettres (brandxemple.fr), les substitutions de lettres visuellement ou phonétiquement proches (brandexample.fr avec 'a' à la place de 'e'), et les extensions de TLD alternatives (brandexemple.com si le domaine officiel est .fr, ou vice versa).
Les outils d'énumération de typosquats, comme dnstwist, génèrent automatiquement des centaines de variantes pour un domaine donné en appliquant ces transformations systématiquement. Le même outil peut ensuite vérifier lesquelles sont enregistrées, lesquelles résolvent vers une IP active, et lesquelles hébergent un site web. Cette capacité d'énumération systématique est disponible aux équipes de sécurité pour identifier les variantes de leur propre domaine, mais elle est également disponible aux squatteurs qui l'utilisent pour identifier les variantes non encore enregistrées d'un domaine populaire.
Les registrations défensives, c'est-à-dire le fait pour une marque d'enregistrer elle-même les variantes typosquat les plus probables de son domaine pour les rediriger vers le site légitime, constituent la protection la plus directe contre le typosquatting. Cette stratégie est coûteuse à l'échelle (des centaines de domaines pour une marque internationale avec plusieurs TLDs) mais efficace pour les variantes les plus probables. Pour la longue traîne des variantes moins probables, la surveillance et le takedown réactif est la stratégie complémentaire.
Le combosquatting est plus difficile à traiter par des registrations défensives parce que l'espace des domaines possibles est pratiquement illimité. L'attaquant ajoute des mots autour du nom de marque pour construire un domaine qui ressemble à un sous-service ou à une page spécifique de la marque. Pour une banque nommée BanqueExemple, les combosquats peuvent inclure banqueexemple-service-client.fr, connexion-banqueexemple.fr, espace-banqueexemple.fr, banqueexemple-securite.fr, et des dizaines d'autres combinaisons.
Ces domaines ciblent spécifiquement les utilisateurs qui vérifient que le nom de la marque est présent dans l'URL sans vérifier si l'URL correspond exactement au format des URLs légitimes de la marque. Un utilisateur qui voit connexion-banqueexemple.fr et reconnaît le nom de sa banque peut ne pas remarquer que ce n'est pas banqueexemple.fr. Ce pattern est particulièrement efficace pour les phishing de pages de connexion parce que l'ajout de mots comme "connexion", "login", "secure", "client", ou "portal" renforce l'impression que l'URL correspond bien à une page d'authentification légitime.
La détection du combosquatting nécessite une surveillance qui va au-delà des variantes exactes d'un domaine pour couvrir les nouveaux enregistrements contenant le nom de la marque comme sous-chaîne. Les services de surveillance des flux de nouvelles inscriptions de domaines permettent de configurer des alertes pour tout nouveau domaine contenant "banqueexemple" dans le nom, indépendamment des mots qui l'entourent. Cette surveillance produit un volume d'alertes plus élevé que le typosquatting strict, nécessitant un filtrage pour distinguer les combosquats malveillants des sites légitimes qui mentionnent la marque dans leur domaine (partenaires, revendeurs agréés, sites de comparaison).
Les attaques par homoglyphes exploitent la ressemblance visuelle entre des caractères de différents systèmes d'écriture. Unicode, qui définit les caractères utilisables dans les noms de domaine internationaux (IDN), contient de nombreux caractères qui ressemblent visuellement à des lettres latines courantes mais qui sont techniquement différents. Le cyrillique "а" (U+0430) ressemble au latin "a" (U+0061) dans de nombreuses polices d'affichage. Le grec "ο" (U+03BF) ressemble au latin "o" (U+006F). En combinant des caractères homoglyphes avec des caractères latins, un attaquant peut construire un domaine qui s'affiche de façon identique au domaine légitime dans la barre d'adresse du navigateur mais qui est techniquement différent.
Les navigateurs modernes ont mis en place des protections partielles contre les attaques IDN homoglyphes : la plupart des navigateurs affichent la version Punycode d'un domaine IDN (par exemple xn--bnqueexmple-q9b.fr plutôt que le caractère cyrillique) quand le domaine mélange des caractères de plusieurs systèmes d'écriture. Mais cette protection n'est pas universelle et ne couvre pas tous les cas d'homoglyphes dans le même script. La détection des domaines homoglyphes dans le cadre d'un programme de surveillance de marque nécessite des outils capables d'analyser les domaines enregistrés en Unicode et d'identifier ceux qui correspondent visuellement aux domaines de la marque surveillée même si le Punycode est différent.
Aucune des trois techniques, typosquatting, combosquatting, ou homoglyphes, ne peut être neutralisée complètement par des mesures défensives ponctuelles. L'espace des domaines potentiellement frauduleux est trop large pour être couvert par des registrations défensives seules, et les registrations défensives n'empêchent pas les attaquants de trouver d'autres variantes. La surveillance continue des nouvelles inscriptions de domaines est la réponse opérationnelle qui correspond à la nature continue de la menace.
Un programme de surveillance efficace combine plusieurs signaux : les flux de nouvelles inscriptions de domaines (zone files) pour détecter les enregistrements contenant le nom de la marque dès leur création, la surveillance des logs Certificate Transparency pour détecter les certificats émis pour des domaines similaires, et la vérification active des domaines détectés pour déterminer s'ils hébergent un contenu actif ciblant les clients de la marque. La rapidité de réaction après la détection est aussi importante que la détection elle-même : un domaine frauduleux identifié dans les premières heures de son activation peut être signalé aux hébergeurs et aux registrars avant que des victimes significatives n'aient été touchées. La surveillance externe continue de votre espace de domaines est ce qui transforme la protection de marque d'une réponse aux incidents en une prévention active.
La surveillance manuelle des domaines frauduleux est insuffisante à l'échelle des grandes marques qui font l'objet de centaines ou de milliers de tentatives d'usurpation par an. Les outils et services de détection automatique répondent à ce besoin d'échelle en combinant plusieurs sources de données pour produire des alertes contextualisées.
Les flux de zone DNS (zone files), disponibles pour les principaux TLDs via l'ICANN et les registres concernés, contiennent la liste de tous les domaines enregistrés sous ces TLDs et sont mis à jour quotidiennement. L'analyse de ces flux pour identifier les nouveaux domaines contenant des sous-chaînes correspondant à la marque surveillée est le mécanisme le plus proche du temps réel pour la détection des nouvelles inscriptions. Des services spécialisés comme WhoisXML API, DomainTools, ou les fonctionnalités de surveillance de marque intégrées dans les plateformes de threat intelligence offrent ce type de surveillance en temps quasi-réel avec des capacités de filtrage et de scoring de risque.
Le scoring de risque est particulièrement utile pour réduire le volume d'alertes à traiter manuellement. Un domaine qui contient le nom de la marque ET qui a été enregistré récemment ET qui héberge un site web actif ET dont le contenu ressemble à la page de connexion de la marque mérite une réponse prioritaire. Un domaine qui contient le nom de la marque mais qui n'est pas encore résolvable et qui appartient à une entité ayant des enregistrements de domaine cohérents avec un propriétaire légitime peut attendre une vérification moins urgente. La capacité à prioriser automatiquement les alertes selon ce type de scoring est ce qui rend la surveillance de marque opérable à grande échelle. La détection précoce des domaines frauduleux est la valeur centrale d'un programme de brand monitoring bien calibré.
La défense contre le typosquatting, le combosquatting et les attaques par homoglyphes nécessite une approche active plutôt que réactive. L'approche réactive, qui consiste à répondre aux incidents signalés par les utilisateurs ou les équipes de support, ne détecte les domaines frauduleux qu'après qu'ils ont causé des dommages visibles. L'approche active, qui surveille en continu les nouvelles inscriptions de domaines et les alertes lorsqu'une inscription correspond à un pattern de variation de votre marque, détecte les domaines frauduleux au moment ou peu après leur inscription, souvent avant que la campagne d'attaque utilisant ce domaine ne soit lancée.
La surveillance des flux de nouvelles inscriptions de domaines comme ceux fournis par le CZDS de l'ICANN pour les domaines génériques de premier niveau fournit un signal continu des nouvelles inscriptions. Les services de détection de typosquatting comparent les nouvelles inscriptions aux algorithmes de génération de variations de noms de domaine pour votre marque, en signalant les correspondances pour révision. Cela ne capte pas toutes les variations, notamment celles dans des TLDs non couverts par le CZDS, mais fournit une couverture substantielle des nouvelles inscriptions dans les domaines .com, .net, .org et les TLDs de pays majeurs.
Quand un domaine suspect est identifié, les options de réponse vont du dépôt d'une plainte UDRP (Uniform Domain-Name Dispute-Resolution Policy) pour des domaines qui violent manifestement les droits de marque au takedown de contenu via les programmes d'abus des registraires, en passant par le signalement aux fournisseurs de listes de blocage comme Google Safe Browsing et Microsoft SmartScreen pour que le domaine soit signalé dans les navigateurs. L'UDRP est l'option la plus définitive car elle peut résulter en le transfert du domaine à la marque légitime, mais elle prend du temps et n'est appropriée que pour les cas les plus clairs de cybersquatting.
La surveillance des domaines similaires à la vôtre qui reçoivent du trafic email via les registres MX est particulièrement précieuse : un domaine qui ressemble au vôtre et qui a des enregistrements MX configurés est vraisemblablement utilisé pour du phishing ou pour intercepter des emails mal adressés. La surveillance continue des domaines qui inclut les patterns de variation de votre marque et les alertes sur les nouvelles inscriptions fournit la couverture proactive dont les équipes de sécurité ont besoin pour traiter les domaines frauduleux avant qu'ils ne soient utilisés dans des campagnes actives.
L'attaque par homoglyphe est l'une des techniques de domaine frauduleux les plus sophistiquées visuellement car elle exploite directement les limites de la perception humaine. Un utilisateur qui lit rapidement "defendis.com" et "dеfendis.com" (le deuxième utilisant le 'е' cyrillique U+0435 à la place du 'e' latin U+0065) ne verra probablement pas la différence. L'internationalisation des noms de domaine (IDN), qui permet l'enregistrement de domaines contenant des caractères non ASCII, a ouvert la voie à ces attaques en permettant l'enregistrement de noms de domaine qui ressemblent visuellement à des domaines légitimes tout en ayant des points de code différents.
Les navigateurs modernes ont introduit des mesures pour atténuer les attaques IDN homoglyphes, notamment en affichant les domaines IDN en Punycode (la représentation ASCII des caractères Unicode) quand le domaine utilise des caractères de plusieurs systèmes d'écriture différents. Cependant, un domaine qui utilise exclusivement des caractères cyrilliques pour tous ses caractères peut toujours être affiché sous sa forme Unicode dans les navigateurs, et les humains peuvent ne pas remarquer qu'ils regardent des caractères cyrilliques plutôt que latins dans un contexte où ils s'attendent à voir un domaine latin.
L'évolution des techniques de confusion visuelle comprend également l'utilisation de caractères Unicode au-delà des alphabets cyrillique et grec qui ressemblent aux caractères latins. L'IPA (International Phonetic Alphabet) et divers caractères Unicode présentent des similitudes visuelles avec les lettres latines courantes. La détection de ces variantes dans les outils de surveillance de domaine nécessite des bibliothèques de caractères confusables et des algorithmes de comparaison qui prennent en compte les similitudes visuelles à travers les systèmes d'écriture, pas seulement les variations de frappe simples.
Oui. Les services de surveillance de nouvelles inscriptions de domaines alertent en temps quasi-réel sur les nouvelles inscriptions qui correspondent aux patterns de variation de votre marque. Ces alertes permettent aux équipes de sécurité d'évaluer chaque nouveau domaine suspect et d'initier des procédures de takedown ou de signalement avant que la campagne d'attaque utilisant ce domaine ne soit lancée. La fenêtre entre l'inscription d'un domaine de typosquatting et son déploiement dans une campagne est typiquement de quelques jours à quelques semaines, ce qui donne du temps pour agir.
Pas nécessairement. L'UDRP convient aux cas clairs de cybersquatting où le domaine est utilisé de mauvaise foi et viole une marque déposée. Pour les cas moins clairs, ou quand l'urgence prévaut sur une résolution définitive, le signalement aux registraires via leurs processus d'abus et le signalement aux fournisseurs de listes de blocage comme Google Safe Browsing peuvent être plus rapides. Dans les cas les plus graves impliquant une fraude active, les signalements aux autorités compétentes et aux CERT nationaux peuvent déclencher des réponses plus rapides que les procédures UDRP formelles.
La priorité devrait être basée sur des signaux de risque : le domaine reçoit-il du trafic web ou email ? A-t-il des enregistrements MX configurés ? Le contenu de la page ressemble-t-il à votre site ? A-t-il été signalé dans des listes de phishing ? Les domaines qui ont des enregistrements MX actifs ou qui servent du contenu imitant votre marque méritent une réponse urgente. Les domaines qui sont réservés mais inactifs peuvent être surveillés avec une priorité moindre, tout en étant documentés pour référence future.
Les registraires de noms de domaine jouent un rôle central dans l'écosystème de réponse aux domaines de typosquatting et de combosquatting, à la fois comme facilitateurs de l'enregistrement de domaines frauduleux et comme partenaires potentiels pour leur suppression. La plupart des registraires disposent de politiques d'abus qui interdisent l'utilisation de leurs services pour des activités frauduleuses, y compris le phishing et l'usurpation de marque. Ces politiques permettent aux organisations victimes de déposer des plaintes d'abus directement auprès du registraire du domaine suspect, qui peut suspendre ou supprimer le domaine en réponse à une preuve suffisante d'abus.
L'efficacité des signalements d'abus aux registraires varie considérablement. Certains registraires ont des équipes d'abus réactives qui traitent les signalements documentés rapidement, souvent en quelques jours ouvrables. D'autres, notamment certains registraires de bas de gamme qui attirent les opérateurs de domaines frauduleux avec des politiques d'abus laxistes et des prix bas, peuvent ignorer les signalements ou ne répondre qu'après plusieurs tentatives et un escalade. Identifier le registraire d'un domaine suspect (via une recherche WHOIS) et évaluer sa réputation pour la réponse aux abus est une partie du processus de triage des domaines suspects.
L'ICANN maintient une liste de registraires accrédités avec des mécanismes de signalement d'abus, et les plaintes déposées via le système de conformité de l'ICANN peuvent exercer une pression supplémentaire sur les registraires non réactifs. Pour les cas les plus graves impliquant une fraude active avec des victimes documentées, les signalements aux autorités nationales de cybercriminalité et aux CERT peuvent déclencher une action de retrait plus rapide via les canaux légaux que les procédures de signalement d'abus standard.
L'évaluation du risque de typosquatting pour une organisation particulière doit prendre en compte non seulement la taille et la notoriété de la marque, mais aussi le contexte sectoriel et la valeur des transactions associées à la marque. Une marque dans les services financiers ou la santé est une cible plus attractive pour les campagnes de typosquatting ciblant les credentials que la même marque dans un secteur à plus faible valeur de compte, même si la notoriété est comparable. Les secteurs où les utilisateurs sont habitués à des transactions à valeur élevée via des portails en ligne représentent des cibles privilégiées pour les opérateurs de domaines frauduleux qui cherchent à capitaliser sur la confiance établie entre la marque et ses utilisateurs.
Les sous-domaines orphelins restent invisibles dans votre DNS jusqu'à ce qu'un attaquant les trouve. Les faux profils sociaux imitant votre marque accumulent des abonnés pendant des jours ou des semaines avant que votre équipe ne soit alertée. Les domaines typosquattés se déposent en quelques minutes et peuvent opérer des semaines avant d'être détectés. Ces menaces sont toutes détectables par une surveillance externe continue, mais seulement si l'on surveille au bon endroit et au bon rythme.
Defendis surveille votre empreinte externe en continu : enregistrements DNS, nouvelles inscriptions de domaines, logs Certificate Transparency, profils sur les réseaux sociaux qui utilisent votre identité de marque. Quand quelque chose de frauduleux apparaît, vous êtes alerté avant que vos clients ne le découvrent.
Réservez une démo pour voir comment Defendis surveille l'exposition de votre marque et votre surface d'attaque externe.
