Typosquatting

Définition

Le typosquatting consiste à enregistrer un nom de domaine très proche d'un site légitime — une lettre en moins, une inversion, une extension différente — pour capter les visiteurs qui se trompent en saisissant l'adresse ou qui lisent trop vite.

Comment ça fonctionne

L'attaquant enregistre des variantes plausibles du domaine visé : faute de frappe courante, doublement ou omission d'une lettre, tiret ajouté, extension différente. Le site hébergé reproduit l'apparence de l'original. Le visiteur, persuadé d'être au bon endroit, s'y connecte normalement. La technique se combine souvent avec l'hameçonnage : le domaine trompeur sert de destination à un lien envoyé par email ou SMS, où il paraît crédible à la lecture.

Pourquoi ça marche

On lit une adresse familière en reconnaissant sa forme générale, pas lettre par lettre : une variante d'un caractère passe inaperçue. Quand on a tapé l'adresse soi-même, on fait confiance au résultat, puisqu'on croit avoir choisi la destination.

Sur quoi cette attaque s'appuie

Comprendre ces ressorts vaut mieux que retenir cent fiches : c'est ce qui permet de reconnaître une arnaque que personne n'a encore décrite.

Signaux d'alerte

• Adresse presque identique à celle attendue, à une lettre ou un caractère près
• Extension inhabituelle pour l'organisme concerné
• Tiret inséré dans un nom de domaine qui n'en comporte pas habituellement
• Page de connexion demandant des identifiants après un lien reçu par message
• Absence des éléments personnalisés habituels une fois « connecté »

Comment vérifier

Lisez l'adresse en partant de la fin du nom de domaine, juste avant la première barre oblique : c'est cette partie qui détermine à qui appartient réellement le site. Le plus sûr reste de ne pas saisir l'adresse du tout et d'utiliser un favori enregistré une fois pour toutes.

Les questions à se poser, dans l'ordre

1. 1

   L'adresse diffère-t-elle, même d'une lettre, d'un tiret ou de l'extension, de celle que vous connaissez ?

   Si oui : Ne saisissez rien. Fermez l'onglet et passez par votre favori.

2. 2

   La page vous demande-t-elle de vous connecter ou de payer dès votre arrivée ?

   Si oui : Ouvrez le service par votre favori ou l'application : si le problème n'y apparaît pas, il n'existe pas.

3. 3

   Avez-vous saisi votre mot de passe ou votre carte sur cette page ?

   Si oui : Changez le mot de passe depuis le vrai site, et faites opposition sur la carte si vous l'avez saisie.

Que faire

Ne saisissez aucun identifiant. Quittez la page et rejoignez le site par un favori ou l'application officielle.

Si c'est déjà arrivé

Changez immédiatement le mot de passe du service concerné, ainsi que celui de tout compte réutilisant le même mot de passe. Activez la double authentification et vérifiez les connexions récentes du compte.

• Checklist d'urgence : « Vous avez saisi un mot de passe sur une page »
• L'assistant « J'ai cliqué » : les gestes après un site piégé, dans l'ordre

Pour que ça ne se reproduise pas

• Enregistrez en favori les sites où vous vous connectez, et passez toujours par là.
• Utilisez un gestionnaire de mots de passe : il ne remplit rien sur une adresse qu'il ne connaît pas.
• Pour un service que vous utilisez souvent, préférez son application officielle.

Les gestes qui déjouent cette attaque

• Décodeur de lien : à qui appartient vraiment cette adresse ?Collez un lien : l'outil montre le nom de domaine réel, ce qui n'est que décor, et les caractères qui imitent d'autres lettres. Rien n'est envoyé.
• Vérifier un lien avant de cliquerComment savoir si un lien est dangereux avant de l'ouvrir ?
• J'ai saisi mon mot de passe sur un faux site : que faireJ'ai cliqué sur un lien et saisi mon mot de passe sur une fausse page, que faire ?

Questions fréquentes

Quelle différence avec une attaque par homoglyphes ?

Le typosquatting utilise des caractères ordinaires arrangés différemment — une faute de frappe crédible. L'attaque par homoglyphes utilise des caractères différents mais visuellement identiques, ce qui la rend indétectable à la simple lecture.

Le cadenas était affiché, le site n'était-il pas sécurisé ?

Le cadenas indique seulement que la connexion est chiffrée, pas que le site est légitime. N'importe quel site, y compris frauduleux, peut obtenir un certificat.

Attaques liées

• Attaque par homoglyphes
• Phishing (hameçonnage)
• Fausse boutique en ligne
• Fausse mise à jour de navigateur
• Faux site web
• Tabnabbing (onglet remplacé)
• Empoisonnement DNS

Sources officielles

• Cybermalveillance.gouv.fr — Hameçonnage (phishing)