Empêcher le phishing avec son nom de domaine

Comment fermer chacun de ces trois vecteurs

Pour le premier vecteur, la réponse est directe : DMARC en p=reject, précédé de l'alignement complet des sources légitimes. La démarche complète est dans atteindre p=reject sans casser ses emails.

Pour le deuxième, les balises sp et np couvrent respectivement les sous-domaines existants et inexistants — np en particulier est un gain immédiat, sans aucun risque de faux positif.

Pour le troisième, la défense change de nature : puisque DMARC ne peut techniquement rien contre un domaine différent, il faut une surveillance active des nouveaux enregistrements ressemblant au nom de la marque, couplée à un enregistrement préventif des variantes les plus évidentes. Plusieurs services spécialisés surveillent en continu les nouveaux dépôts de domaines et alertent dès qu'une variante suspecte apparaît — un signal précoce précieux, souvent capté avant même la première campagne de phishing lancée depuis ce domaine, ce qui laisse le temps d'agir (mise en demeure, signalement au registrar, alerte préventive aux clients) avant que l'attaque n'atteigne sa cible.

L'enregistrement préventif mérite une nuance : impossible d'acheter toutes les variantes possibles — les combinaisons d'extensions, de tirets et de fautes de frappe sont pratiquement infinies, et le budget serait mieux employé ailleurs. L'approche raisonnable consiste à enregistrer la poignée de variantes qu'un attaquant choisirait en premier (le jumeau .com du .fr principal, la version avec tiret d'un nom composé, la ou les deux fautes de frappe les plus naturelles) et à laisser la veille couvrir le reste. Posséder dix domaines qui ne serviront jamais n'est pas le but ; retirer du menu de l'attaquant les options les moins chères et les plus crédibles, si.

Le rôle de la surveillance continue

Une protection efficace contre le phishing au nom d'une marque n'est pas un projet ponctuel mais une surveillance permanente, pour deux raisons. D'abord, les attaquants testent régulièrement de nouvelles variantes — un domaine bloqué aujourd'hui n'empêche pas l'enregistrement d'une nouvelle variante demain. Ensuite, l'infrastructure de l'entreprise évolue : un nouveau sous-domaine créé par une équipe marketing, un nouveau prestataire d'envoi non encore aligné en DKIM, sont autant d'ouvertures temporaires qui n'existaient pas au moment du dernier audit de sécurité.

Cette surveillance se construit autour de trois flux à lire régulièrement : les rapports agrégés DMARC (pour détecter les tentatives sur le domaine exact et ses sous-domaines), un service de veille sur les domaines ressemblants (pour le troisième vecteur), et un signalement facile pour les clients et employés qui repèrent un email suspect (pour capter ce que les deux premiers flux manquent).

Ce qu'une marque peut communiquer à ses clients

Une mesure organisationnelle complète la défense technique : expliquer clairement aux clients comment l'entreprise communique réellement — quels domaines elle utilise pour l'email, si elle demande ou non des informations sensibles par ce canal, quelle est sa politique sur les liens dans ses communications. Un client qui sait que « nous ne demandons jamais de mot de passe par email » repère immédiatement une tentative de phishing qui viole cette règle, indépendamment de la sophistication technique de l'attaque — cette règle simple fonctionne même contre un email parfaitement authentifié techniquement mais malveillant dans son contenu, un cas que DMARC ne peut jamais couvrir.

Un exemple concret de campagne, décomposé

Pour rendre ces trois vecteurs tangibles, voici comment ils se combinent souvent dans une campagne réelle contre une entreprise de vente en ligne. L'attaquant commence par tester le vecteur le plus simple : un email prétendant venir de commandes@boutique-exemple.fr, promettant un remboursement suite à un problème de livraison, avec un lien vers une fausse page de paiement destinée à collecter les données de carte bancaire. Si le domaine n'a pas de DMARC en application, ce message part normalement — aucune barrière technique ne l'arrête, et la campagne peut toucher des milliers de destinataires en quelques heures avant d'être repérée.

Une fois ce vecteur fermé (DMARC en p=reject), l'attaquant, s'il persiste, se rabat sur le deuxième vecteur : il teste des sous-domaines plausibles comme remboursement.boutique-exemple.fr ou service-client.boutique-exemple.fr, en espérant qu'ils échappent à la politique appliquée sur le domaine racine. Sans balise np, cette tentative peut fonctionner, exactement comme si le domaine racine n'avait jamais été protégé.

Si les deux premiers vecteurs sont fermés, l'attaquant investit dans le troisième, plus coûteux mais toujours efficace : il enregistre boutique-exemple-fr.com ou une variante avec une lettre substituée, configure ses propres DNS (aucune obligation de sécurité ne s'applique à un domaine qu'il contrôle entièrement), et relance la même campagne depuis cette nouvelle base. C'est ce dernier palier que seule une veille active peut détecter à temps, souvent en observant le dépôt du nom de domaine lui-même auprès des registres publics, avant même le premier envoi d'email.

Cette progression illustre pourquoi les trois défenses doivent être pensées ensemble dès le départ, plutôt que d'être ajoutées une par une après chaque nouvelle vague d'attaque — un attaquant déterminé testera systématiquement le vecteur le moins protégé, et n'abandonnera pas simplement parce que le premier a été fermé.

Le coût de la réputation, au-delà du préjudice financier direct

Il est utile de chiffrer, même approximativement, ce que coûte une campagne de phishing réussie au nom d'une marque, au-delà des pertes financières directes des victimes. Une entreprise dont le nom a été utilisé dans une campagne médiatisée fait face à une baisse mesurable de la confiance client, un besoin de communication de crise, et parfois des questions de ses propres partenaires sur la solidité de ses pratiques de sécurité, voire une remise en cause de contrats en cours de négociation. Pour une entreprise dont l'activité repose sur la confiance — services financiers, e-commerce, santé — cet impact réputationnel dépasse largement le coût de mise en place des défenses décrites ici, qui reste, pour la première d'entre elles au moins, entièrement gratuit et rapide à déployer.

Faire le point sur la situation

Avant d'investir dans une surveillance de domaines ressemblants ou des procédures de communication, la première question reste la même que pour toute défense contre l'usurpation : le domaine exact est-il déjà protégé par DMARC en application ? C'est le vecteur le plus dommageable et le plus simple à fermer, donc la priorité absolue avant de traiter les deux autres — inutile d'investir dans une veille sophistiquée sur les domaines ressemblants si la porte d'entrée principale reste grande ouverte.

Un passage du domaine dans l'analyseur DMARC gratuit vérifie la configuration en place en quelques secondes — politique, alignement, couverture des sous-domaines.

En résumé

Le phishing qui utilise le nom de domaine d'une entreprise est le plus dommageable pour sa marque, précisément parce qu'il détourne la confiance construite au fil du temps. Trois vecteurs distincts — usurpation directe, sous-domaines non couverts, domaines ressemblants réellement enregistrés — appellent trois défenses différentes : DMARC en application, balises sp/np, et surveillance active, chacune fermant une porte que les deux autres laissent ouverte. Traiter les trois ensemble, plutôt que de s'arrêter à la première, est ce qui distingue une protection réelle d'une protection partielle qui laisse encore des angles ouverts à un attaquant patient et méthodique, prêt à essayer la porte suivante.