Qu'est-ce que le « typosquatting » ?

Une single erreur de saisie dans une URL peut rediriger les utilisateurs vers le mauvais site. Le « typosquatting » tire parti de ce moment en utilisant des noms de domaine qui ressemblent à ceux de sites web légitimes.

Pour les entreprises, le risque ne se limite pas aux visites fortuites. Un nom de domaine issu d'un « typosquatting » peut servir à mener des attaques de Phishing, au vol d'identifiants, à la diffusion de malware, business email compromise, et à l'usurpation d'identité d'une marque. Le « typo-squatting » constitue donc un problème en matière de noms de domaine, d'adresses e-mail et de sécurité des personnes.

Qu'est-ce que le « typosquatting » ?

Le « typosquatting » est une cyberattaque dans laquelle des acteurs malveillants enregistrent des noms de domaine qui ressemblent à ceux de sites web légitimes, mais comportent de légères modifications, telles que des fautes de frappe, des lettres interverties, des caractères manquants ou des domaines de premier niveau trompeurs.

Ces domaines similaires sont suffisamment courants pour affecter les grandes marques en ligne ; une étude a ainsi révélé que 13 857 domaines de « typosquatting » ciblaient les 500 sites web les plus visités au monde. Un nom de domaine issu d'un « typosquatting » est conçu pour ressembler à première vue à un nom familier, afin que les utilisateurs puissent se rendre sur le mauvais site sans s'en rendre compte.

Le « typosquatting » est également appelé « détournement d'URL » et est lié à l'usurpation de nom de domaine, à l'usurpation de marque et au cybersquatting. L'objectif principal est d'exploiter la confiance que suscitent les noms, domaines et marques connus afin de permettre aux pirates de rediriger le trafic, de voler des identifiants, de collecter des informations sensibles ou de faciliter le phishing et la fraude.

Le « typosquatting » par opposition au « cybersquatting »

Le « typosquatting » et le « cybersquatting » sont deux phénomènes liés, mais ils ne sont pas tout à fait identiques. Le « typosquatting » consiste à exploiter des noms de domaine similaires comportant de légères erreurs ou des modifications de caractères, qui induisent les utilisateurs en erreur et les poussent à saisir une URL de manière erronée, à cliquer sur un lien trompeur, à scanner un code QR ou à ne pas remarquer une différence dans un message de Phishing.

Le cybersquatting recouvre un champ plus large, car il consiste à enregistrer des noms de domaine liés à une marque, à un signe distinctif ou à une raison sociale dans le but d'en tirer profit par la revente, l'utilisation abusive ou la confusion. Dans la pratique, le « typosquatting » est souvent utilisé à des fins de tromperie délibérée, tandis que le « cybersquatting » peut également impliquer la revente de noms de domaine, l'utilisation abusive de marques déposées ou la confusion entre marques.

Comment fonctionne le typosquatting ?

Une attaque de « typosquatting » suit généralement un schéma simple. Le nom de domaine semble familier, l'utilisateur lui fait confiance, et le pirate exploite cette confiance pour voler des informations ou rediriger le trafic.

Identifiez une marque ou un domaine de confiance

Les pirates commencent souvent par cibler un site web populaire, une plateforme professionnelle, un portail fournisseur ou une page de connexion. Ils choisissent des noms que les utilisateurs sont susceptibles de reconnaître, tels que des applications professionnelles, des outils de gestion de la paie, des sites de partage de fichiers, des banques, des portails de commerce en ligne ou des pages d'assistance client.

Enregistrer un nom de domaine similaire

L'attaquant crée un domaine similaire en utilisant une faute d'orthographe courante, une lettre manquante, un caractère ajouté, une lettre intervertie ou un domaine de premier niveau trompeur. Une petite modification peut suffire si les utilisateurs naviguent rapidement ou consultent le lien sur un appareil mobile.

Créer un site trompeur ou mettre en place une redirection

Le site frauduleux peut imiter une page de connexion, un portail de paiement, un service d'assistance, une page de partage de fichiers ou une page de téléchargement de logiciels. Dans d'autres cas, le nom de domaine peut rediriger les utilisateurs vers des publicités, des pages frauduleuses, des téléchargements malveillants ou d'autres infrastructures contrôlées par des pirates.

Attirer les utilisateurs vers le faux domaine

Certains utilisateurs accèdent à des domaines victimes de « typosquatting » en saisissant une URL erronée. D'autres proviennent d'e-mails de Phishing, de résultats de recherche, de publicités payantes, de codes QR, de publications sur les réseaux sociaux ou de liens partagés via des outils de collaboration. C'est pourquoi le typosquatting s'avère souvent plus efficace lorsqu'il est associé à des campagnes de phishing.

Tirez le meilleur parti de cette visite

Une fois que les utilisateurs se connectent, les pirates peuvent voler des identifiants, intercepter des informations de paiement, collecter des données personnelles, installer des malware, rediriger le trafic ou usurper l'identité de la marque de confiance. Certaines pratiques de « typosquatting » publicitaire permettent également de générer des revenus chaque fois qu'un internaute visite le site ou clique sur une publicité.

Quels sont les types courants de noms de domaine utilisés à des fins de « typosquatting » ?

Les noms de domaine issus du « typosquatting » reposent souvent sur de légères modifications orthographiques ou de caractères. Cette différence peut sembler évidente lorsqu'on l'examine isolément, mais elle passe facilement inaperçue dans un e-mail, un résultat de recherche ou un navigateur mobile.

• Fautes d'orthographe — Utilisez une faute d'orthographe courante ou une variante phonétique, comme « exampel.com ».
• Lettres manquantes — Supprimez un caractère du nom de domaine valide, par exemple « examle.com ».
• Lettres ajoutées — Ajoutez un caractère supplémentaire, par exemple « exampple.com ».
• Caractères répétés — Répétez une voyelle ou une consonne, comme dans « exammple.com ».
• Lettres interverties — Réorganisez les lettres voisines, comme dans « exmaple.com ».
• Fautes de frappe dues à des touches adjacentes — Remplacer un caractère par une lettre voisine sur le clavier, comme dans « exanple.com ».
• Mots au pluriel — Ajoutez ou supprimez un « s », comme dans « examples.com ».
• Versions avec trait d'union — Insérez un trait d'union pour donner un aspect officiel, par exemple « example-login.com ».
• Domaines de premier niveau similaires — Remplacez l'extension, par exemple « example.co » au lieu de « example.com ».

Les pirates peuvent également utiliser des caractères visuellement similaires ou des noms de domaine internationalisés afin de rendre un domaine de « typosquatting » plus difficile à repérer. C'est pourquoi vous ne devez pas vous fier uniquement à un contrôle visuel.

Quels sont les exemples de « typosquatting » dans le cadre d'attaques visant les entreprises ?

Les attaques de typosquatting visant les entreprises ciblent souvent les outils que les employés utilisent déjà. Ce site frauduleux n'a pas besoin de tromper tout le monde. Il suffit de tromper un seul utilisateur disposant des droits d'accès appropriés.

Fausses pages de connexion à Microsoft 365

Les pirates peuvent imiter des pages de connexion courantes sur le lieu de travail afin de voler des noms d'utilisateur, des mots de passe, des codes d'authentification multifactorielle (MFA) ou des informations de session. Une fois les identifiants obtenus, les pirates peuvent tenter d'accéder à vos e-mails, à vos documents, à Teams ou à d'autres applications connectées.

Portails RH

Un faux portail RH peut être utilisé pour collecter les dossiers des salariés, leurs informations fiscales, les renseignements relatifs à leurs avantages sociaux ou leurs identifiants de connexion. Ces attaques peuvent survenir pendant les périodes d'adhésion, d'intégration ou de mise à jour de la paie.

Sites de gestion de la paie

Les pages de gestion des salaires victimes de « typosquatting » peuvent permettre de récupérer des coordonnées bancaires, des informations relatives aux virements automatiques, les identifiants des salariés ou les identifiants de connexion aux comptes. Cela peut entraîner des fraudes liées à la paie, des usurpations d'identité ou des prises de contrôle de compte.

Pages de partage de fichiers

Les pirates peuvent se faire passer pour des services de partage de documents afin d'inciter les employés à ouvrir des fichiers malveillants ou à saisir leurs identifiants. Une fausse page de « document partagé » peut s'avérer particulièrement efficace lorsqu'elle est envoyée depuis un compte piraté.

Plateformes de gestion des dépenses

Les faux sites de remboursement ou de gestion des dépenses peuvent collecter des informations de paiement, des données financières internes ou les identifiants des employés. Ces attaques peuvent être programmées pour coïncider avec des déplacements, des achats ou l'établissement des rapports de fin de mois.

Pages de connexion VPN ou SSO

Des pages VPN ou single sign-on falsifiées peuvent permettre aux attaquants d'accéder plus largement aux systèmes de l'entreprise. Si l'utilisateur saisit des identifiants valides, le pirate pourrait s'introduire dans le système afin d'obtenir un accès non autorisé ou de se déplacer latéralement.

Quels sont les risques commerciaux liés au « typosquatting » ?

Le « typosquatting » peut servir de point d'entrée plutôt que de constituer une menace en soi. Un site web frauduleux, un e-mail de Phishing, un code QR ou un message d'ingénierie sociale peut entraîner des problèmes plus graves en matière de sécurité et de fraude.

• Vol d'identifiants — De fausses pages de connexion peuvent permettre de collecter les noms d'utilisateur, mots de passe, codes d'authentification multifactorielle (MFA), jetons et informations de session des employés, clients ou fournisseurs.
• Phishing — Un nom de domaine similaire peut rendre les e-mails de Phishing, les codes QR, les publicités et les publications sur les réseaux sociaux plus crédibles aux yeux d'utilisateurs peu méfiants.
• Perte financière — Les pirates peuvent utiliser des noms de domaine issus de « typosquatting » pour collecter des informations de paiement, rediriger des factures, faciliter des fraudes par virement bancaire ou inciter les utilisateurs à payer de faux fournisseurs.
• Atteinte à la réputation — Un site web victime de « typosquatting » peut amener les clients à se demander si une marque est fiable, surtout si les utilisateurs perdent leurs identifiants ou des informations sensibles.
• Problèmes juridiques — Les entreprises peuvent être amenées à consacrer du temps et de l'argent à des enquêtes, des litiges relatifs aux noms de domaine, des demandes de retrait, des notifications aux clients et d'éventuelles actions en justice.
• Diffusion de malware— Les sites frauduleux peuvent inciter les utilisateurs à télécharger des fichiers malveillants, des mises à jour de navigateur, des factures ou des programmes d'installation de logiciels.
• Ransomware entry points — malware diffusés via un site de typosquatting peuvent offrir aux attaquants un point d'ancrage initial pour mener leurs activités de Ransomware .
• business email compromise support — Les domaines similaires peuvent servir à diffuser de faux messages de fournisseurs, à commettre des fraudes à la facturation, à demander des modifications de paiement et à usurper l'identité de dirigeants.
• Prise de contrôle de compte — Le vol d'identifiants peut permettre aux attaquants d'accéder à la messagerie électronique, aux applications SaaS, aux portails clients ou aux systèmes internes.
• Accès non autorisé — Les identifiants, jetons ou données de session interceptés peuvent permettre aux attaquants de consulter des données sensibles ou de s'infiltrer plus profondément dans l'environnement.

Le typosquatting peut également avoir des répercussions sur les chaînes d'approvisionnement logicielles. Dans certains cas, les pirates créent un paquet malveillant dont le nom est similaire à celui d'un paquet légitime, dans l'espoir que les développeurs installent le mauvais.

Comment les organisations peuvent-elles détecter le typosquatting ?

La détection commence par une visibilité globale sur les domaines, les URL, les e-mails, le comportement des utilisateurs et les menaces signalées. L'objectif est de détecter toute activité suspecte avant que les utilisateurs ne se laissent piéger par le faux site.

Surveiller les domaines et les URL

Les organisations doivent surveiller les domaines nouvellement enregistrés, les domaines similaires, les domaines de premier niveau suspects, les domaines associant une marque à un mot-clé, ainsi que les caractères visuellement similaires. Les équipes doivent également surveiller le trafic suspect, les URL bloquées, les clics des utilisateurs, les signalements de Phishing et les tentatives de connexion inhabituelles liées à des sites contrefaits.

Détecter les e-mails et les comportements des utilisateurs présentant un risque

Les outils de sécurité des e-mails doivent identifier les messages contenant des liens vers des domaines mal orthographiés, des redirections suspectes, de fausses pages de connexion, des sites visant à récupérer des identifiants et des portails de paiement inattendus. Les indicateurs de comportement des utilisateurs, tels que les clics à risque répétés, les soumissions d'identifiants, les échecs de connexion ou les signalements de domaines ressemblant à ceux de la marque, peuvent aider les équipes à identifier les utilisateurs exposés et à mettre en place des contrôles plus stricts.

Comment les organisations peuvent-elles prévenir les attaques de « typosquatting » ?

Les organisations ne peuvent pas empêcher les pirates d'enregistrer tous les noms de domaine trompeurs, mais elles peuvent réduire leur vulnérabilité. La prévention doit associer la surveillance des domaines, la sécurité des e-mails, les contrôles DNS, la sensibilisation des utilisateurs et des procédures d'intervention claires.

• Surveiller les enregistrements de noms de domaine — Suivre les noms de domaine nouvellement enregistrés, les noms de domaine similaires, les domaines de premier niveau suspects, ainsi que les variantes associant une marque à un mot-clé susceptibles d'imiter l'organisation ou ses partenaires.
• Enregistrez des domaines défensifs — Protégez-vous en enregistrant les fautes d'orthographe courantes, les domaines de premier niveau alternatifs et les variantes à haut risque avant que les pirates ne puissent s'en servir.
• Renforcez l'authentification des e-mails — Utilisez les protocoles DMARC, SPF et DKIM pour réduire l'usurpation de domaine et faciliter l'identification des e-mails frauduleux.
• Renforcez la sécurité DNS — Utilisez le filtrage DNS et les contrôles de sécurité pour détecter les schémas de résolution suspects, bloquer les domaines malveillants et réduire le trafic redirigé.
• Utilisez le filtrage des URL et l'isolation du navigateur — Bloquez les domaines malveillants connus, les redirections suspectes, les domaines « sosies » récemment détectés et les URL liées à des tentatives de Phishing ou de vol d'identifiants.
• Mettez en place des procédures de retrait — Définissez un processus clair permettant de signaler, de valider et de supprimer rapidement les domaines frauduleux ou les faux sites web.
• Utilisez des signets pour les sites essentiels — Encouragez les collaborateurs à enregistrer les sites Web de l'entreprise, les portails des fournisseurs et les pages de connexion qu'ils utilisent fréquemment, plutôt que de saisir manuellement les URL.
• Sensibilisez les utilisateurs aux domaines similaires — Apprenez à vos collaborateurs à vérifier les liens, à ne pas se précipiter lorsqu'ils sont invités à se connecter et à signaler les domaines suspects avant de saisir leurs identifiants.

Ces mesures de contrôle sont d'autant plus efficaces qu'elles sont mises en œuvre conjointement. La surveillance des noms de domaine peut permettre d'identifier les enregistrements suspects, tandis que la sécurité des e-mails, l'inspection des URL, le filtrage DNS et la sensibilisation des utilisateurs peuvent réduire le risque que les employés accèdent à un site frauduleux ou lui accordent leur confiance.

Pour les organisations qui ont besoin d'une protection renforcée contre les URL malveillantes et les domaines similaires, la solution Mimecast URL Protection permet d'analyser les liens au moment où l'utilisateur clique dessus et de bloquer l'accès aux destinations suspectes.

Comment Mimecast peut-il vous aider à vous protéger contre le typosquatting ?

Mimecast aide les entreprises à se protéger contre le typosquatting en réduisant le risque que les utilisateurs cliquent sur des liens malveillants, des pages de Phishing, des sites visant à récupérer des identifiants et des redirections suspectes.

Protection de l'URL au moment du clic

La solution « Mimecast URL Protection » permet de vérifier les liens contenus dans les e-mails et les pièces jointes lorsque les utilisateurs cliquent dessus. Cela est important car les pirates peuvent envoyer des liens qui semblent sûrs au moment de leur réception, mais qui redirigent par la suite vers un site malveillant, une page de Phishing, une page de Ransomware ou un domaine victime de typosquatting.

Protection pour la messagerie électronique et les outils de collaboration

Le « typosquatting » ne se limite pas aux e-mails traditionnels. Les pirates peuvent insérer des liens malveillants dans des fichiers partagés, des conversations Teams, du contenu SharePoint, des documents OneDrive et d'autres canaux de collaboration ; c'est pourquoi la protection des liens et du contenu doit aller au-delà de la boîte de réception.

Visibilité des risques liés au capital humain et accompagnement

Mimecast permet de relier le comportement en matière de clics sur les liens à la gestion des risques liés aux facteurs humains. Si certains utilisateurs consultent de manière répétée des URL à risque, les équipes de sécurité peuvent identifier des tendances, proposer un accompagnement, mettre en place des incitations comportementales et concentrer leurs mesures de protection là où le risque est le plus élevé.

Renforcer les mesures de protection contre le typosquatting

Le « typosquatting » transforme de légères différences entre noms de domaine en opportunités de Phishing, de malware, de fraude et d'usurpation d'identité de marque. Une lettre manquante, un caractère interverti ou un nom de domaine de premier niveau trompeur peuvent suffire à induire les utilisateurs en erreur, à voler des identifiants ou à ouvrir une brèche dans les systèmes de l'entreprise.

Pour prévenir le « typosquatting », il ne suffit pas de demander aux utilisateurs de « bien regarder » les liens. Les organisations ont besoin d'une protection à plusieurs niveaux couvrant la surveillance des domaines, la sécurité des e-mails, le filtrage DNS, l'inspection des URL, l'isolation des navigateurs, les processus de retrait de contenu et la gestion des risques liés au facteur humain. Mimecast aide les entreprises à renforcer leur protection contre les URL malveillantes, le phishing, l'usurpation d'identité et les menaces ciblant les utilisateurs, que ce soit par e-mail ou via les canaux de collaboration.