Les noms de domaine font partie intégrante de la surface d’attaque des entreprises. Les fraudeurs et cybercriminels exploitent donc régulièrement ces actifs stratégiques à des fins d’abus et d’attaques informatiques, que leurs objectifs soient d’ordre financier, de perturbation ou déstabilisation ou encore de compromission de systèmes d’information.
Dans cette optique, les acteurs malveillants enregistrent abusivement des noms de domaine qui reprennent à l’exact ou à l’approchant une marque ou un signe distinctif sur lesquels ils n’ont aucun droit : c’est ce qu’on appelle du cybersquatting. Il peut également arriver que les acteurs malveillants récupèrent et exploitent un nom de domaine non renouvelé ou abandonné par l’entité qui le détenait légitimement jusque-là.
Quels usages font les acteurs malveillants de ces noms de domaine usurpés ?
Initialement, les usurpations de noms de domaine avaient un but essentiellement financier, visant à monnayer et revendre le nom au prix fort. Si ce type de fraude perdure, ces usurpations sont désormais principalement liées à des activités cybercriminelles.
Elles peuvent avoir pour objectif de récupérer frauduleusement des renseignements via de l’hameçonnage, représentant un risque pour les utilisateurs qui transmettent des données sensibles pouvant être revendues et exploitées pour de l’usurpation d’identité ou pour la compromission de systèmes d’information.
Les internautes sont facilement leurrés par des noms de domaine très approchants d’un nom légitime, ce qui est exploité pour la mise en œuvre d’arnaques, de redirection vers des liens commissionnés ou encore de la promotion d’offres illicites voire concurrentes. Les noms de domaine peuvent également être utilisés pour diffuser de fausses informations ou des contenus inappropriés.
Le cybersquatting demeure par ailleurs un vecteur d’intrusion initial très utilisé par les acteurs malveillants pour conduire un internaute à télécharger des codes malveillants destinés à infecter son poste et partager des données permettant de prendre pied sur un système d’information.
Une exploitation croissante du cybersquatting
Les entités ciblées peuvent donc être victimes de pertes financières ainsi que d’atteintes réputationnelles et sécuritaires. Or, les actes d’usurpation de marque via le cybersquatting augmentent d’année en année.[1]
L’enregistrement de noms de domaine d’apparence légitime est une pratique très aisée. En effet, le dépôt d’un nom de domaine relève de la règle du « premier arrivé, premier servi », et nombre de bureaux d’enregistrement n’appliquent pas de vérification de l’identité du déposant. Certaines extensions étant par ailleurs très peu onéreuses, on observe une croissance des dépôts en masse.
Les acteurs malveillants usent par ailleurs des formes de cybersquatting faisant passer le nom de domaine frauduleux le plus inaperçu possible, à l’instar du combosquatting qui consiste à imiter un nom de domaine existant par l’ajout d’un mot-clé au domaine de la marque et du TLD-squatting qui consiste à déposer un nom de domaine, le plus souvent dans sa forme exacte, avec une extension différente à celle du nom légitime.
Une fois un nom de domaine litigieux détecté, il faut alors réagir via des actions de remédiation pour mettre fin à l’atteinte et via des actions techniques pour vérifier qu’aucune compromission ne soit en cours ou anticiper une potentielle survenue.
Comment remédier à une atteinte pour protéger votre marque ?
En fonction de la forme de l’usurpation détectée et de la stratégie adoptée, il existe plusieurs actions de remédiation qui peuvent être activées dans le but de protéger la marque. Il peut être possible de récupérer le nom de domaine à l’amiable en faisant valoir ses droits, de faire suspendre le site web ou encore de contester l’enregistrement d’un nom de domaine via des procédures extra judiciaires adaptées.
L’envoi d’une lettre de cessation d’une atteinte au détenteur d’un nom de domaine, après obtention de son identité, a pour objectif de trouver avec ce dernier une solution à l’amiable pour récupération du nom de domaine litigieux. En cas de refus du titulaire, cette démarche peut constituer un premier recours pour prouver l’antériorité des droits sur la marque, et préparer un dépôt de plainte.
Les actions de suspension de sites sont quant à elles une procédure visant la fermeture des sites Internet présentant un contenu au caractère frauduleux avéré à l’encontre d’une marque. Elles peuvent également être activées dans le cas où il est prouvé que ce nom de domaine est utilisé à des fins d’envois de mails d’hameçonnage. Une demande de suspension doit être soumise au registrar et à l’hébergeur pour prise de mesures, le plus souvent à partir d’un dossier rassemblant les éléments de preuve de la fraude.
Les procédures extrajudiciaires (UDRP, URS, SYRELI…) consistent à faire appel à une structure tierce pour contester l’enregistrement d’un nom de domaine, en dehors du système judiciaire classique. En fonction des cas, les dossiers justifiant du bien-fondé de la plainte sont déposés auprès d’un centre d’arbitrage, d’un registre ou d’un organisme accrédité. Il existe différentes procédures pour contester un enregistrement, dont le choix repose principalement sur l’extension du nom de domaine objet du litige. La plupart d’entre elles permettent sa récupération.
Il s’agit des actions les plus communes, d’autres actions peuvent être envisagées en fonction des cas rencontrés.
Quelles actions techniques mettre en œuvre pour protéger votre SI ?
Comme l’indique l’ANSSI dans son rapport sur la Maîtrise du risque numérique en date de 2019, « la mise en œuvre de moyens de détection, de journalisation et de corrélation adaptés participe […] à la détection des cyberattaques ».
En cas de détection d’un nom de domaine litigieux, l’une des premières actions à mettre en œuvre consiste à le bloquer au niveau des proxys ou directement au niveau du serveur DNS, dans le but d’empêcher toute navigation sur le site Internet associé. Cette action permet également d’empêcher les utilisateurs de l’entreprise de s’y rendre bien qu’ils y soient invités à partir d’une adresse électronique tierce.
Une deuxième étape consiste à blacklister le nom de domaine au niveau du serveur mail afin d’empêcher la réception par les collaborateurs de mails qui seraient envoyés à partir de ce nom. De nombreuses solutions de passerelles mails proposent un système de blocklist qui peut être enrichi par les équipes techniques en charge de la sécurité informatique de l’entreprise.
Enfin, il convient de rechercher, dans les journaux de la passerelle mails, la réception de courriels transmis à partir de ce nom de domaine qui aurait pu advenir avant la mise en place du blacklisting. Corolairement, il convient également d’analyser les journaux de proxy pour vérifier qu’aucune navigation mails n’a abouti sur ce nom de domaine.
Ces actions peuvent être chronophages en l’absence de système SIEM, mais il est possible de prioriser les actions de recherche et de blacklisting à partir de la criticité des noms de domaine détectés.
En tant qu’expert dans la protection des noms de domaine stratégiques de ses clients contre les cybermenaces, Nameshield peut vous accompagner via ses solutions de détection des cas de cybersquatting et son service de Remédiation spécialisé dans les règlements de litige autour des noms de domaine.
N’hésitez pas à nous contacter pour plus d’informations.
[1] L’Organisation mondiale de la Propriété Intellectuelle (OMPI), l’un des principaux centres d’arbitrages auprès duquel il est possible de déposer une plainte extra-judiciaire UDRP, relève une augmentation du nombre de plaintes de plus de 7% entre 2022 et 2024 et de plus de 47% entre 2020 et 2024.
