Les liens d’hameçonnage sont conçus pour résister à un coup d’œil rapide. Le nom de la marque est là, le cadenas aussi, et la page a l’air correcte. Apprendre à lire une URL comme la lit un navigateur prend quelques minutes, et permet de déjouer la plupart des pièges décrits ci-dessous.
Les exemples de cet article utilisent notre propre domaine, angelforce.eu, et des domaines réservés aux exemples. Ne visitez pas de domaines sosies pour les tester.
Trouver la partie qui compte : le domaine enregistrable
Une adresse web comporte plusieurs parties. Une seule indique qui contrôle le site.
https://login.angelforce.eu.account-check.example/session/verify?ref=angelforce.eu| Partie | Valeur | Qui la contrôle |
|---|---|---|
| Schéma | https | Ne dit rien du propriétaire du site |
| Sous-domaines | login.angelforce.eu | Le propriétaire du domaine enregistrable |
| Domaine enregistrable | account-check.example | Le propriétaire du domaine : c’est le site |
| Chemin et paramètres | /session/verify?ref=angelforce.eu | Le propriétaire du domaine, qui peut y écrire n’importe quoi |
Lisez le nom d’hôte de droite à gauche. Partez de la fin, .example, et prenez un libellé de plus vers la gauche. Cette paire forme le domaine enregistrable, et la personne qui l’a enregistré contrôle tout ce qui se trouve à sa gauche. Notre nom apparaît deux fois dans le lien ci-dessus, et aucune de ces apparitions ne signifie quoi que ce soit.
Certaines extensions comptent deux libellés ou plus. co.uk est un suffixe public : dans shop.example.co.uk, le domaine enregistrable est donc example.co.uk. Les navigateurs s’appuient pour cela sur la Public Suffix List, maintenue par la communauté, par exemple pour mettre en évidence la partie la plus importante d’un domaine dans la barre d’adresse.
Le cadenas et https signifient seulement que la connexion est chiffrée. N’importe qui peut obtenir un certificat pour un domaine qu’il contrôle, y compris un attaquant.
Les domaines sosies
Le piège le plus simple est un domaine qui ressemble au vôtre au premier coup d’œil :
- une lettre substituée :
angeIforce.eu, avec un I majuscule à la place d’un l minuscule, deux lettres identiques dans de nombreuses polices - un mot ajouté :
angelforce-security.euouangelforce-eu.com - une autre extension :
angelforce.coau lieu deangelforce.eu
Aucun de ces domaines ne nous appartient. N’importe qui pourrait les enregistrer.
Homographes et punycode
Les noms de domaine peuvent contenir des lettres d’autres alphabets. Dans le DNS, ils sont stockés sous une forme ASCII qui commence par xn--, produite par un algorithme appelé Punycode. La lettre cyrillique « а » est identique au « a » latin dans la plupart des polices, d’où :
аngelforce.eu (first letter is Cyrillic)
xn--ngelforce-zyh.eu (what DNS actually sees)Dans cet exemple, la première lettre est cyrillique, et la seconde ligne montre ce que voit réellement le DNS. Chrome affiche un libellé sous sa forme xn-- lorsqu’il mélange des écritures de façon risquée, par exemple du latin et du cyrillique. Il repère aussi les noms entièrement écrits avec des lettres trompeuses, comme аррӏе.com, qu’il affiche sous la forme xn--80ak6aa92e.com, ainsi que les imitations de domaines populaires.
Ne comptez pas uniquement là-dessus. Ces contrôles protègent surtout les domaines connus, et ils ne s’appliquent pas au texte d’un lien dans un e-mail, qui peut afficher n’importe quoi. Si vous voyez xn-- dans un lien que vous n’attendiez pas, considérez-le comme suspect.
L’astuce du @
Si un signe @ apparaît avant le premier / qui suit https://, tout ce qui le précède constitue des « informations utilisateur », et non l’hôte. La RFC 3986 prévient que cette partie peut être conçue pour ressembler à un nom de domaine de confiance.
https://www.angelforce.eu@203.0.113.50/loginCe lien mène au serveur 203.0.113.50. La partie www.angelforce.eu est traitée comme un nom d’utilisateur, pas comme la destination. Un service légitime n’a presque aucune raison de vous envoyer un lien contenant @ avant l’hôte.
Raccourcisseurs et QR codes
Les liens raccourcis et les QR codes cachent la destination jusqu’à ce que vous cliquiez ou scanniez. C’est leur raison d’être, et c’est aussi pourquoi les attaquants les utilisent. Le NCSC britannique conseille de se méfier des QR codes contenus dans les e-mails. Déroulez un lien raccourci avec un outil de vérification avant de l’ouvrir, ou rendez-vous directement sur le service.
Les redirections ouvertes
Certains sites légitimes disposent d’une fonction de redirection qui envoie les visiteurs vers n’importe quelle adresse indiquée dans un paramètre. La fiche OWASP sur les redirections non validées montre un schéma de ce type :
https://example.com/example.php?url=https://malicious.example.comLe lien commence par un domaine réel et de confiance : c’est tout l’intérêt. Repérez les paramètres comme url=, next=, redirect= ou return= qui contiennent une seconde adresse complète. C’est probablement cette seconde adresse qui sera votre destination finale.
Chemins et sous-domaines trompeurs
Placer des noms de marque dans le chemin ou dans des sous-domaines ne coûte rien à un attaquant :
https://secure-login.example/angelforce.eu/microsoft365/signin
https://angelforce.eu.secure-login.example/Ces deux liens appartiennent à secure-login.example. Les longs chemins contenant des noms de marque, des mots comme « secure », « verify » ou « account » et de nombreux caractères aléatoires ne prouvent pas un hameçonnage, mais ce sont des raisons de regarder de plus près.
Les extensions inhabituelles
Certains domaines de premier niveau ressemblent à autre chose. .zip est un domaine de premier niveau délégué depuis 2014 : invoice.zip peut donc être un site web plutôt qu’un fichier. Un lien qui se termine par un nom de fichier n’est pas forcément un fichier.
Les bons réflexes
- Survolez le lien ou faites un appui long avant de cliquer, et lisez la vraie destination, pas le texte du lien.
- Rendez-vous vous-même sur les sites importants. Utilisez des favoris ou saisissez l’adresse de votre banque, de votre outil de paie et de votre page de connexion Microsoft 365 ou Google.
- Vérifiez auprès de l’expéditeur par un canal connu. Le NCSC conseille de contacter directement l’organisation avec les coordonnées de son site officiel, et non celles du message.
- Utilisez un gestionnaire de mots de passe. Il ne remplit les mots de passe que sur le site où vous les avez enregistrés : il ne proposera donc pas votre mot de passe sur un domaine sosie. Les clés d’accès (passkeys) vont plus loin, car chacune est liée au site authentique.
- Méfiez-vous de la pression. Le NCSC cite l’autorité, l’urgence, l’émotion, la rareté et l’actualité comme des leviers courants des messages frauduleux.
- Signalez-le. Un message suspect que vous signalez aide à protéger vos collègues, même si vous n’avez pas cliqué.
Par où commencer
Collez un lien suspect dans notre analyseur de liens pour voir où il mène réellement, sans l’ouvrir. Si l’e-mail lui-même vous semble anormal, notre analyseur d’en-têtes d’e-mail montre quels serveurs l’ont traité et si SPF, DKIM et DMARC ont réussi.
Si vous souhaitez que vos équipes apprennent à lire les liens de cette façon, notre service de conseil et de formation peut vous aider.
