--- id: CP-015 slug: typosquatting-combosquatting-domaines-sosies lang: fr title: Typosquatting et combosquatting description: Comment un attaquant enregistre un domaine proche de celui d'une marque pour voler vos identifiants, et comment repérer l'adresse piégée. canonical_url: https://startbrain.io/cyberpedia/fr/articles/typosquatting-combosquatting-domaines-sosies/ markdown_url: https://startbrain.io/cyberpedia/fr/articles/typosquatting-combosquatting-domaines-sosies.md publisher: Brain (https://startbrain.io) license: CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/) cite_as: Brain, « Typosquatting et combosquatting », Cyberpedia, 2026. https://startbrain.io/cyberpedia/fr/articles/typosquatting-combosquatting-domaines-sosies/ (CC BY 4.0) wing: 1 theme: detect_phishing reflex: cr-005 schema: G1 updated: "2026-11-03" translations: fr: https://startbrain.io/cyberpedia/fr/articles/typosquatting-combosquatting-domaines-sosies/ en: https://startbrain.io/cyberpedia/en/articles/typosquatting-combosquatting-lookalike-domains/ de: https://startbrain.io/cyberpedia/de/articles/typosquatting-combosquatting-doppelgaenger-domains/ es: https://startbrain.io/cyberpedia/es/articles/typosquatting-combosquatting-dominios-gemelos/ sources: - "n": 1 title: "Acquire Infrastructure: Domains, Sub-technique T1583.001 - Enterprise | MITRE ATT&CK®" publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1583/001/ accessed: "2026-11-03" - "n": 2 title: Avoiding Social Engineering and Phishing Attacks publisher: CISA url: https://www.cisa.gov/news-events/news/avoiding-social-engineering-and-phishing-attacks published: "2021-02-01" accessed: "2026-11-03" - "n": 3 title: "Phishing: Spearphishing Link, Sub-technique T1566.002 - Enterprise | MITRE ATT&CK®" publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1566/002/ accessed: "2026-11-03" - "n": 4 title: "Phishing for Information: Spearphishing Link, Sub-technique T1598.003 - Enterprise | MITRE ATT&CK®" publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1598/003/ accessed: "2026-11-03" - "n": 5 title: "Phishing scams: how to spot and report them" publisher: NCSC (Royaume-Uni) url: https://www.ncsc.gov.uk/collection/phishing-scams published: "2021-11-26" accessed: "2026-11-03" - "n": 6 title: Phishing, Technique T1566 - Enterprise | MITRE ATT&CK® publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1566/ accessed: "2026-11-03" --- # Typosquatting et combosquatting Un nom de domaine est l'adresse lisible d'un site, par exemple la partie qui suit le « @ » d'un courriel ou qui s'affiche dans la barre du navigateur. Un domaine peut s'acheter et, dans certains cas, s'obtenir gratuitement [1]. Un attaquant en choisit parfois un proche de celui d'une entreprise légitime : lettres remplacées par des caractères qui leur ressemblent (homoglyphes) ou extension différente, comme .co à la place de .com [1]. Des domaines proches d'un domaine légitime peuvent servir à diffuser des charges malveillantes par compromission au passage sur un site [1]. ## En 30 secondes - Où ça arrive : dans un courriel, un SMS ou un message dont l'adresse d'expéditeur ou le lien imite une entreprise connue. L'adresse peut être très proche de la vraie, avec quelques caractères modifiés ou supprimés [2]. - Ce que veut l'attaquant : vous amener sur un faux site pour récupérer des informations personnelles, souvent des identifiants de connexion [4]. - Le réflexe : lire l'adresse en entier, ne pas suivre le lien reçu pour fournir des informations personnelles ou financières [2], ouvrir plutôt le service par vos favoris (conseil de Brain), et signaler le message. - Si c'est déjà fait : prévenir les personnes compétentes dans l'organisation et changer sans attendre les mots de passe saisis, ainsi que ceux des autres comptes où le même mot de passe sert [2]. ## Questions directes ### Qu'est-ce qu'un domaine sosie ? C'est un nom de domaine enregistré pour ressembler à celui d'une organisation réelle. MITRE ATT&CK décrit des domaines similaires à des domaines légitimes, obtenus avec des homoglyphes ou une autre extension [1]. La CISA décrit des adresses d'expéditeur qui ressemblent de près à celle d'une entreprise réputée, en altérant ou en omettant quelques caractères [2]. ### Qu'est-ce qu'un homoglyphe ? C'est un caractère qui ressemble visuellement à un autre. MITRE cite les « IDN homograph attacks » : l'attaquant utilise des noms de domaine internationalisés et d'autres alphabets (cyrillique, grec) pour créer des domaines visuellement semblables à l'original [1]. Les liens bénins en apparence qui abusent de caractères spéciaux pour imiter un site légitime relèvent de la même technique [3]. ### Un cadenas dans le navigateur prouve-t-il que le site est le bon ? La source CISA citée ici recommande de chercher une adresse en « https » et un cadenas fermé, signes que l'information sera chiffrée [2]. Elle parle de chiffrement, pas de l'identité du site : le même texte demande de regarder aussi l'orthographe de l'adresse et le domaine [2]. Le cadenas ne remplace donc pas la lecture de l'adresse. ### Un courriel avec un lien sosie peut-il aussi installer un logiciel malveillant ? Oui. MITRE indique que le typosquatting peut servir à livrer des charges malveillantes lors d'une visite de site [1]. Le lien peut aussi mener vers une page qui propose de télécharger un fichier [3]. ### Que faire si je pense avoir cliqué ? Si des informations de l'organisation ont pu être révélées, la CISA conseille de prévenir les personnes concernées, dont les administrateurs réseau, qui pourront surveiller les activités inhabituelles [2]. Les mots de passe révélés se changent immédiatement [2]. ## Dans la peau de l'attaquant L'attaquant commence par choisir un nom proche de sa cible. MITRE décrit plusieurs variantes : homoglyphes, autre extension, alphabets différents [1]. Le groupe EXOTIC LILY, par exemple, a usurpé des organisations en changeant l'extension en « .us », « .co » ou « .biz » [1]. Il achète ensuite le domaine. Les registraires tiennent chacun une base publique qui affiche les coordonnées de chaque domaine enregistré. Des services de WHOIS privé affichent à la place leurs propres informations, ce qui masque le propriétaire. L'attaquant peut aussi varier les informations d'enregistrement et les registraires pour gêner le suivi de son infrastructure [1]. Certains domaines sont à usage unique : MITRE note que des adresses peuvent être générées dynamiquement pour servir un contenu malveillant à une seule victime, y compris avec des noms de domaine à usage unique [1]. D'autres attaquants rachètent des domaines expirés, qui peuvent déjà être autorisés ou jugés fiables par les défenseurs d'après leur historique [1]. Reste le site lui-même. Le site visé peut être un clone d'un portail de connexion légitime, ou lui ressembler assez pour porter dans son adresse des éléments du vrai site [4]. Le message qui l'accompagne cherche à faire cliquer, parfois avec plusieurs messages d'allure urgente [4]. ## Ce que vous voyez à l'écran Le message paraît venir d'un organisme connu. La CISA liste des indices : adresse d'expéditeur proche d'une adresse réelle, formule d'appel générique du type « Dear Valued Customer », signature sans coordonnées, fautes d'orthographe et mise en page incohérente [2]. Le lien est le point faible. Si vous passez le curseur dessus et que l'adresse affichée ne correspond pas au texte du lien, il peut être falsifié. Un site malveillant peut ressembler à l'original, mais son adresse utilise une orthographe différente ou un autre domaine, par exemple .com au lieu de .net [2]. Un service de raccourcissement d'adresse peut aussi cacher la destination réelle [2]. La page de connexion peut être une copie du portail légitime : les informations saisies dans les formulaires sont recueillies et envoyées à l'attaquant [4]. Avec certains kits de phishing (EvilProxy, Evilginx2), la victime est ensuite redirigée vers le vrai site, et l'attaquant capture aussi le cookie de session en plus de l'identifiant et du mot de passe [4]. Le contrôle visuel a des limites. MITRE reconnaît que les homoglyphes, en ASCII comme dans les domaines internationalisés, ainsi que l'obfuscation des adresses, peuvent rendre difficile une vérification manuelle [3]. D'où l'intérêt d'outils : les bandeaux d'alerte sur les courriels venant de l'extérieur, les filtres et les fonctions anti-phishing du navigateur et de la messagerie [2][3]. ## Sous le capot Le parcours technique tient en quelques étapes que les sources décrivent séparément. L'attaquant acquiert un domaine proche de la cible [1]. Il prépare un site qui clone un portail légitime ou en imite l'apparence [4]. Il envoie un courriel avec un lien accompagné d'un texte qui pousse à cliquer ou à copier l'adresse dans le navigateur [4]. Le site collecte alors les identifiants, ou propose de télécharger un fichier selon le prétexte [3][4]. Le lien peut cacher sa destination autrement. MITRE cite le format d'adresse avec des nombres entiers ou hexadécimaux comme nom d'hôte, et le fait que le texte placé avant un « @ » est ignoré. Voici une illustration neutralisée de ce type d'adresse, tirée de l'exemple de MITRE [4] : ```text Illustration (adresse neutralisée) : hxxp://google[.]com@1157586937 [le navigateur ignore « google.com » avant le @ et se connecte à l'adresse numérique] ``` Côté défense d'une organisation, MITRE propose d'enregistrer volontairement des domaines proches des siens pour décourager le typosquatting [1], de surveiller les domaines récemment créés avec une structure semblable à la sienne, y compris sous une autre extension [1], et d'utiliser SPF, DKIM et DMARC pour filtrer les messages d'après la validité du domaine expéditeur [6]. ## Autopsies Les pages de MITRE donnent des cas réels sans date de campagne : la date de dernière modification d'une page ne date pas l'incident. Les cas ci-dessous sont donc présentés sans date. ### FIN7 : un lien typosquatté vers un faux outil (date non précisée par la source) MITRE rapporte que FIN7 a envoyé des courriels d'hameçonnage ciblé contenant un lien typosquatté vers « ip-sccanner[.]com » [3]. Le groupe a aussi enregistré un domaine malveillant, advanced-ip-sccanner[.]com, qui redirigeait vers un Dropbox contrôlé par l'attaquant et contenant l'exécutable malveillant [1]. ### Magic Hound : des domaines choisis pour des victimes précises (date non précisée par la source) Magic Hound a enregistré des domaines frauduleux comme « mail-newyorker[.]com » et « news12[.]com.recover-session-service[.]site » pour viser des victimes déterminées par des attaques de phishing [1]. ### Scattered Spider et Silent Librarian (date non précisée par la source) Scattered Spider a enregistré des domaines pour usurper des portails de connexion d'entreprises [1]. Silent Librarian a acquis des domaines pour des pages de collecte d'identifiants, qui usurpent souvent l'organisation visée, avec des extensions gratuites : .TK, .ML, .GA, .CF et .GQ [1]. ## Ce que vous faites - Lisez l'adresse en entier, de gauche à droite, avant de cliquer. Passez le curseur sur le lien et comparez-le au texte affiché [2]. - N'ouvrez pas le service par le lien reçu : la CISA recommande de ne pas suivre les liens envoyés par courriel pour fournir des informations personnelles ou financières [2]. Brain conseille de passer par vos favoris. La CISA recommande aussi de vérifier la demande auprès de l'organisation avec des coordonnées trouvées dans un échange précédent, pas sur le site du message [2]. - Activez l'authentification multifacteur quand elle existe [2]. - Signalez le message. Le NCSC britannique indique que signaler une arnaque est gratuit, prend une minute et permet de protéger d'autres personnes [5]. Il peut enquêter sur les adresses de courriel et les sites frauduleux et les faire retirer [5]. Dans une entreprise, suivez d'abord la procédure de signalement interne. ## Les pièges - Se fier au cadenas seul : voir plus haut, la source parle de chiffrement [2]. - Juger à la mise en page : un site peut être un clone fidèle du portail légitime [4]. - Compter sur l'œil : les homoglyphes rendent une vérification manuelle difficile [3]. - Réutiliser un mot de passe : si un mot de passe saisi sur un faux site sert ailleurs, il faut le changer partout [2]. - Publier trop d'informations sur soi : le NCSC note que les criminels utilisent des informations disponibles en ligne, y compris sur les réseaux sociaux, pour rendre leurs messages plus convaincants [5]. ## Sources 1. MITRE ATT&CK, « Acquire Infrastructure: Domains, Sub-technique T1583.001 - Enterprise | MITRE ATT&CK® ». https://attack.mitre.org/techniques/T1583/001/ (consulté le 3 novembre 2026) 2. CISA, « Avoiding Social Engineering and Phishing Attacks », 1 février 2021. https://www.cisa.gov/news-events/news/avoiding-social-engineering-and-phishing-attacks (consulté le 3 novembre 2026) 3. MITRE ATT&CK, « Phishing: Spearphishing Link, Sub-technique T1566.002 - Enterprise | MITRE ATT&CK® ». https://attack.mitre.org/techniques/T1566/002/ (consulté le 3 novembre 2026) 4. MITRE ATT&CK, « Phishing for Information: Spearphishing Link, Sub-technique T1598.003 - Enterprise | MITRE ATT&CK® ». https://attack.mitre.org/techniques/T1598/003/ (consulté le 3 novembre 2026) 5. NCSC (Royaume-Uni), « Phishing scams: how to spot and report them », 26 novembre 2021. https://www.ncsc.gov.uk/collection/phishing-scams (consulté le 3 novembre 2026) 6. MITRE ATT&CK, « Phishing, Technique T1566 - Enterprise | MITRE ATT&CK® ». https://attack.mitre.org/techniques/T1566/ (consulté le 3 novembre 2026) --- Source originale : Cyberpedia, l'encyclopédie publique de cybersécurité et d'IA publiée par Brain. Version canonique : https://startbrain.io/cyberpedia/fr/articles/typosquatting-combosquatting-domaines-sosies/ Vous pouvez reprendre ce texte librement sous licence CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/), à condition de citer « Brain, Cyberpedia » avec un lien vers l'adresse ci-dessus.