Typosquatting
Le typosquatting enregistre des variantes fautives d'un nom légitime, domaine ou paquet logiciel, pour piéger ses victimes par hameçonnage ou code malveillant.
Le typosquatting consiste à enregistrer un nom qui ressemble à s'y méprendre à un nom légitime : exemple-fr.com au lieu d'exemple.fr, une lettre doublée, un tiret déplacé, un caractère Unicode visuellement identique. L'attaquant compte sur la faute de frappe ou sur l'inattention, et le domaine sosie sert ensuite de support à l'hameçonnage, à l'usurpation de marque ou à l'interception d'e-mails mal adressés.
La même technique s'est déplacée vers les registres de paquets logiciels, et c'est aujourd'hui sa variante la plus dangereuse : publier sur npm ou PyPI un paquet nommé presque comme une bibliothèque populaire, en pariant sur l'erreur de frappe d'un développeur pressé. Le code malveillant s'exécute alors à l'installation, au cœur de la chaîne de build, ce qui en fait un vecteur classique d'attaque supply chain.
On ne peut pas empêcher un tiers d'enregistrer un domaine ressemblant ; on peut en revanche le détecter tôt et réagir, blocage, signalement, procédure UDRP. Notre article sur le typosquatting explique comment générer et surveiller les variantes de vos noms, ce qu'une plateforme EASM fait en continu.
Les recours quand un domaine sosie apparaît
Le droit offre plusieurs voies, qui n'ont ni le même coût ni le même délai. Pour un .fr, l'AFNIC propose la procédure SYRELI, qui statue sur dossier en quelques semaines. Pour les extensions génériques, .com en tête, la procédure UDRP administrée par l'OMPI fait le même travail à l'échelle internationale. Les deux exigent de démontrer un droit antérieur, l'absence d'intérêt légitime du titulaire et un enregistrement de mauvaise foi. En parallèle, un signalement à l'hébergeur et aux services de filtrage des navigateurs produit souvent un effet plus rapide qu'une décision juridique. Le dépôt de marque reste le prérequis : sans droit antérieur, aucune de ces procédures n'aboutit.
Le typosquatting de paquets, plus dangereux que celui de domaines
Un domaine sosie trompe un humain, qui peut se raviser devant le formulaire. Un paquet sosie s'installe sans que personne ne lise son nom, et son code s'exécute au moment de l'installation, avec les droits de la chaîne de build. Les variantes ne se limitent pas à la faute de frappe : nom au singulier plutôt qu'au pluriel, tiret remplacé par un souligné, ou paquet public portant le nom d'une bibliothèque interne, ce qu'on appelle la confusion de dépendances. La défense passe par l'épinglage des versions, un miroir interne plutôt que le registre public, et l'inventaire que produit la SCA.
Questions fréquentes
Faut-il déposer préventivement les variantes de son domaine ?
Pour les fautes de frappe les plus probables et les extensions principales, oui : c'est peu coûteux comparé à une procédure. Vouloir couvrir toutes les variantes possibles est en revanche sans fin, le nombre de combinaisons étant pratiquement illimité.
Comment surveiller les domaines ressemblants ?
En générant les variantes par permutation, substitution de caractères visuellement proches et extensions alternatives, puis en interrogeant régulièrement le DNS et les journaux de Certificate Transparency. L'apparition d'un certificat sur un domaine sosie précède souvent la campagne d'hameçonnage de quelques jours.
Le typosquatting est-il illégal en France ?
Il n'existe pas d'infraction portant ce nom. Selon les cas, l'enregistrement peut constituer une contrefaçon de marque, une concurrence déloyale ou un acte préparatoire à une escroquerie. C'est ce fondement, et le dépôt de marque antérieur, qui rendent l'action possible.