--- id: CP-221 slug: dns-annuaire-internet-vulnerabilites lang: fr title: Le DNS, l'annuaire d'Internet description: Le DNS relie un nom de site à son adresse, sans que personne le voie. Pourquoi les attaquants le visent, et ce que fait un salarié. canonical_url: https://startbrain.io/cyberpedia/fr/articles/dns-annuaire-internet-vulnerabilites/ markdown_url: https://startbrain.io/cyberpedia/fr/articles/dns-annuaire-internet-vulnerabilites.md publisher: Brain (https://startbrain.io) license: CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/) cite_as: Brain, « Le DNS, l'annuaire d'Internet », Cyberpedia, 2026. https://startbrain.io/cyberpedia/fr/articles/dns-annuaire-internet-vulnerabilites/ (CC BY 4.0) wing: 3 theme: browse_safely reflex: cr-057 schema: G3 updated: "2026-11-03" translations: fr: https://startbrain.io/cyberpedia/fr/articles/dns-annuaire-internet-vulnerabilites/ en: https://startbrain.io/cyberpedia/en/articles/dns-internet-phonebook-vulnerabilities/ de: https://startbrain.io/cyberpedia/de/articles/dns-telefonbuch-internet-schwachstellen/ es: https://startbrain.io/cyberpedia/es/articles/dns-agenda-telefonica-internet-vulnerabilidades/ sources: - "n": 1 title: SP 800-81 Rev. 3, Secure Domain Name System (DNS) Deployment Guide publisher: NIST url: https://csrc.nist.gov/pubs/sp/800/81/r3/final published: "2026-03-19" accessed: "2026-11-03" - "n": 2 title: "ED 19-01: Mitigate DNS Infrastructure Tampering (Closed)" publisher: CISA url: https://www.cisa.gov/news-events/directives/ed-19-01-mitigate-dns-infrastructure-tampering-closed published: "2019-01-22" accessed: "2026-11-03" - "n": 3 title: "Compromise Infrastructure: DNS Server, Sub-technique T1584.002 - Enterprise" publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1584/002/ accessed: "2026-11-03" - "n": 4 title: "Application Layer Protocol: DNS, Sub-technique T1071.004 - Enterprise" publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1071/004/ accessed: "2026-11-03" - "n": 5 title: Dynamic Resolution, Technique T1568 - Enterprise publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1568/ accessed: "2026-11-03" --- # Le DNS, l'annuaire d'Internet Le DNS (Domain Name System) est l'annuaire qui permet à un navigateur ou à une messagerie de retrouver le service derrière un nom de domaine. Le NIST le décrit comme une partie intégrante de toute architecture réseau d'entreprise : une attaque contre le DNS d'une entreprise menace toutes ses opérations réseau [1]. Pour un salarié, cette étape est invisible. L'adresse affichée dans le navigateur peut être exacte et mener pourtant ailleurs si l'annuaire a été modifié. Cette fiche explique pourquoi les attaquants s'y intéressent et ce qu'il reste à faire côté utilisateur, le reste relevant des équipes techniques. ## En 30 secondes - Où ça arrive : à chaque ouverture d'un site ou d'une messagerie, sans aucun signe visible, y compris sur un site que vous connaissez. - Ce que veut l'attaquant : rediriger le trafic web et mail vers sa propre infrastructure pour l'inspecter, ou cacher des communications dans le trafic DNS [2][4]. - Le réflexe : vérifier l'adresse affichée, se méfier des noms de domaine mal orthographiés, signaler tout comportement inhabituel au support et ne jamais changer seul ses réglages DNS. - Si c'est déjà fait : prévenez le support sans attendre et indiquez le site, l'heure et ce que vous avez saisi. ## Questions directes ### Que fait le DNS, concrètement ? Il associe un nom de service à une adresse. La CISA donne un exemple : pour aider les utilisateurs à joindre un service de messagerie ou de collaboration, une organisation fait pointer un nom de son propre domaine vers le domaine de son fournisseur [2]. Le salarié tape ou clique un nom, et c'est le DNS qui décide où il atterrit. ### Pourquoi est-ce une cible ? Parce qu'une modification au bon endroit touche tous les utilisateurs d'un domaine à la fois. La CISA décrit des attaquants qui ont redirigé et intercepté du trafic web et de messagerie [2]. MITRE note qu'en prenant le contrôle d'un serveur DNS, un attaquant peut modifier des enregistrements DNS et rediriger le trafic d'une organisation [3]. ### Verrai-je un avertissement si mon trafic est détourné ? Pas forcément. Selon la CISA, l'attaquant qui fixe lui-même les valeurs DNS peut obtenir des certificats de chiffrement valides pour les noms de l'organisation. Le trafic redirigé peut alors être déchiffré, et comme le certificat est valide pour le domaine, l'utilisateur ne reçoit aucune alerte d'erreur [2]. ### Puis-je changer mes DNS moi-même pour être plus en sécurité ? Non. Le DNS d'une entreprise relève de plusieurs rôles techniques, qui ont chacun leurs propres enjeux de sécurité [1]. Un réglage personnel sur un poste professionnel sort de ce cadre et peut contourner les protections prévues par l'entreprise. En cas de doute sur la lenteur ou l'étrangeté d'un site, c'est le support qui décide. ### Le DNS peut-il servir à autre chose qu'à rediriger ? Oui. MITRE décrit le tunneling DNS : des commandes envoyées à un système compromis, et souvent leurs résultats, sont cachées dans le trafic DNS [4]. Ce protocole est courant dans les environnements et peut être autorisé avant même la fin de l'authentification sur le réseau [4]. ## Comment ça marche Un nom de domaine n'a de valeur que par les enregistrements qui lui sont associés. La CISA cite par exemple les enregistrements d'adresse (A), de serveur de messagerie (MX) et de serveur de noms (NS) [2]. Le chemin d'attaque décrit par la CISA tient en trois temps. L'attaquant compromet, ou obtient autrement, les identifiants d'un compte qui peut modifier les enregistrements DNS. Il remplace ensuite l'adresse légitime d'un service par une adresse qu'il contrôle, ce qui lui permet d'examiner ou de manipuler le trafic avant, s'il le choisit, de le transmettre au vrai service. Il peut enfin obtenir des certificats valides pour décrypter ce trafic et lire les données saisies par les utilisateurs [2]. La CISA ajoute que ce risque persiste au-delà de la période de redirection [2]. MITRE signale une autre possibilité : créer silencieusement des sous-domaines pointant vers des serveurs malveillants, sans que le propriétaire du serveur DNS s'en aperçoive [3]. Le même texte précise qu'une grande partie de cette activité se déroule hors de la vue de l'organisation visée, ce qui rend sa détection difficile [3]. Le DNS sert aussi de canal de commande. Dans la technique de balisage DNS, des commandes passent par des requêtes DNS, dans des enregistrements de type TXT ou A. Ces balises sont difficiles à repérer parce qu'elles communiquent rarement avec les appareils infectés, ce qui les noie dans le trafic normal [4]. La résolution dynamique, elle, permet à un logiciel malveillant d'ajuster le nom de domaine, l'adresse IP ou le port qu'il utilise [5]. ## Ce que vous faites - Lisez l'adresse affichée avant de saisir un mot de passe ou des données. Comparez-la lettre par lettre avec l'adresse habituelle : un nom de domaine proche, avec une faute de frappe, mène à un autre site. - Ne vous fiez pas à l'absence d'alerte du navigateur. Un certificat valide ne prouve pas que la redirection n'a pas eu lieu [2]. - Ouvrez vos services par vos favoris ou par l'adresse officielle communiquée par l'entreprise plutôt que par un lien reçu. - Signalez à votre support tout comportement inhabituel : page de connexion inattendue, messagerie qui se comporte autrement, site connu qui se présente différemment. - Ne modifiez pas les paramètres DNS de votre poste ni de votre routeur de bureau. ## Les pièges Premier piège : croire qu'une adresse correcte suffit. Dans les attaques décrites par la CISA, c'est l'annuaire qui est modifié, pas l'adresse que l'utilisateur tape [2]. Deuxième piège : penser que le sujet ne concerne que les informaticiens. L'attaque commence par des identifiants : la CISA a exigé des agences fédérales de l'exécutif américain un changement des mots de passe des comptes capables de modifier le DNS et l'ajout d'une authentification multifacteur [2]. Elle recommande des facteurs résistants à l'hameçonnage et déconseille l'authentification par SMS [2]. Un salarié qui gère un nom de domaine ou un compte chez un hébergeur DNS est directement concerné. Troisième piège : supposer que le fournisseur est toujours à l'abri. MITRE range la compromission de serveurs DNS tiers parmi les techniques des attaquants, qui évitent ainsi de monter leurs propres serveurs [3]. Des services de DNS dynamique, comme DuckDNS, ont été utilisés par le groupe APT-C-36 pour rediriger des victimes vers des sites ou dépôts hébergeant des logiciels malveillants [5]. Un nom de domaine inconnu n'est donc pas un indice de confiance, quel que soit son aspect. ## Cas réels ### Janvier 2019 : la directive d'urgence de la CISA Le 22 janvier 2019, la CISA a publié la directive d'urgence ED 19-01, « Mitigate DNS Infrastructure Tampering » [2]. Elle indiquait suivre une série d'incidents de manipulation de l'infrastructure DNS et savoir que plusieurs domaines d'agences de l'exécutif américain étaient touchés [2]. Elle imposait aux agences quatre actions. Les trois premières, à réaliser sous 10 jours ouvrés, étaient d'auditer les enregistrements DNS publics, de changer les mots de passe des comptes concernés et d'ajouter une authentification multifacteur [2]. Pour la quatrième, la CISA commençait sous 10 jours ouvrés à livrer les nouveaux certificats aux journaux de transparence des certificats, et les agences devaient les surveiller dès réception [2]. Le texte de la CISA indique aujourd'hui qu'elle a conclu que l'objectif de la directive était atteint et qu'elle l'a clôturée [2]. ### 2019 : la campagne Sea Turtle MITRE rattache au groupe Sea Turtle la modification d'éléments de serveurs de noms (NS) pour renvoyer vers des serveurs DNS qu'il contrôlait, afin de fournir les réponses à toutes les requêtes DNS [3]. Parmi les références de MITRE figure une analyse de Cisco Talos du 17 avril 2019, « Sea Turtle: DNS Hijacking Abuses Trust In Core Internet Service », suivie d'une seconde du 9 juillet 2019 [3]. Les sources du dossier ne détaillent pas les victimes de cette campagne. ## Pour les équipes techniques Le guide NIST SP 800-81 Rev. 3, publié en mars 2026, remplace la version de 2013 [1]. Il donne des recommandations de déploiement pour sécuriser le protocole et l'infrastructure DNS, limiter les erreurs de configuration et ajouter une couche de sécurité réseau [1]. Parmi ses mots-clés figurent DNSSEC, le DNS chiffré, le DNS protecteur et la journalisation DNS [1]. La directive de la CISA rappelle aussi la surveillance des certificats émis et l'inventaire des domaines gérés [2]. ## Sources 1. NIST, « SP 800-81 Rev. 3, Secure Domain Name System (DNS) Deployment Guide », 19 mars 2026. https://csrc.nist.gov/pubs/sp/800/81/r3/final (consulté le 3 novembre 2026) 2. CISA, « ED 19-01: Mitigate DNS Infrastructure Tampering (Closed) », 22 janvier 2019. https://www.cisa.gov/news-events/directives/ed-19-01-mitigate-dns-infrastructure-tampering-closed (consulté le 3 novembre 2026) 3. MITRE ATT&CK, « Compromise Infrastructure: DNS Server, Sub-technique T1584.002 - Enterprise ». https://attack.mitre.org/techniques/T1584/002/ (consulté le 3 novembre 2026) 4. MITRE ATT&CK, « Application Layer Protocol: DNS, Sub-technique T1071.004 - Enterprise ». https://attack.mitre.org/techniques/T1071/004/ (consulté le 3 novembre 2026) 5. MITRE ATT&CK, « Dynamic Resolution, Technique T1568 - Enterprise ». https://attack.mitre.org/techniques/T1568/ (consulté le 3 novembre 2026) --- Source originale : Cyberpedia, l'encyclopédie publique de cybersécurité et d'IA publiée par Brain. Version canonique : https://startbrain.io/cyberpedia/fr/articles/dns-annuaire-internet-vulnerabilites/ Vous pouvez reprendre ce texte librement sous licence CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/), à condition de citer « Brain, Cyberpedia » avec un lien vers l'adresse ci-dessus.