Protéger les actifs numériques : détournement de domaine, hameçonnage et usurpation de marque

Les actifs numériques d'une marque ne sont pas constitués uniquement de comptes de sites Web et de réseaux sociaux. Le nom de domaine, les enregistrements DNS, l'infrastructure de courriel d'entreprise, les certificats SSL/TLS, les sous-domaines et les profils numériques utilisés pour le compte de la marque font partie de la même chaîne de confiance.

Compromettre un maillon faible peut donner plus qu’un accès technique : l’attaquant peut utiliser la marque pour cibler clients, salariés ou partenaires.

Détournement de domaine, phishing, typosquatting et usurpation de marque sont donc des risques majeurs à l’intersection de la cybersécurité et de la protection des marques.

Qu'est-ce que le détournement de domaine?

Le détournement de domaine fait référence à la possession non autorisée du contrôle d'un nom de domaine. L'attaquant peut accéder au compte d'enregistrement, modifier les enregistrements DNS ou abuser du processus de transfert de domaine.

Par conséquent, les visiteurs peuvent être dirigés vers un site contrôlé par l'agresseur, le trafic de courrier électronique peut être affecté, ou des communications frauduleuses peuvent être effectuées pour le compte de la marque.

Que se passe-t-il si un domaine est détourné ?

Le site peut être redirigé vers un autre serveur.
Le service de messagerie de l’entreprise peut être interrompu.
Une fausse page de paiement ou connexion peut apparaître.
Les clients peuvent recevoir des messages de phishing au nom de la marque.
La visibilité des moteurs de recherche et la réputation de la marque peuvent être endommagés.
Les services tiers basés sur le DNS peuvent être affectés.

Le compte du bureau d’enregistrement est essentiel

La sécurité commence par le compte du bureau d’enregistrement. S’il est compromis, l’attaquant peut accéder au DNS ou aux transferts.

Pour ce compte :

mot de passe unique et puissant,
authentification multifacteur,
coordonnées de récupération à jour,
verrouillage de transfert de domaine,
accès limité de l'administrateur

Il faut que ce soit mis en œuvre.

Le compte DNS est un secteur de risque distinct

Même si le bureau d’enregistrement est sécurisé, compromettre un compte DNS distinct peut avoir des effets similaires.

Des modifications non autorisées de A, AAAA, MX, CNAME ou TXT peuvent rediriger le trafic Web ou mail vers l’infrastructure de l’attaquant.

Que fournit DNSSEC?

DNSSEC peut aider à vérifier l'intégrité des réponses DNS dans les infrastructures supportées. Toutefois, elle n'empêche pas à elle seule l'interception du compte de domaine.

DNSSEC complète la sécurité du bureau d’enregistrement, MFA et le suivi des modifications sans les remplacer.

Le lien entre le phishing et l'appropriation de la marque

Le phishing vise généralement à faire croire qu’un message provient d’une source fiable. Une marque connue est donc précieuse pour l’attaquant.

Attaquant :

peut enregistrer un domaine qui ressemble à une marque,
peut copier le logo et l'identité d'entreprise,
peut ouvrir un faux compte de service à la clientèle,
peut créer une fausse campagne ou un écran de paiement,
Il peut tenter d'envoyer des courriels au nom de la marque.

Qu'est-ce que Typosquatting?

Typosquatting est l'utilisation de noms de domaine qui sont très similaires au domaine réel mais contiennent de petites différences d'orthographe.

Des méthodes telles que la réduction de lettres, le changement de lettres, l'ajout de traits, l'utilisation de différentes extensions ou l'utilisation de caractères visuels similaires peuvent être vus.

Tous ces domaines ne sont pas automatiquement malveillants. Cependant, en termes de marque, leur surveillance permet de détecter rapidement les risques.

Comment surveiller les domaines ressemblants ?

Non seulement le nom de domaine complet de la marque, mais aussi les variations possibles peuvent être tracées:

fautes de frappe,
différentes extensions,
les combinaisons de marque + campagne,
marque + support / login / états de paiement,
homoglyphes ou caractères visuellement similaires.

Tous les domaines identifiés ne doivent pas être classés comme une rupture; l'utilisation active, le contenu, le DNS, la configuration du courriel et la similitude avec la marque doivent être évalués.

Pourquoi le SPF, le DKIM et le DMARC sont-ils importants?

L'authentification par courriel est une couche de contrôle importante pour réduire les tentatives d'email frauduleuses au nom de la marque.

SPF

Il permet d'identifier les serveurs autorisés à envoyer des courriels pour le compte du domaine.

DKIM

Il aide à vérifier les courriels par signature cryptographique.

DMARC

Il combine les résultats du SPF et du DKIM avec la politique du domaine et peut fournir un mécanisme de rapport.

Inventorier les sources de mail légitimes avant d’appliquer la politique DMARC la plus stricte.

Les sous-domaines ne doivent pas être oubliés

Les anciennes pages de campagne, les environnements de test ou les liens SaaS qui ne sont plus utilisés peuvent entraîner des risques tels que la prise de contrôle de sous-domaine.

Les dossiers qui ne sont plus utilisés sur le DNS doivent être nettoyés régulièrement.

SSL/TLS et suivi des certificats

La création de certificats dans de nouveaux domaines qui ressemblent à des marques peut parfois fournir un signal précoce pour un éventuel mauvais usage. Les enregistrements de transparence des certificats peuvent être utilisés comme source de données auxiliaires dans cette analyse.

L’émission d’un certificat seule ne prouve pas une violation ; elle doit être rapprochée des autres constats.

Que faire lorsqu'un site faux est détecté?

Le premier réflexe ne devrait pas être simplement envoyer un message à l'entreprise hôte. Le dossier de preuve doit être préparé en premier.

URL complète,
les informations relatives au domaine et au DNS,
les captures d’écran,
enregistrements de date et heure,
des éléments de marque imites,
Si le formulaire de phishing ou la page de paiement est disponible,
informations d’hébergement et du bureau d’enregistrement,
visibilité de moteur de recherche ou d'annonce

peut être documenté.

Les retraits passent par plusieurs canaux

Des processus distincts peuvent être menés avec le registraire, le fournisseur d'hébergement, le CDN, le moteur de recherche, le réseau publicitaire, la plateforme de médias sociaux ou d'autres fournisseurs de services en fonction de la nature de l'événement.

Les procédures d'application pour les types de violations, comme les droits de marque, le phishing, les logiciels malveillants et les droits de personnalité, peuvent ne pas être les mêmes.

Première intervention dans un incident de détournement de domaine

1. Contacter le bureau d’enregistrement

Le processus de récupération de compte et de verrouillage de domaine doit être lancé.

2. Détection des changements DNS

Il faut comparer les enregistrements qui ont été modifiés.

3. Renouvellement des autorisations

Changer les mots de passe, paramètres MFA et clés API nécessaires.

4. Vérifier l’effet sur la messagerie

Les dossiers de MX et d'authentification doivent être examinés.

5. Préserver les journaux

Conserver les journaux du bureau d’enregistrement, DNS, messagerie et serveurs pour l’analyse.

Pourquoi la cybersécurité devrait-elle travailler ensemble avec la protection de la marque?

La cybersécurité traditionnelle peut être axée sur la protection des systèmes propres à l'institution. La protection numérique de la marque surveille également les faux domaines, les faux comptes, les faux canaux de vente et les actifs numériques trompeurs créés hors du contrôle de l'institution.

L’analyse conjointe des deux domaines donne une image plus exacte des menaces.

Que peut-on observer sur une carte numérique des risques?

enregistrements de domaine similaires,
de faux comptes de réseaux sociaux,
pages de phishing au nom de la marque,
ventes non autorisées et publicités frauduleuses de produits,
Fausse application mobile,
utilisations publicitaires pour le compte de la marque,
les changements de domaine et de DNS,
Des attaques de réputation.

L'approche B10

B10 Digital Agency s'occupe de la sécurité des actifs numériques sans séparer les processus d'infrastructure technique et de protection de la marque. Il vise à identifier les risques des marques, des domaines, des faux comptes et des canaux numériques, en créant des cartes de risque que les équipes d'opérations peuvent prioriser.

Conclusion

Le détournement de domaine et les attaques de phishing au nom de la marque ne sont pas seulement des problèmes de sécurité technique. La confiance de la marque, la sécurité des clients et la réputation commerciale peuvent être affectés par le même événement. Par conséquent, la sécurité du domaine, la vérification par courriel, la surveillance externe des menaces et les processus de retrait rapide doivent être combinés dans une approche unique de gestion des risques numériques.