« Gagnez un billet d’avion d’une valeur de 500 euros » ou autre tentative d’arnaque en ligne

Typosquatting Air France - Blog Nameshield

Récemment, plusieurs campagnes de fraudes proposant ici des chaussures Nike gratuites, là des bons d’achat de 500 € chez Ikea ont fait rage. Dernier cas en date, une campagne de mails frauduleux annonçant le gain de billets d’avion d’une sympathique valeur de 500 € gracieusement offerts aux gagnants d’un soi-disant jeu concours proposé par la compagnie aérienne Air France. Cette arnaque a fait le tour de France, diffusée sur les réseaux sociaux, par courriel et ayant même été relayée sur WhatsApp.

Une typographie trompeuse : le typosquatting

Si l’on survolait le mail en question d’un regard rapide, le lien www.airfrạnce.com, inséré dans les messages, semblait bien correspondre à l’adresse du site officiel d’Air France. A un détail près… Le « a » de France n’est pas un « a » issu de l’alphabet latin, mais le « ạ » de l’alphabet vietnamien. A un point près donc ! Superbe cas de typosquatting, pratique consistant donc à duper l’internaute en remplaçant, ajoutant ou encore supprimant une lettre dans un nom de domaine reprenant la marque notoire. La vigilance en berne, l’internaute pensant être sur un site fiable, clique sur ledit lien, et se retrouve redirigé vers une page totalement indépendante du site officiel de la marque. Sur cette page, un formulaire à compléter de ses précieuses données personnelles pour avoir la chance de remporter dans l’affaire qui nous occupe des billets gratuits. De l’escroquerie confirmée.

L’objectif de ces campagnes de phishing et de fraude est de réunir autant d’informations personnelles que possible. Autrement dit, les usurpateurs d’identité potentiels à l’origine de ce type d’arnaque en ligne cherchent à obtenir l’email, le numéro de téléphone, et toutes données intéressantes des internautes piégés.

C’est à la suite de l’alerte lancée par le site Zataz qu’Air France a confirmé qu’il s’agissait bien d’une fraude. Elle a également incité les internautes à ne pas considérer ce type de message. Il est d’ailleurs important de préciser que le site officiel de la compagnie aérienne est sécurisé et authentifié par un certificat SSL, les moteurs affichant bien le https://www.airfrance.fr

Que faire face à ces arnaques et comment les éviter ?

Le premier réflexe à adopter côté utilisateur est bien sûr la méfiance. Plus l’offre et les gains annoncés sont alléchants, plus il convient de redoubler de prudence. Ne communiquez pas vos données personnelles via un quelconque formulaire ou par retour de mail sans vous être au préalable assurés de l’authenticité de la demande.

Vérifiez toujours l’URL finale de la page sur laquelle vous avez été redirigés, attention bien sûr à la typographie. En général, seules les informations sur site sont officielles. La présence d’un certificat SSL et l’affichage des données propriétaire sont également un bon indicateur.

Typosquatting Air France
Site internet https://www.airfrance.fr

Du côté des titulaires de marques, une stratégie de nommage et de dépôts défensifs adaptés permet de protéger au mieux ses utilisateurs. La mise en place de surveillances efficaces permettra également de détecter au plus tôt les tentatives de phishing et d’agir précocement pour les faire cesser.

Chrome 68 : en juillet 2018, les sites en HTTP seront considérés comme « Non Sécurisé »

Chrome 68 : en juillet 2018, les sites en HTTP seront considérés comme « Non Sécurisé »

Nous y sommes ! Google vient d’annoncer dans ce post son intention d’indiquer l’ensemble des pages en HTTP, quel que soit leur contenu, comme étant « non sécurisé ».

Chrome 68 : en juillet 2018, les sites en HTTP seront considérés comme « Non Sécurisés »
Source: Google Security Blog

Le changement est prévu pour le mois de Juillet 2018, avec l’arrivée de la version 68 du fameux navigateur, et confirme la volonté de Google de sécuriser le web. Pour Google le HTTPS doit continuer à être adopté massivement et devenir le standard.

Ce n’est pas une surprise puisque Google a déjà opéré de nombreuses évolutions dans cette direction. Tout d’abord en annonçant un impact positif sur le référencement naturel des sites dont la page d’accueil serait en HTTPS (2014), puis en supprimant le cadenas sur le HTTP (2016), ensuite en indiquant les fameux mots « Non sécurisé » pour toutes les pages de saisies de données personnelles encore en HTTP (2017), et enfin depuis la version 62 avec le mode de navigation incognito affichant déjà toutes les pages HTTP comme « non sécurisé » (2017).

Toutes ces évolutions ont fait l’objet de post sur le blog sécuritaire de Google et étaient systématiquement accompagnées de la fameuse phrase « eventual treatment of all HTTP pages in Chrome : Not Secure » en fin de paragraphe.

Et ça marche ! L’usage du HTTPS se démocratise

Selon Google plus de 68% du trafic généré par Chrome sur Android et Windows est désormais protégé contre plus de 78% sous Chrome OS et Mac. Sur les 100 plus importants sites du monde 81% sont en HTTPS par défaut.

Mais qu’est-ce que le HTTPS ?

Il s’agit d’une extension sécurisée du protocole HTTP, le « S » pour « Secured » signifie que les données échangées entre le navigateur de l’internaute et le site web sont chiffrées et ne peuvent en aucun cas être espionnées  (confidentialité) ou modifiées (intégrité). Obtenir le sacro-saint « S » passe par l’acquisition et l’installation d’un certificat SSL/TLS auprès d’une Autorité de Certification reconnue.

Comment se préparer ?

Demain tous les sites web seront concernés, du site web de vente en ligne au simple site vitrine, tous devront passer au HTTPS pour rassurer les internautes. Si la réflexion n’est pas déjà lancée au sein des équipes web et marketing de votre entreprise, il est urgent de se positionner.

  • Former et informer vos équipes : HTTPS, certificats SSL ;
  • Définir votre stratégie de certification : Autorité de Certification, types de certificats, workflow ;
  • Identifier l’ensemble des sites web de votre société… et définir les priorités d’action :
    1. Sites corporate, vitrine, flagship : prévoir de passer en HTTPS par défaut au plus tôt ;
    2. Sites contenant un espace de saisie de données personnelles (formulaire, login, password, récupération de mot de passe, achats en ligne) => vérifier la présence de HTTPS
    3. Sites secondaires
  • Préparer la transition vers le HTTPS avec vos équipes web
  • Effectuer la transition vers le HTTPS des sites identifiés et surveiller le bon déroulement
  • Gérer vos certificats

  • Nameshield vous accompagne

    Notre équipe d’experts SSL vous accompagne dans la formation de vos équipes ; organise régulièrement des réunions d’information au sein de ses locaux pour vous permettre d’échanger avec d’autres acteurs du marché ; met à votre disposition les outils nécessaires à la prise de décision (audit, analyse, conseil) et vous accompagne au quotidien sur tous ces sujets.

    Nameshield est aussi fournisseur reconnu de solutions de sécurisation de vos sites web : certificats SSL, DNS, registry lock, n’hésitez pas à contacter nos équipes pour plus de renseignements.

A noter : un petit-déjeuner est organisé autour de ce thème, le 21 juin prochain à Paris, n’hésitez pas à vous y inscrire. Pour plus d’informations et pour vous y inscrire ☛ Invitation au nameshield.cafe.

Le Slamming : une arnaque encore trop courante

Le Slamming : une arnaque encore trop courante !

Le slamming est une escroquerie visant à tromper des sociétés afin de leur vendre des services non sollicités pour les noms de domaine, par mail.

Ces tentatives de slamming sont facilement reconnaissables et jouent du manque de connaissance de leurs interlocuteurs dans certains cas. Les slammers vous proposent des services que vous n’avez pas sollicités auprès de votre Registrar officiel (enregistrement, mise à jour du whois, transfert de titulaire ou de Registrar …) à des tarifs excessifs. Ces mails sont très anxiogènes et vous poussent à prendre une décision rapide.

Par exemple, un mail type de slamming vous inciterait à enregistrer des noms de domaine en urgence car un tiers aurait fait une demande de dépôt de noms de domaine reprenant exactement votre dénomination sociale ou votre produit phare, à l’identique (comme par hasard). Ils vous recommandent de les enregistrer sur le champ pour éviter tout cybersquatting.  Evidemment, le « faux registrar », dans sa grande magnanimité, a mis en stand by la commande de dépôt du nom de domaine pour le bien de votre société…

Attention, le slammer utilise des références visuelles et le bon vocabulaire technique, induisant ainsi en erreur l’entreprise. Il peut aussi faire référence ou mettre le logo de certains Registres ou acteurs du milieu internet, pour crédibiliser son discours.

Que faire si vous avez un doute ?

Transmettez vos mails à Nameshield, qui vous confirmera si ces mails sont frauduleux.

Nous recommandons une gestion de vos noms de domaine centralisée et gérée par une personne informée des opérations liées aux noms de domaine. Ne prenez pas de décision dans l’urgence. Vous pouvez également faire un whois pour vérifier l’identité de l’expéditeur et l’existence de la société « Registrar ». Vous remarquerez alors que la plupart des noms de domaine qui sont utilisés pour des campagnes de slamming ont été enregistrés récemment et que les sociétés titulaires des noms n’ont aucun rapport avec l’activité de bureau d’enregistrement.

Soyez vigilants, vos noms de domaine sont des actifs immatériels à protéger, sécuriser et à valoriser.

Nameshield vous accompagne quotidiennement dans la gestion de votre portefeuille de noms de domaine, la protection de vos marques digitales et la gestion des risques sur le web.

JO de PyeongChang : cyberattaque

JO de PyeongChang : cyberattaqueC’est durant la cérémonie d’ouverture des Jeux Olympiques d’Hiver de PyeongChang qu’une cyberattaque a visé les services informatiques de l’infrastructure organisatrice.

Environ 45 minutes avant le début de l’évènement, les serveurs et le réseau Wi-Fi ont été touchés par une attaque, qui n’a heureusement pas affecté le déroulement de la cérémonie. Cependant, dans le village olympique, l’espace presse a été privé de connexion Internet et de télévision. Par ailleurs, le site officiel des Jeux Olympiques de PyeongChang a été inaccessible durant des heures, empêchant les internautes d’imprimer leurs billets pour accéder à l’évènement. 12 heures ont été nécessaires pour rétablir complètement les services.

Le CIO n’a pas souhaité s’exprimer sur l’origine de cette attaque, mais le porte-parole de PyeongChang 2018, Sung Baik-you indique qu’ «Il y a eu une cyberattaque, le serveur a été mis à jour hier (dimanche 11 février), et nous connaissons la cause du problème. On sait ce qui s’est passé, c’est une chose habituelle pendant les Jeux Olympiques. Nous n’allons pas révéler la source.». Le directeur de la communication du CIO, a quant à lui assuré «Nous refusons de révéler les détails de notre enquête pour l’instant, mais nous le ferons».

Une cyberattaque à but destructif

Deux chercheurs de l’entreprise Talos Security ont pourtant analysé l’attaque et observé que l’objectif n’était pas de récupérer les données sensibles ou personnelles contenues sur les serveurs de l’organisation, mais bien de perturber le déroulement des Jeux. L’analyse des échantillons du virus a permis de faire mettre en lumière sa fonction principale : l’aspect destructif. Concrètement, les effets causés par cette cyberattaque, consistaient en la suppression des évènements du calendrier et de documents, et surtout de rendre inutilisable la machine affectée.

Les Jeux de PyeongChang, victimes une nouvelle fois

D’envergure mondiale et assurant une visibilité de choix pour les cybercriminels, les JO de PyeongChang n’en sont pas à leur première cyberattaque. Fin décembre 2017, l’infrastructure a subi une attaque consistant principalement en l’envoi de mails aux organisateurs de l’évènement. Ces  mails contenaient des fichiers Word infectés par un virus, selon l’analyse de l’entreprise McAfee.

Russie, Corée du Nord : les différentes pistes envisagées

Les potentiels responsables de l’attaque pourraient être la Russie, dont la délégation a été privée de Jeux en raison de dopage : McAfee a déclaré avant les Jeux disposer d’informations indiquant que des hackers basés en Russie prévoyaient des attaques en guise de représailles. On évoque aussi la piste de la Corée du Nord, malgré le rapprochement que les téléspectateurs ont pu observer durant la cérémonie d’ouverture.

Une attaque qui démontre, une nouvelle fois, la vulnérabilité des infrastructures informatiques malgré les moyens mis en œuvre.

FIC 2018 : La solution DNS Premium de Nameshield labellisée France Cybersecurity

FIC 2018 : La solution DNS Premium de Nameshield labellisée France CybersecurityCes 23 et 24 janvier, a eu lieu à Lille, la 10ème édition du Forum International de la Cybersécurité (FIC). Avec 7000 participants, 240 partenaires et 60 nationalités représentées, il s’agit d’un événement de référence en matière de cybersécurité et de confiance numérique, réunissant l’ensemble des acteurs en France et en Europe.

A cette occasion et pour sa première participation en tant qu’exposant, Nameshield s’est vu remettre le label France Cybersecurity pour sa solution DNS Premium.

Remise du label - DNS Premium labellisé France Cybersecurity - Nameshield
Remise du Label France Cybersecurity par Mounir Mahjoubi, Secrétaire d’Etat au Numérique

La solution labellisée DNS Premium de Nameshield

Le DNS est un vecteur d’attaque bien connu : DDoS, spoofing, Man in the Middle. Les attaques sont variées et sophistiquées. Devant l’ampleur de ces menaces, maintenir son infrastructure DNS est complexe.

Fiable et robuste, l’infrastructure hautement sécurisée DNS Premium de Nameshield est une solution DNS haute disponibilité, anycast et proposant des fonctionnalités expertes (Filtre anti-DDoS – Failover – GeoIp – DNSSEC – Statistiques fines – etc).

Cette solution labellisée France Cybersecurity, permet ainsi à ses utilisateurs de protéger leurs actifs numériques de toute attaque et garantit une haute disponibilité de leurs services Internet.

Qu’est-ce que le Label France Cybersecurity ?

DNS Premium de Nameshield labellisée France CybersecurityLe Label France Cybersecurity est la garantie pour les utilisateurs que les produits et services de Nameshield sont français et qu’ils possèdent des fonctionnalités claires et bien définies, avec un niveau de qualité en matière de cybersécurité vérifié par un jury indépendant.

Ce label répond à plusieurs besoins et objectifs :

  • sensibiliser les utilisateurs et donneurs d’ordre internationaux à l’importance de l’origine française d’une offre de cybersécurité et aux qualités qui lui sont propres ;
  • attester auprès des utilisateurs et donneurs d’ordre, la qualité et les fonctionnalités des produits et services ainsi labellisés ;
  • promouvoir les solutions de cybersécurité françaises et accroître leur visibilité en France et à l’international ;
  • accroître globalement leur usage et élever le niveau de protection des utilisateurs.

Ce label est gouverné par une structure composée de représentants réunis en 3 collèges :

  • Collège étatique : représentants de la Direction générale de l’armement (DGA), de la Direction générale des entreprises (DGE) du ministère de l’économie, de l’industrie et du numérique et de l’Agence nationale de la sécurité des systèmes d’information (ANSSI).
  • Collège utilisateurs : représentants des groupements d’utilisateurs CIGREF, GITSIS, CESIN, CLUSIF espace RSSI.
  • Collège industriel : représentants de l’Alliance pour la Confiance Numérique (ACN) et d’Hexatrust.

Nameshield, certifié ISO 27001 sur l’ensemble de son activité registrar, a su ainsi apporter toutes les garanties nécessaires à l’obtention du label France Cybersecurity pour son offre de sécurisation des noms de domaine, le DNS Premium et comme le souligne Gérard Gourjon, Directeur Général Adjoint de Nameshield : « L’obtention du Label France Cybersecurity illustre notre engagement à fournir à nos clients les meilleures prestations et standards en matière de cybersécurité. Chez Nameshield, nous sommes fiers de voir labellisée notre infrastructure DNS, ultra performante et hautement sécurisée ».

Pour en savoir plus sur notre solution labellisée DNS Premium : https://www.nameshield.com/cybersecurite/dns-premium/

Pour en savoir plus sur le Label France Cybersecurity : https://www.francecybersecurity.fr/

Firefox : les nouvelles fonctionnalités imposent une connexion HTTPS

Firefox : les nouvelles fonctionnalités imposent une connexion HTTPS

Google Chrome a longtemps fait parler de lui comme fer de lance dans la lutte pour imposer le HTTPS à tout le web. Mais ce serait une erreur d’oublier Mozilla et son navigateur Firefox qui adopte également cette volonté d’un internet totalement chiffré. On notera l’utilisation du terme chiffré et non « sécurisé » puis que le httpS est devenu tellement accessible que les premiers à en profiter sont les sites frauduleux, mais c’est un autre débat !

Après sa volonté de marquer les sites en HTTP comme étant non sécurisés, la fondation vient en effet d’annoncer qu’elle va augmenter le nombre de fonctionnalités web de Firefox nécessitant l’usage du HTTPS. Pour Mozilla le HTTPS doit devenir l’usage par défaut.

« À compter d’aujourd’hui, toutes les nouvelles fonctionnalités qui sont exposées sur le web seront restreintes aux contextes sécurisés. Exposée sur le web veut dire que la fonctionnalité peut être observée à partir d’une page web ou un serveur, que ça soit par JavaScript, CSS, HTTP, les formats média, etc. » commente Anne van Kestren.

Autrement dit, les communications entre le navigateur et le serveur externe devront être acheminées par HTTPS, sinon le standard ne fonctionnera pas avec le navigateur. Ce n’est pas réellement une surprise, la géolocalisation faisait déjà l’objet de ce traitement de faveur depuis le mois de mars 2017. Ces fonctionnalités, pour la plupart cachées, sont :

  • Géolocalisation
  • Bluetooth
  • HTTP/
  • Notifications Web (API)
  • Accès à la webcam et au microphone
  • Algorithme de compression web Brotli de Google
  • Accelerated Mobile Pages de Google (AMP)
  • Encrypted Media Extensions (EME)
  • Requête de paiement (API)
  • Service Workers utilisés par la synchronisation en arrière-plan et les notifications

Et bien sûr toutes les pages contenant une saisie d’information personnelle sont toujours accompagnées d’un cadenas barré.

Dans le futur, l’objectif affiché de Mozilla est d’imposer le HTTPS à toutes les fonctionnalités de Firefox.

Google annonce quant à lui son intention d’afficher les termes « non sécurisé » sur toutes les pages en http.

Si vous n’avez pas encore entrepris de migrer vos sites web, au moins les plus visibles, en httpS, il est grand temps de se pencher sur la question.

Réduction des certificats SSL à 2 ans maximum

Réduction des certificats SSL à 2 ans maximum

Le CAB Forum, l’organisme qui définit les règles d’émission et de gestion des certificats SSL a approuvé la réduction des certificats SSL à une durée de 2 ans contre 3 précédemment. Initiée par les navigateurs, Chrome et Mozilla en tête, cette décision va dans le sens d’un Internet toujours plus sécurisé en obligeant les acteurs à renouveler plus souvent leurs clés de sécurité et rester sur les derniers standards du marché.

Cette décision sera applicable pour toutes les Autorités de Certification au 1er Mars 2018. Afin d’assurer une transition en douceur, Nameshield ne proposera plus de certificats d’une durée de 3 ans dès le 1er Février 2018.

Quelle incidence pour vos certificats ?

Les nouveaux certificats auront donc une durée maximale de 825 jours (2 ans et 3 mois pour couvrir la possibilité de renouvellement anticipé de 90 jours). Les certificats EV étaient déjà dans ce cas de figure, sont donc concernés les certificats DV et OV sous toutes leurs formes (standard, multi-sites ou wildcard). Rien de particulier pour ces certificats.

Pour les certificats existants, cette nouvelle durée aura une conséquence puisque qu’elle s’appliquera à tous les certificats à partir du 1er Mars. Un certificat de 3 ans émis récemment et qui aurait besoin d’être remplacé au-delà du délai des 825 jours devra donc être de nouveau authentifié. Il est donc important de le savoir pour éviter des réémissions en urgence, y compris pour le simple ajout d’un SAN. Il faudra donc vérifier au préalable si le certificat à remplacer risque d’être impacté, c’est le cas des certificats DV et OV, les EV ne sont là non plus pas concernés.

L’équipe SSL de Nameshield vous préviendra quant aux certificats concernés.

Afrique du Sud, noms de domaine et marques : l’atout gagnant d’un enregistrement simultané

dot africa - enregistrement simultané marques noms de domaine - Nameshield

Le nom de domaine est au virtuel ce que la marque est au réel. C’est en vérité un peu plus compliqué mais cette petite phrase permet d’associer marques et noms de domaine.

C’est dans le cadre de cette vision partagée que l’Office d’enregistrement des marques Sud-Africain CIPC a noué un partenariat avec le registre du .ZA l’extension géographique de l’Afrique du Sud.

Ainsi, les déposants de marque peuvent choisir l’option ‘nom de domaine’, enregistrant ainsi les deux protections. C’est bien là la première collaboration que je vois entre ces types de bureau d’enregistrement.

Pour plus d’informations, vous pouvez lire le communiqué du CIPC.

A noter qu’un webinar est prévu le jeudi 25 janvier 2018.

Actualités de l’ICANN sous le prisme du RGPD

Actualités de l’ICANN sous le prisme du RGPD
Source de l’image: Wokandapix via Pixabay

Le Règlement Général sur la Protection des Données (RGPD, ou GDPR en anglais) entre en application le 25 mai prochain. Ce texte a pour objet d’instaurer une réglementation uniforme pour les 28 Etats membres de l’Union Européenne (UE). Le but affiché étant de responsabiliser les entreprises, puisque le régime déclaratif jusqu’à présent en vigueur laisse place à la gouvernance interne des données personnelles par les entreprises.

Internet a peu de frontières, le RGPD non plus !

Le Règlement met à jour la législation en matière de données personnelles, et prend ainsi en compte les nombreux échanges numériques liés à la généralisation d’internet. Ainsi, le texte ne limite pas les obligations aux seules entreprises européennes traitant des données à caractère personnel de citoyens établis dans l’UE. Ainsi, toute entreprise, établie en UE ou non, qui traite des données personnelles de citoyens établis au sein de l’UE devra respecter les règles et obligations imposées par le RGPD.

Ce principe d’extraterritorialité a pour conséquence d’imposer la mise en conformité au Règlement par un grand nombre d’entreprises établies hors UE offrant des services à des citoyens résidant en UE.

L’écosystème des noms de domaine n’est donc pas épargné. Qu’il s’agisse de l’ICANN, des Registres et des Bureaux d’enregistrement, tous les maillons de la chaîne des noms de domaine peuvent être amenés à traiter des données à caractère personnel de résidants européens, et doivent ainsi se conformer au RGPD pour les traitements concernés.

Le Whois, une base de données mondiale de données à caractère personnel

L’ICANN, en sa qualité de coordinateur de la gestion des noms de domaine, a construit un système d’accréditation des Registres et Bureaux d’enregistrement. En effet, parmi les obligations des contrats d’accréditation, les Registres et Bureaux d’enregistrement doivent publier un annuaire Whois permettant d’afficher publiquement la fiche d’identité d’un nom de domaine recherché. Cette obligation concerne les extensions génériques (.COM, .NET, .XYZ, etc). Les Registres d’extensions pays mettent également un annuaire Whois à disposition, mais ont une meilleure maîtrise du contenu proposé.

Ainsi, pour un nom générique, il est possible d’accéder librement à des données à caractère personnel, permettant d’identifier les nom et prénom de la personne titulaire, mais également son domicile, ou encore ses moyens de communication (numéro de téléphone et fax, adresse email).

Le groupe de travail réunissant les autorités de contrôle des données en UE, connu sous le nom G29, ne manque pas de suivre avec intérêt l’actualité de l’ICANN vis-à-vis du respect de la réglementation européenne.

G29 versus ICANN

Le G29 a ainsi adressé un courrier à l’ICANN le 6 décembre 2017 à propos de la publication des données Whois, afin de rappeler à l’ICANN son statut de responsable conjoint du traitement en ce qui concerne la publication illimitée des données Whois, mais également lui communiquer ses inquiétudes à ce sujet.

Les inquiétudes du G29 portent notamment sur la base légale des traitements réalisés dans le cadre de la publication illimitée des données Whois. Selon le G29, parmi les fondements légaux de l’article 6 du RGPD, peuvent être retenus les suivants : le consentement de la personne concernée, l’exécution d’un contrat auquel la personne concernée est partie, ou les intérêts légitimes poursuivis par le responsable du traitement. Mais la publication illimitée des données Whois ne permet pas aujourd’hui de satisfaire à l’un de ces fondements.

En effet, la personne concernée par le traitement ne donne par un consentement « libre », elle n’est pas non plus signataire du contrat liant l’ICANN et le Registre ou le Bureau d’enregistrement, ces derniers requérant la publication du Whois. Sur le 3ème fondement, le G29 considère que la publication illimitée des données Whois ne permet pas d’invoquer l’intérêt légitime poursuivi par le responsable de traitement. On retrouve ici le principe de minimisation des traitements, à savoir effectuer un traitement de manière spécifique et pour une finalité déterminée.

Le G29 incite donc fortement l’ICANN à réfléchir à la mise en conformité aux obligations RGPD.

Les démarches de l’ICANN pour se conformer au RGPD

L’ICANN est aujourd’hui conscient que le système de Whois actuel n’est plus viable. Poursuivant l’objectif de mise en conformité, l’ICANN a mandaté un cabinet de conseil juridique pour étudier les différentes notions du Règlement appliquées à l’écosystème des noms de domaine, et plus particulièrement au Whois.

En parallèle, l’ICANN a pris la décision de ne pas engager de poursuites contre les Registres et Bureaux d’enregistrement se positionnant en non-conformité vis-à-vis des contrats d’accréditation en raison du respect des obligations RGPD. Cette exemption est accordée sous conditions, notamment en partageant à l’ICANN le modèle de conformité adopté.

Une refonte du Whois en 2018 ?

Les premières propositions de modèle de Whois conforme au RGPD concordent vers un système d’accès différencié selon la qualité de la personne demanderesse. Ces propositions ne modifient pas tant la collecte des données, mais plus la manière dont elles sont affichées.

Les personnes physiques auraient la possibilité de masquer leurs données personnelles, selon un système d’opt-in au moment de l’enregistrement. Egalement, avant d’afficher la fiche Whois, une proposition de modèle envisage de cocher quelle est la finalité recherchée, telle que connaître la disponibilité du nom de domaine, ou lutter contre une fraude, ou contacter le titulaire pour lui signifier une atteinte à un droit de propriété intellectuelle. La fiche Whois afficherait ainsi les données personnelles nécessaires à la finalité poursuivie par le demandeur.

Le cabinet Hamilton, conseil juridique de l’ICANN sur le RGPD, conclut son étude en évoquant la nécessaire révision du Whois, et rejoint les propositions en conseillant de réfléchir à une solution temporaire permettant un accès différencié par couches aux données du Whois, selon la finalité poursuivie par le demandeur.

Cette hypothèse corrobore avec celle évoquée par le G29 dans son courrier du 7 décembre 2017. En effet, depuis 2003, le G29 évoque cette solution d’accès aux données Whois par couches.

Ces réflexions rejoignent enfin ce qui est d’ores et déjà en vigueur pour certaines extensions pays ou régionales, telles que .FR, ou .EU, nécessitant de justifier la finalité poursuivie afin de bénéficier de la levée de l’anonymat d’un titulaire personne physique.

La création d’une marque, entre passé et futur

Créer une marque est un exercice de communication complexe et doit donc être réalisé avec réflexion et planification. Si la classification de Nice permet la coexistence de marques identiques, le système de noms de domaine ne le permet pas. Il paraît important de rappeler que la surveillance via les noms de domaine est une activité aisée et surtout indispensable.

Prenons JOON, nouvelle compagnie d’Air France. Nouveau nom, dépôt de marque effectué : RAS. Sauf que le nom de domaine JOON.FR n’a pas été réservé et c’est son titulaire qui a subi un afflux de visiteurs. D’où la capture d’écran ci-dessous. Depuis, le nom de domaine redirige vers le site d’Air France. Et en même temps, Air France n’a pas regardé les autres noms de domaine comprenant le terme JOON. D’où ce conflit avec la marque Hey Joon.

Site internet Joon.fr
Site internet Joon.fr

 

Autre problème qui peut également arriver : le blacklistage du nom de domaine. C’est l’entreprise française CHEERZ qui en a fait les frais.

Résumons, concernant les noms de domaine, voilà la liste de choses à faire:

  • Surveiller les noms de domaine via une recherche de disponibilité ;
  • Surveiller les username via une recherche de disponibilité ;
  • Regarder le passé du nom de domaine en question.