Les institutions financières sont fréquemment ciblées par l’usurpation de domaine et le phishing car les attaquants peuvent exploiter la confiance que les clients placent dans les banques, les coopératives de crédit, les prestataires de paiement et les marques de technologie financière.

Un domaine frauduleux qui ressemble étroitement à une institution financière légitime peut être utilisé pour collecter des identifiants, rediriger des paiements, recueillir des informations de cartes de paiement, distribuer des logiciels malveillants ou soutenir des campagnes d’ingénierie sociale plus vastes.

Pour les banques, la menace va au-delà d’un faux site web. Un attaquant peut combiner un domaine similaire avec des e-mails de phishing, des messages SMS, des publicités frauduleuses, des comptes compromis, de faux appels au service client ou des pages de connexion malveillantes. L’objectif est souvent simple : faire croire à la victime qu’elle interagit avec une institution financière en laquelle elle a déjà confiance.

Les régulateurs bancaires américains abordent ce risque depuis des années. Les directives de l’OCC décrivent l’usurpation de sites web comme la création de sites frauduleux qui ressemblent à des sites bancaires légitimes et avertissent que ces attaques peuvent exposer les banques et les clients à des risques de confidentialité, de fraude, opérationnels, stratégiques et de réputation.

Ce guide explique comment l’usurpation de domaine et les attaques par domaines similaires fonctionnent dans les services financiers, pourquoi les banques sont des cibles particulièrement attractives, où DMARC et l’authentification des e-mails aident, où ils n’aident pas, et comment les institutions peuvent construire une défense en couches contre l’usurpation de marque.

I. Qu’est-ce que l’usurpation de domaine dans les services financiers ?

« L’usurpation de domaine » est souvent utilisée comme un terme générique pour les attaques qui font apparaître une identité numérique malveillante comme liée à une organisation de confiance.

En pratique, les équipes de sécurité doivent distinguer plusieurs techniques différentes.

Usurpation de domaine directe

L’usurpation de domaine directe se produit lorsqu’un attaquant tente d’envoyer un e-mail qui semble provenir du domaine réel d’une institution légitime sans autorisation.

Par exemple :

From: [email protected]

même si le message n’a pas été envoyé via l’infrastructure autorisée par examplebank.com.

SPF, DKIM et DMARC sont directement pertinents pour ce type d’attaque.

Usurpation par domaine similaire

Une attaque par domaine similaire est différente.

Au lieu d’usurper le vrai domaine, l’attaquant enregistre un autre domaine qui lui ressemble.

Par exemple :

example-bank-security.com

ou :

examplebnk.com

L’attaquant contrôle ce domaine et peut configurer des DNS, SPF, DKIM, DMARC et des certificats TLS valides pour celui-ci.

L’authentification des e-mails seule ne peut donc pas déterminer que le domaine est trompeur.

La CISA documente l’acquisition de domaines comme une technique d’adversaire et note spécifiquement l’utilisation de noms de domaine internationalisés pour créer des domaines visuellement similaires pour des activités malveillantes.

Typosquatting

Le typosquatting consiste à enregistrer des domaines basés sur des erreurs de frappe prévisibles, des caractères manquants, des lettres transposées ou d’autres variations d’un domaine de confiance.

Par exemple :

examplebnk.com
examplebannk.com
examplbank.com

Pour les institutions financières, le risque est particulièrement important car le site malveillant peut reproduire une expérience de connexion et demander des identifiants, des codes d’authentification, des informations de paiement ou d’autres données sensibles.

IDN et attaques par homographes

Les noms de domaine internationalisés autorisent des caractères en dehors du jeu de caractères ASCII de base.

Les attaquants peuvent tenter d’utiliser des caractères visuellement similaires provenant de différents alphabets afin qu’un nom d’hôte malveillant ressemble à une marque de confiance lorsqu’il est affiché à un utilisateur.

Ces attaques sont communément appelées attaques par homographes IDN.

Les navigateurs modernes, les registres et les plateformes de sécurité mettent en œuvre des défenses contre de nombreuses formes d’abus IDN, mais les domaines visuellement trompeurs restent pertinents pour les campagnes de phishing et de logiciels malveillants.

Structures de domaine trompeuses

Les attaquants peuvent également créer des noms d’hôtes contenant des mots que les utilisateurs associent à des services financiers de confiance.

Par exemple :

secure.examplebank-login.com

Un utilisateur distrait peut se concentrer sur :

secure

ou :

examplebank

sans reconnaître que le domaine enregistrable réel est contrôlé par l’attaquant.

Des mots tels que :

secure
login
verify
account
support
banking
authentication

ne rendent pas un domaine légitime.

Les utilisateurs et les systèmes de sécurité doivent évaluer le domaine enregistré réel, pas simplement des mots d’apparence fiable intégrés dedans.

II. Pourquoi les banques sont des cibles privilégiées

Les institutions financières combinent plusieurs caractéristiques qui rendent l’usurpation de marque particulièrement précieuse pour les attaquants.

1. Accès direct aux actifs financiers

Les identifiants bancaires peuvent potentiellement donner accès à :

• Soldes de compte
• Fonctionnalité de paiement
• Bénéficiaires enregistrés
• Facilités de crédit
• Informations de carte de paiement
• Dossiers financiers personnels
• Systèmes bancaires d’entreprise

Contrairement aux données qui doivent être monétisées ultérieurement, les identifiants financiers compromis peuvent offrir aux attaquants un chemin relativement direct vers la fraude.

2. Les clients s’attendent à des messages de sécurité

Les banques envoient légitimement aux clients des communications concernant :

• Transactions suspectes
• Connexions depuis de nouveaux appareils
• Alertes de fraude
• Réinitialisations de mot de passe
• Vérification de compte
• Confirmation de paiement
• Activité de carte
• Mises à jour de sécurité

Les attaquants exploitent ces mêmes flux de travail.

Un message de phishing affirmant :

« Une activité inhabituelle a été détectée sur votre compte »

peut créer suffisamment d’urgence pour qu’un client interagisse avec un domaine frauduleux avant de l’inspecter soigneusement.

Les agences de protection des consommateurs conseillent régulièrement aux clients de ne pas utiliser les liens ou coordonnées contenus dans des messages suspects et de contacter plutôt leur institution financière via des canaux vérifiés de manière indépendante.

3. Les services bancaires ont une large surface d’attaque numérique

Les institutions financières modernes ne fonctionnent plus via un seul site web.

Les clients peuvent interagir avec :

• Banque en ligne
• Applications mobiles
• Portails de paiement
• Systèmes de gestion de carte
• Plateformes de gestion de patrimoine
• Portails de prêt
• Systèmes de service client
• Plateformes d’investissement
• Services financiers tiers
• Fournisseurs d’authentification

Les directives du secteur financier ont souligné à plusieurs reprises comment les services bancaires numériques, les API, l’accès mobile, les services à distance et la connectivité tierce augmentent le nombre de surfaces d’attaque potentielles.

À mesure que l’écosystème numérique légitime devient plus complexe, il peut devenir plus difficile pour les clients de distinguer l’infrastructure légitime des imitations convaincantes.

4. Les marques financières comportent une confiance intégrée

Les attaquants n’ont pas besoin d’établir une nouvelle relation avec la victime lorsqu’ils usurpent l’identité d’une banque connue.

La relation existe déjà.

Un client reconnaît :

• Le nom de l’institution
• Son logo
• Ses couleurs
• Sa terminologie
• Les flux de travail de compte courants

Une page clonée peut exploiter ces repères visuels familiers.

L’objectif n’est pas nécessairement de convaincre la victime qu’une entreprise inconnue est digne de confiance. C’est d’emprunter la confiance que l’institution financière légitime a déjà gagnée.

III. Comment fonctionnent les attaques d’usurpation de domaine financier

Une attaque sophistiquée peut impliquer plusieurs étapes.

Étape 1 : Enregistrement de domaine

L’attaquant enregistre un domaine ressemblant à l’institution.

Par exemple :

examplebank-security.com

Le domaine peut incorporer :

• Erreurs typographiques
• Mots ajoutés
• Caractères supprimés
• Domaines de premier niveau alternatifs
• Trait d’union
• Similarité phonétique
• Caractères Unicode
• Noms de marque combinés avec une terminologie de sécurité

Le domaine lui-même peut initialement ne contenir aucun contenu malveillant.

Cela signifie qu’une détection précoce pendant ou peu après l’enregistrement peut être précieuse.

Étape 2 : Configuration de l’infrastructure

L’attaquant peut configurer le domaine avec :

• Enregistrements DNS
• Hébergement web
• Enregistrements MX
• Certificats TLS
• SPF
• DKIM
• DMARC

Cela crée une distinction de sécurité importante :

Un domaine similaire malveillant peut être techniquement bien configuré.

Un certificat TLS valide ne prouve pas qu’un site web appartient à l’institution usurpée.

De même :

SPF: pass
DKIM: pass
DMARC: pass

ne prouve pas que examplebank-security.com est un domaine bancaire légitime.

Ces contrôles établissent l’authentification pour le domaine utilisé. Ils ne déterminent pas si le domaine lui-même est trompeur.

Étape 3 : Clonage de marque

L’attaquant reproduit des éléments de l’identité en ligne légitime de l’institution.

Ceux-ci peuvent inclure :

• Logo
• Navigation
• Écran de connexion
• Polices
• Couleurs
• Langage de sécurité
• Écrans de vérification de compte
• Invites MFA
• Pages d’avertissement de fraude

Le site web résultant peut paraître très convaincant, particulièrement sur un écran mobile.

Étape 4 : Génération de trafic

Les attaquants doivent ensuite que les victimes atteignent l’infrastructure malveillante.

La distribution peut se faire via :

• E-mail de phishing
• SMS
• Codes QR
• Publicités de recherche
• Réseaux sociaux
• Redirections malveillantes
• Sites web compromis
• Plateformes de messagerie
• Fausses interactions avec le service client

Le comportement utilisateur le plus sûr est d’éviter d’accéder aux services bancaires via des liens non sollicités et d’utiliser plutôt l’application bancaire officielle, un signet vérifié ou un site web légitime connu.

Étape 5 : Collecte d’identifiants ou de données

Une fois que l’utilisateur atteint la page frauduleuse, l’attaquant peut demander :

Nom d'utilisateur
Mot de passe
Numéro de carte
Code PIN
Mot de passe à usage unique
Réponse de sécurité
Informations personnelles

Les attaques plus sophistiquées peuvent tenter de proxifier le processus de connexion légitime en temps réel afin que les informations fournies par la victime soient immédiatement utilisées contre le service authentique.

Étape 6 : Fraude ultérieure

Les données volées peuvent ensuite soutenir :

• Prise de contrôle de compte
• Transferts non autorisés
• Fraude à la carte
• Vol d’identité
• Fraude commerciale
• Ingénierie sociale
• Réutilisation d’identifiants
• Phishing supplémentaire

Le domaine similaire initial peut donc n’être que la première étape d’une campagne de fraude plus large.

Techniques courantes d’usurpation de domaine ciblant les banques

IV. Typosquatting

Les attaquants enregistrent des fautes d’orthographe prévisibles.

Par exemple :

securebank.com

pourrait être imité comme :

securbank.com
securebnk.com
secure-bank.com

L’attaquant compte soit sur une erreur de frappe, soit sur le fait que le destinataire ne remarque pas la variation dans un e-mail, un message SMS, une publicité ou un navigateur.

V. Domaines marque + mot-clé

Un autre modèle courant combine une marque reconnaissable avec un langage lié à la sécurité.

Par exemple :

examplebank-verification.com
examplebank-login.com
examplebank-support.com

Ces domaines peuvent être particulièrement convaincants car les mots supplémentaires semblent contextuellement appropriés.

VI. Domaines de premier niveau alternatifs

Les attaquants peuvent également enregistrer une chaîne reconnaissable sous un autre domaine de premier niveau.

Par exemple :

examplebank.example

au lieu du domaine légitime de l’institution.

Les utilisateurs peu familiers avec le portefeuille de domaines exact de l’institution peuvent supposer que l’alternative est légitime.

VII. Variations homographiques et Unicode

Les caractères qui semblent visuellement similaires peuvent créer des noms d’hôtes trompeurs.

Cela est particulièrement pertinent lorsque les utilisateurs inspectent les URL rapidement ou sur des écrans mobiles plus petits.

VIII. Sous-domaines trompeurs

Un attaquant contrôlant :

bank-security.example

peut créer :

login.bank-security.example
secure.bank-security.example
accounts.bank-security.example

La présence de login ou secure n’indique pas la légitimité.

Le domaine enregistrable reste :

bank-security.example

L’impact commercial de l’usurpation de domaine

Les dommages d’une campagne d’usurpation réussie peuvent s’étendre au-delà du compte initialement compromis.

IX. Fraude financière

Les identifiants volés peuvent permettre des transactions non autorisées ou d’autres formes d’abus de compte.

Les pertes financières peuvent également inclure :

• Enquête
• Remboursement de fraude
• Réponse à incident
• Support client
• Examen juridique
• Opérations de retrait
• Renseignement sur les menaces
• Mesures d’authentification supplémentaires

La responsabilité financière exacte dépend du type de compte, de la juridiction, des circonstances et des règles de protection des consommateurs applicables.

X. Érosion de la confiance des clients

Les clients ne font pas toujours la distinction entre l’infrastructure contrôlée par la banque et l’infrastructure usurpant la banque.

Un faux site convaincant peut donc nuire à la confiance dans l’institution légitime même si ses systèmes réels n’ont jamais été compromis.

L’abus de marque crée un problème de sécurité inhabituel :

L’attaquant peut créer un préjudice de réputation sans compromettre le réseau de l’organisation.

XI. Perturbation opérationnelle

Les campagnes de phishing actives peuvent nécessiter une coordination entre :

• Équipes de sécurité
• Équipes de fraude
• Conseil juridique
• Support client
• Registraires
• Fournisseurs d’hébergement
• Autorités de certification
• Forces de l’ordre
• Fournisseurs de renseignement sur les menaces

Ces activités de réponse peuvent consommer des ressources opérationnelles importantes même lorsque l’infrastructure interne de l’institution reste non compromise.

XII. Exigences réglementaires et probatoires

Toutes les campagnes de phishing ne créent pas automatiquement un incident réglementaire à signaler.

Cependant, si une attaque d’usurpation entraîne un accès non autorisé, une exposition d’informations protégées, une fraude ou un autre événement à signaler, l’institution peut faire face à des obligations de notification, d’enquête, de documentation ou de préservation de preuves selon le cadre réglementaire applicable.

Les institutions financières devraient donc être en mesure de démontrer comment elles :

• Détectent les menaces
• Protègent les systèmes d’authentification
• Surveillent les activités suspectes
• Éduquent les utilisateurs
• Répondent aux incidents
• Conservent les enregistrements appropriés

Ce que DMARC peut et ne peut pas prévenir

DMARC est un contrôle important pour les institutions financières, mais sa portée doit être comprise correctement.

XIII. DMARC aide à protéger le domaine réel de la banque

Supposons que l’institution légitime utilise :

examplebank.com

Un attaquant tente d’envoyer :

From: [email protected]

via une infrastructure non autorisée.

Avec SPF et/ou DKIM correctement configurés, l’alignement et l’application de DMARC à :

p=quarantine

ou :

p=reject

les systèmes de réception participants peuvent appliquer la politique DMARC de l’institution aux messages non authentifiés prétendant provenir du domaine protégé.

DMARC réduit donc considérablement l’usurpation directe des domaines que l’institution contrôle réellement.

XIV. DMARC n’arrête pas les domaines similaires appartenant à l’attaquant

Supposons maintenant que l’attaquant enregistre :

examplebank-security.com

L’attaquant possède ce domaine.

Il peut publier :

SPF: pass
DKIM: pass
DMARC: pass

pour celui-ci.

Votre politique DMARC pour :

examplebank.com

ne contrôle pas :

examplebank-security.com

car c’est un domaine complètement différent.

Cette distinction est essentielle.

DMARC protège votre identité de domaine authentifiée. Il n’empêche pas les criminels d’enregistrer des domaines trompeurs qu’ils contrôlent.

C’est pourquoi les institutions financières ont besoin à la fois de l’authentification des e-mails et de la surveillance externe des domaines similaires.

La défense en couches de l’institution financière

Une protection efficace nécessite des contrôles à plusieurs niveaux.

XV. 1. Appliquer DMARC sur les domaines légitimes

Les institutions financières doivent maintenir un inventaire complet des sources d’e-mails légitimes et faire progresser les domaines éligibles vers l’application de DMARC à :

p=quarantine

ou :

p=reject

après validation des expéditeurs légitimes.

DMARC doit être soutenu par une configuration correcte de :

• SPF
• DKIM
• Alignement
• Rapports agrégés
• Découverte d’expéditeurs
• Surveillance continue

L’application de DMARC ne doit être introduite qu’après que l’infrastructure d’envoi légitime a été identifiée et validée.

XVI. 2. Surveiller les domaines similaires

L’authentification protège les domaines que l’organisation possède.

La surveillance des domaines externes aborde les domaines qu’elle ne possède pas.

Les institutions financières doivent surveiller les enregistrements impliquant :

• Fautes d’orthographe
• Variations de marque
• Similarité phonétique
• Variantes avec traits d’union
• Mots de sécurité supplémentaires
• TLD alternatifs
• Variations Unicode
• Enregistrements MX suspects
• Pages clonées actives

Skysnag BrandGuard aide les organisations à surveiller les domaines similaires et les enregistrements suspects associés au phishing, à la fraude et à l’usurpation de marque.

XVII. 3. Surveiller les données de transparence des certificats

Les données de transparence des certificats peuvent fournir un autre signal lors de l’investigation d’infrastructures suspectes.

Les équipes de sécurité peuvent surveiller les certificats associés à :

• Leurs domaines légitimes
• Variations de marque suspectes
• Domaines similaires nouvellement découverts

Cependant, un certificat TLS valide ne doit jamais être interprété comme une preuve qu’un site appartient à l’institution.

Si un attaquant contrôle légitimement :

examplebank-login.com

il peut également obtenir légitimement un certificat TLS pour ce domaine.

TLS protège la connexion entre l’utilisateur et ce site.

Il ne certifie pas que le site est la banque que l’utilisateur pense qu’il est.

XVIII. 4. Utiliser le filtrage DNS et web

Les institutions financières peuvent également limiter l’exposition en interne en bloquant l’accès à l’infrastructure malveillante connue.

Les contrôles peuvent inclure :

• DNS sécurisé
• Filtrage d’URL
• Réputation de domaine
• Protection du navigateur
• Détection sur les points de terminaison
• Isolation web
• Flux de renseignement sur les menaces

Le filtrage basé sur le DNS et la réputation peut réduire l’exposition des employés aux domaines malveillants et suspects connus.

XIX. 5. Renforcer les contrôles d’identité et d’authentification

La surveillance des domaines ne peut pas supposer que chaque utilisateur reconnaîtra chaque attaque.

Les institutions doivent réduire la valeur des identifiants volés grâce à des contrôles tels que :

• Authentification multifacteur
• Authentification basée sur le risque
• Intelligence des appareils
• Surveillance des transactions
• Analyse comportementale
• Contrôles de session
• Vérification renforcée

L’authentification en couches est particulièrement importante car aucun système de surveillance de domaine ne peut garantir que chaque enregistrement trompeur sera détecté avant qu’un utilisateur ne le rencontre.

XX. 6. Préparer les clients aux attaques d’usurpation de banque

Les conseils génériques tels que « recherchez les mauvaises grammaires » sont de plus en plus insuffisants.

Les clients doivent comprendre qu’une page de phishing convaincante peut contenir :

• Une image de marque correcte
• HTTPS
• Un certificat TLS valide
• Un langage professionnel
• Une terminologie de sécurité familière

Les institutions financières doivent encourager les clients à accéder aux services via :

• L’application bancaire officielle
• Un signet enregistré et précédemment vérifié
• Un site web officiel connu
• Des coordonnées obtenues indépendamment d’un message suspect

Les clients doivent être prudents avec les liens d’accès au compte reçus via :

• E-mail non sollicité
• SMS
• Réseaux sociaux
• Publicités de recherche
• Applications de messagerie

7. Établir un processus de retrait de domaine

La détection n’est utile que si l’infrastructure suspecte peut être investiguée et faire l’objet de mesures.

Un processus de réponse mature doit établir :

1. Découverte de domaine
2. Classification des risques
3. Collecte de preuves
4. Identification du fournisseur d’hébergement
5. Escalade au registraire
6. Preuves de marque ou d’abus
7. Demande de retrait
8. Notification au client le cas échéant
9. Surveillance continue pour ré-enregistrement

Les attaquants peuvent faire tourner l’infrastructure rapidement, donc supprimer un domaine ne devrait pas automatiquement clôturer l’incident.

Les enregistrements et infrastructures connexes doivent également être investigués.

Pourquoi l’authentification des e-mails et la protection contre les domaines similaires doivent fonctionner ensemble

Les banques traitent parfois l’usurpation directe et l’usurpation par domaine similaire comme le même problème technique.

Ce n’est pas le cas.

Considérez ces deux attaques.

Attaque A

From: [email protected]

Infrastructure d'envoi non autorisée

C’est un problème direct d’authentification des e-mails.

SPF, DKIM et DMARC sont les contrôles pertinents.

Attaque B

From: [email protected]

L'attaquant possède examplebank-security.com

L’attaquant peut configurer SPF, DKIM et DMARC correctement.

C’est principalement un problème d’usurpation de domaine.

Les contrôles sont différents :

• Détection de domaines similaires
• Renseignement sur les menaces
• Analyse web
• Réputation de domaine
• Surveillance des certificats
• Processus de retrait
• Sensibilisation des utilisateurs

Un programme de sécurité mature pour les services financiers a besoin des deux.

Considérations réglementaires du secteur financier

Il n’existe pas de réglementation universelle unique qui dit :

« Toute banque doit déployer une surveillance des domaines similaires. »

Les exigences varient selon la juridiction et le type d’institution.

Cependant, les directives de sécurité du secteur financier soutiennent systématiquement une approche en couches et basée sur le risque du phishing, de l’authentification, de la surveillance, de la prévention de la fraude et de la sécurité des canaux numériques.

Les contrôles pertinents peuvent inclure :

• Sécurité en couches
• Authentification multifacteur
• Surveillance
• Contrôles anti-phishing
• DMARC
• Éducation des utilisateurs
• Tests d’ingénierie sociale
• Filtrage DNS

Des directives séparées pour les institutions financières ont également abordé la nécessité de surveiller et de répondre à l’utilisation frauduleuse de marques institutionnelles par le phishing et l’usurpation.

L’implication n’est pas que DMARC ou la surveillance de domaines similaires crée à elle seule la conformité.

Ces contrôles peuvent plutôt faire partie d’un programme de sécurité plus large basé sur le risque, conçu pour protéger les clients, les systèmes financiers et l’identité institutionnelle.

Comment Skysnag Protect et BrandGuard abordent différentes parties du problème

Protéger une marque financière nécessite de sécuriser à la fois l’identité e-mail légitime de l’institution et l’écosystème de domaines externes que les attaquants peuvent abuser.

Skysnag Protect : Protéger les domaines que vous possédez

Skysnag Protect se concentre sur l’authentification des e-mails et l’application des domaines.

Il aide les organisations à gérer et surveiller :

• DMARC
• SPF
• DKIM
• Découverte d’expéditeurs
• Alignement d’authentification
• Sources d’envoi non autorisées
• Application de DMARC

Cela réduit la capacité des attaquants à usurper directement les e-mails provenant des domaines contrôlés par l’institution.

En savoir plus :Skysnag Protect

Skysnag BrandGuard : Détecter les domaines que vous ne possédez pas

BrandGuard aborde le problème d’usurpation externe.

BrandGuard aide à identifier les domaines suspects et similaires associés à :

• Phishing
• Fraude
• Usurpation de marque
• Typosquatting
• Enregistrements de domaines malveillants

Il complète l’authentification des e-mails en abordant l’infrastructure qui existe en dehors de l’environnement DNS propre de l’institution.

En savoir plus :Skysnag BrandGaurd

Liste de vérification pour la protection des domaines des institutions financières

Évaluez si votre organisation dispose de contrôles pour chaque couche :

• DMARC déployé sur tous les domaines d’entreprise légitimes
• Infrastructure d’envoi légitime identifiée avant passage à l’application
• DMARC appliqué à p=quarantine ou p=reject lorsque opérationnellement approprié
• SPF et DKIM surveillés en continu
• Domaines dormants et défensifs inventoriés
• Surveillance des domaines similaires activée
• Variations de typosquatting surveillées
• Variantes Unicode et homographiques considérées
• Activité MX et DNS suspecte analysée
• Données de transparence des certificats incorporées lorsque utile
• Filtrage DNS et web déployé pour les domaines malveillants connus
• Éducation des clients au phishing aborde les sites web similaires
• MFA ou contrôles d’authentification en couches équivalents implémentés
• Procédures d’escalade auprès des registraires et fournisseurs d’hébergement documentées
• Preuves de retrait et documentation de propriété préparées à l’avance
• Incidents d’usurpation de domaine inclus dans les playbooks de réponse
• Domaines similaires nouvellement enregistrés et précédemment dormants continuellement réévalués

Points clés à retenir

Les institutions financières sont des cibles attractives pour l’usurpation de domaine car les attaquants peuvent exploiter la confiance établie des clients et potentiellement convertir les identifiants volés en fraude financière.

Mais toutes les formes d’« usurpation de domaine » ne sont pas identiques.

L’usurpation de domaine directe abuse du domaine réel d’une institution sans autorisation.

L’usurpation par domaine similaire utilise un domaine différent contrôlé par l’attaquant conçu pour ressembler à l’institution.

Le typosquatting exploite les variations de domaine prévisibles et les erreurs de frappe.

Les attaques IDN et par homographes utilisent des caractères visuellement similaires pour faire apparaître les domaines malveillants familiers.

Cette distinction détermine quels contrôles sont efficaces.

DMARC, SPF et DKIM peuvent réduire considérablement l’utilisation non autorisée des domaines que l’institution financière contrôle réellement.

Ils ne peuvent pas empêcher un attaquant d’enregistrer un domaine trompeur distinct.

Un domaine similaire malveillant peut avoir SPF, DKIM, DMARC, HTTPS valides et un certificat TLS légitime et être quand même malveillant.

C’est pourquoi une protection efficace de la marque du secteur financier nécessite plusieurs couches :

• Authentification forte des e-mails
• Application de DMARC
• Surveillance des domaines similaires
• Filtrage DNS et URL
• Renseignement sur les menaces
• Protection de l’identité
• Éducation des clients
• Investigation et retrait rapides

Skysnag Protect aide les institutions financières à sécuriser les domaines qu’elles contrôlent via DMARC, SPF, DKIM, découverte d’expéditeurs et application :

Skysnag BrandGuard étend la protection au-delà de ces domaines en détectant l’infrastructure similaire utilisée pour le phishing, la fraude et l’usurpation de marque :

Ensemble, les deux abordent différents aspects du même problème : protéger l’identité authentifiée de l’institution tout en identifiant les attaquants tentant de l’imiter ailleurs sur Internet.