Solutions / Détection de l’usurpation de domaine

Détection d’usurpation de domaine avant le premier e-mail de phishing

Nous générons des dizaines de milliers de domaines sosies du vôtre, repérons ceux qui sont enregistrés, les surveillons 24 h/24 et faisons supprimer ceux qui deviennent hostiles, preuves à l’appui.

Démarrer l’essai gratuit Découvrir le fonctionnement
  • Domaines imitateurs trouvés : 612, sites actifs : 438, takedowns effectués : 14.
  • northwind-login.example : combosquat, phishing actif, puis retiré, risque 97.
  • northwind-support.example : Combosquat, enregistré, puis phishing actif, risque 58.
  • northwind.invalid : changement de TLD, parqué, risque 28.
  • northwind-shop.example : Combosquat, phishing actif, risque 88.
  • northwlnd.example : homoglyphe, phishing actif, puis retiré, risque 94.
  • northvvind.example : homoglyphe, enregistré, risque 41.
  • nortwind.example : faute de frappe, parqué, risque 34.
  • northwind.test : changement de TLD, retiré, risque 12.
  • Chaque site de phishing s’affiche avec une capture d’écran, la similarité de son logo, son hébergement et l’avancement du takedown : brouillon, envoyé, bloqué, retiré.
45+algorithmes de permutation
30 k–70 kvariations par domaine
14moniteurs par domaine sosie
En directpour certaines sources, 30 min pour les menaces

Le moteur de détection provient de SpoofGuard, notre société sœur spécialisée en threat intelligence sur les domaines.

Pourquoi c’est important

Une lettre de différence, et personne ne remarque rien.

Un domaine similaire (lookalike) coûte quelques dollars et quelques minutes. Pour vos clients, votre personnel et vos fournisseurs, il vous ressemble.

Le risque

  • PhishingPages de connexion qui copient votre authentification et collectent les mots de passe.
  • Fraude à la factureE-mails provenant d’un domaine à une lettre près, demandant de modifier des coordonnées bancaires.
  • Faux sites marchands et faux supportSites qui vendent, facturent ou « aident » en votre nom.
  • MalwareTéléchargements et mises à jour proposés depuis un domaine qui ressemble au vôtre.

L’apport

  • Alerte précoceRepérez les domaines similaires dès leur enregistrement, bien avant la première campagne.
  • PreuvesCaptures d’écran, correspondance du logo, enregistrements DNS et de messagerie montrent ce que fait chaque domaine.
  • ActionBloquez-les dans votre passerelle de messagerie, alertez vos équipes et faites-les retirer.
  • ConfianceMoins de clients et de partenaires trompés en votre nom.
Dans le tableau de bord

D’un domaine à un takedown (retrait), étape par étape.

Analyser votre domaine
Visite du tableau de bord

Étape 1 sur 8: Brand library. Configuré une fois, réutilisé par chaque analyse

Marque et données fictives. Tous les domaines et toutes les IP sont réservés à la documentation.

Trouver

Plus de 45 façons de falsifier votre domaine. Nous les essayons toutes.

Nous générons toutes les variantes qu’un attaquant enregistrerait, puis vérifions lesquelles existent. En complément, nous surveillons les endroits où les nouveaux domaines similaires apparaissent en premier.

  • Fautes de frappeLettres manquantes, permutées, doublées ou voisines.
  • HomoglyphesCaractères qui se ressemblent, y compris Unicode et punycode.
  • TLDAutres extensions, extensions ajoutées et sous-domaines.
  • BitsquatsUn seul bit inversé, tel que provoqué par une mémoire ou des appareils défectueux.
  • CombinaisonsVotre nom associé à des mots, des pluriels, des tirets et du DNS dynamique.
northwind.example
41 870variations générées pour northwind.example

Lettres manquantes, permutées, doublées ou voisines.

  • nortwind.examplelettre manquante
  • northwnid.examplelettres permutées
  • northwinnd.examplelettre doublée
  • nprthwind.exampletouche voisine
Plus des sources externes
Nouveaux enregistrements de domainesJournaux de transparence des certificatsPublicités sur les moteurs de recherche et les réseaux sociauxListes de phishing et de malwaresAnnuaires web
northwind-login.example
  • Âge du domaineEnregistré il y a 3 jours
  • StructureNom de marque plus « login »
  • Serveur de messagerieEnregistrement MX défini : peut envoyer des e-mails
  • CertificatCertificat émis hier
  • Redirections2 redirections avant la page
  • Formulaires webDemande l’e-mail et le mot de passe
  • Correspondance du logoVotre logo trouvé sur la page
  • Mots-clés de marque3 mots-clés sur 3 présents sur la page
  • ObfuscationUn script masqué charge un formulaire
  • Listes de blocagePas encore listé
Score d’URL8
Menace : demander un takedown
Évaluer

Chaque sosie enregistré, vérifié automatiquement.

Chaque domaine reçoit une capture d’écran, une correspondance de logo et de marque avec votre Brand library, ses enregistrements DNS et de messagerie, ainsi qu’un score d’URL qui s’explique de lui-même.

Listes de blocage et bases de malwares
20
Historique et popularité du site web
85
Contenu et comportement du site web
92

Chaque vérification est accompagnée d’une explication en langage clair, pour que vous voyiez pourquoi un score est élevé.

Surveiller

Inactif aujourd’hui, phishing la semaine prochaine.

La plupart des domaines similaires sont d’abord inoffensifs. Nous continuons de surveiller chacun d’eux et le vérifions plus souvent à mesure qu’il se rapproche d’une attaque : d’une fois par mois pour les domaines inactifs à toutes les 30 minutes pour les menaces actives. Certaines sources sont en direct : les nouvelles données arrivent dans notre base dès leur réception.

La vie d’un domaine imitateur

Illustration avec un domaine similaire fictif : northwlnd.example imite northwind.example

État 1 sur 8 : Non enregistréGénéré à partir de northwind.example. Personne ne l’a encore enregistré. Vérifié chaque mois (exemple de planning ; 7 niveaux, de mensuel à toutes les 30 minutes).

14 moniteurs en 5 groupes

  • Enregistrement A
  • Enregistrement MX
  • Enregistrement NS
  • Ports ouverts
  • Statut HTTP(S)
  • Changement de contenu
  • Usurpation de contenu
  • TLS et journal CT
  • SPF/DMARC/DKIM
  • Changements WHOISnot registered (fired now)
  • Score de phishing
  • Score de risque
  • Abus publicitaires
  • Similarité visuelle

Journal des événements heures relatives

  1. StartVariant generated: i → l
  2. WHOIS: not registered yet
Agir

De la détection au takedown.

Un clic transforme un domaine sosie en demande de takedown. Nous trouvons les contacts d’abus, joignons les preuves et votre procuration signée, et suivons chaque destinataire. Les takedowns sont entièrement inclus dans votre formule.

  • PreuvesVotre site et le domaine imitateur côte à côte, avec captures d’écran, DNS et WHOIS.
  • DestinatairesHébergeur et registrar trouvés automatiquement, ainsi que les listes de blocage des navigateurs et anti-phishing.
  • MandatUne procuration signée permet à la demande d’agir en votre nom.
  • SuiviLe statut de chaque destinataire et chaque réponse, au même endroit, avec des mises à jour par e-mail.
northwind-login.example
  • Hébergeurcontact d’abus trouvé
  • Bureau d’enregistrementcontact d’abus trouvé
  • Liste de blocage des navigateurssélectionné
  • Liste anti-phishingsélectionné
Procuration signée jointe
  1. Brouillon
  2. Envoyé
  3. Bloqué
  4. Retiré

Les listes de blocage comptent lorsqu’un hébergeur réagit lentement, voire pas du tout.

Activité de takedownnorthwind-login.example
  1. maintenantAutomatiséDemande envoyée à l’hébergeur et au registrar
  2. 2 min plus tardAutomatiséListes de blocage des navigateurs et d’anti-phishing notifiées
  3. 20 min plus tardAnalystePreuves vérifiées et complètes
  4. le lendemainSurveillerPas de réponse de l’hébergeur
  5. le lendemainAnalysteEscaladé à l’équipe abuse de l’hébergeur
  6. 2 jours plus tardHébergeurSite suspendu par l’hébergeur
  7. 2 jours plus tardAnalysteHors ligne vérifié, la surveillance se poursuit

Visible en temps réel pour vous. Exemple fictif.

Piloté par des analystes

Chaque takedown est supervisé. Escaladé quand cela compte.

L’automatisation envoie les demandes. Notre équipe de takedown (retrait) suit chacune d’elles à la main, escalade lorsqu’un prestataire n’agit pas et vous tient informé à chaque étape.

  • SuiviUn analyste suit chaque takedown, de la première demande jusqu’au retrait confirmé.
  • EscaladePas de réponse ou pas d’action ? L’équipe escalade via d’autres contacts et canaux jusqu’à la résolution de la demande.
  • TransparenceVous voyez chaque étape dans le tableau de bord : qui a été contacté, chaque réponse, chaque escalade et le statut actuel.
  • QualitéUne équipe dédiée qui fait cela chaque jour, avec un haut niveau de diligence.
Détails

Tout le module, en bref.

Commencez par un domaine

Voyez qui se fait passer pour vous.

Démarrez un essai gratuit et analysez votre domaine à la recherche de domaines similaires, ou réservez une démo pour voir la surveillance et les takedowns pour votre marque.

Démarrer l’essai gratuit Réserver une démo