Un lundi matin, la réceptionniste d'une entreprise de paysagement de Terrebonne reçoit un appel étrange. Une cliente veut savoir pourquoi sa facture, « payée en ligne » la semaine dernière, apparaît encore en souffrance. Le lien de paiement venait d'un courriel aux couleurs de l'entreprise, envoyé depuis un domaine presque identique : une seule lettre doublée.
Personne n'a piraté l'entreprise. Le fraudeur a simplement enregistré un nom de domaine sosie pour quelques dollars, copié le logo et le gabarit des factures, puis écrit aux clients trouvés sur la page Facebook. Ce scénario est fictif, mais le procédé est banal.
L'usurpation d'entreprise ne demande aucune intrusion dans vos systèmes. C'est justement ce qui la rend difficile à prévenir. La bonne nouvelle : il existe des voies claires pour faire retirer un faux site, et des mesures simples pour compliquer la tâche des fraudeurs.
En bref
- Un domaine sosie, un faux site ou une fausse page sur les réseaux sociaux s'utilise contre vous sans jamais toucher à vos systèmes : votre meilleure défense est la surveillance.
- Pour faire retirer un faux site : documentez, puis signalez au registraire, à l'hébergeur, à Google Safe Browsing et à Microsoft, et à l'ACEI s'il s'agit d'un .ca.
- DMARC en mode rejet empêche l'usurpation de votre domaine exact, mais ne protège pas contre les domaines sosies.
Les visages de l'usurpation d'entreprise
Prenons une entreprise fictive dont le domaine est votreentreprise.ca. Voici les variantes qu'un fraudeur peut exploiter :
| Technique | Exemple | Ce que ça permet |
|---|---|---|
| Faute de frappe (typosquattage) | votreentrepise.ca, votre-entreprise.ca | Courriels et faux site que l'œil ne distingue pas à la lecture rapide |
| Autre extension | votreentreprise.com, .net, .co | Faux site qui semble « officiel » pour les clients hors Québec |
| Caractères qui se ressemblent | rn à la place de m, lettres d'un autre alphabet | Domaine visuellement identique dans un navigateur ou un courriel |
| Sous-domaine trompeur | votreentreprise.paiement-securise.com | Le vrai nom apparaît au début de l'adresse, le domaine réel est à la fin |
| Usurpation du domaine exact | Courriel affichant @votreentreprise.ca | Possible si votre domaine n'a pas de politique DMARC stricte |
| Fausse page sociale | « Votre Entreprise – Service à la clientèle » | Faux concours, faux soutien technique, faux recrutement |
La dernière ligne est souvent sous-estimée. Une fausse page Facebook qui promet un concours ou une fausse offre d'emploi sur LinkedIn exploite la même confiance que votre site web.
Pourquoi les PME sont visées
Les fraudeurs ne s'attaquent pas seulement aux grandes marques. Une PME présente trois avantages pour eux : une clientèle qui la connaît et lui fait confiance, des factures et des paiements récurrents faciles à imiter, et rarement quelqu'un qui surveille les nouveaux noms de domaine.
Les usages typiques : détourner un paiement de facture, voler des identifiants clients sur une fausse page de connexion, vendre de faux produits sur une boutique clonée ou recueillir des renseignements personnels par une fausse offre d'emploi. Le domaine sosie sert aussi de tremplin à la fraude au changement de coordonnées bancaires, quand le fraudeur se fait passer pour vous auprès de vos propres clients.
Repérer un faux site avant vos clients
On ne peut pas empêcher quelqu'un d'enregistrer un domaine. On peut, par contre, le voir apparaître tôt.
Surveiller les variantes de votre nom. Des services de surveillance de marque et des outils libres (dnstwist, par exemple) génèrent les variantes plausibles de votre domaine et vérifient lesquelles sont enregistrées.
Consulter les journaux de transparence des certificats. Chaque certificat TLS public est consigné dans des registres ouverts, consultables sur des sites comme crt.sh. Un faux site affiche presque toujours le cadenas : chercher votre nom dans ces journaux révèle souvent un faux site avant sa mise en ligne.
Lire vos rapports DMARC. Les rapports agrégés indiquent quels serveurs envoient des courriels en utilisant votre domaine. Si vous n'avez pas encore de politique DMARC, notre article SPF, DKIM et DMARC expliqués détaille la marche à suivre, et notre vérificateur DMARC, SPF et DKIM vous dit en quelques secondes où vous en êtes.
Faciliter les signalements. Vos clients et vos employés voient souvent la fraude en premier. Une adresse claire pour signaler un courriel suspect, mentionnée sur votre site et dans vos factures, vaut bien des outils.
Faire retirer un faux site : la marche à suivre
Le réflexe est de vouloir une fermeture immédiate. En pratique, on agit sur plusieurs fronts en même temps.
- Documentez sans interagir. Captures d'écran, adresse complète, date et heure, en-têtes complets du courriel reçu. Ne saisissez jamais d'information sur le faux site.
- Identifiez le registraire et l'hébergeur. Un outil de recherche WHOIS ou RDAP, comme celui de l'ICANN (lookup.icann.org), indique le registraire du domaine et son contact pour les abus.
- Signalez au registraire et à l'hébergeur. Les registraires sous contrat avec l'ICANN doivent tenir un contact pour les signalements d'abus et prendre des mesures raisonnables et rapides pour enquêter. Joignez vos preuves et expliquez en quoi le site usurpe votre entreprise.
- Faites bloquer le site par les navigateurs. Le formulaire de Google Safe Browsing et celui de Microsoft pour les sites non sécuritaires permettent d'afficher un avertissement aux visiteurs, souvent avant même la fermeture du site.
- Pour un .ca, alertez l'ACEI. L'Autorité canadienne pour les enregistrements Internet (ACEI, ou CIRA) offre un formulaire de signalement des abus de domaine, comme l'hameçonnage ou la distribution de maliciels, et peut lancer une vérification des renseignements du titulaire.
- Signalez la fraude. Au Centre antifraude du Canada, et à votre service de police si des clients ont perdu de l'argent.
- Avertissez vos clients. Un message sur votre site, vos réseaux sociaux et par courriel, sans jamais inclure de lien cliquable vers le faux site.
Pour une fausse page sur les réseaux sociaux, utilisez le signalement d'usurpation de la plateforme (sur LinkedIn, par exemple, le menu « Plus » de la page, puis « Signaler un abus »).
Les recours juridiques : CDRP et UDRP
Le signalement d'abus vise à faire cesser la fraude. Les procédures de règlement des différends, elles, visent à récupérer ou à faire annuler le domaine.
Pour un .ca, la politique de règlement des différends de l'ACEI (CDRP) permet d'obtenir, hors des tribunaux, le transfert ou l'annulation d'un domaine enregistré de mauvaise foi. Le plaignant doit généralement respecter les exigences de présence au Canada, démontrer que le domaine crée de la confusion avec une marque sur laquelle il avait des droits avant l'enregistrement, démontrer la mauvaise foi et fournir une preuve que le titulaire n'a pas d'intérêt légitime.
Pour un .com, un .net et la plupart des autres extensions génériques, c'est la procédure UDRP, administrée notamment par l'OMPI.
Une marque enregistrée auprès de l'Office de la propriété intellectuelle du Canada (OPIC) facilite ces démarches. Ces procédures demandent de la rigueur : validez avec votre conseiller juridique ou votre agent de marques avant de déposer une plainte.
Rendre l'usurpation plus difficile
- Politique DMARC à
p=rejectsur votre domaine principal, et sur les domaines qui n'envoient jamais de courriel - Variantes les plus évidentes enregistrées :
.ca,.com, avec et sans trait d'union - Compte chez le registraire protégé par un MFA, et verrou de transfert activé sur vos domaines
- Une page « Nos canaux officiels » sur votre site, qui précise que vous ne changez jamais vos coordonnées bancaires par courriel
- Votre nom réservé sur les principales plateformes sociales, même celles que vous n'utilisez pas
- Une personne responsable des signalements et une procédure écrite pour les démarches de retrait
- Une surveillance mensuelle des nouveaux domaines et des certificats à votre nom
En conclusion
L'usurpation d'entreprise est un risque que vous ne pouvez pas éliminer, mais que vous pouvez raccourcir. Plus vous repérez tôt un domaine sosie, moins il fait de victimes. Et avec une procédure prête, le retrait devient une routine plutôt qu'une panique.
La surveillance des domaines, des certificats et des rapports DMARC fait partie de notre accompagnement continu : nous repérons les imitations, nous préparons les signalements et nous vous aidons à prévenir vos clients.
Questions fréquentes
Est-ce illégal d'enregistrer un nom de domaine qui ressemble au mien ?+
Pas automatiquement. Un domaine semblable peut être enregistré de bonne foi par une autre entreprise. C'est l'enregistrement de mauvaise foi, ou l'utilisation du domaine pour frauder, qui ouvre la porte aux recours : signalement d'abus, procédure de règlement des différends (CDRP pour les .ca, UDRP pour les .com) et plainte à la police. Validez votre situation avec votre conseiller juridique ou votre agent de marques.
Combien de temps faut-il pour faire fermer un faux site ?+
Aucun délai n'est garanti. Quand l'hameçonnage est évident et bien documenté, les registraires et les hébergeurs peuvent agir rapidement : les registraires sous contrat avec l'ICANN doivent enquêter sur les signalements d'abus et y répondre avec diligence. Une procédure de règlement des différends prend plus de temps, d'où l'intérêt de faire bloquer le site par les navigateurs en parallèle.
Devrais-je acheter tous les noms de domaine qui ressemblent au mien ?+
Non, c'est impossible : les variantes se comptent par centaines. Enregistrez les plus évidentes (votre nom en .ca et en .com, avec et sans trait d'union, les fautes de frappe les plus probables), puis misez sur la surveillance pour repérer les autres dès leur apparition.
Un faux site à notre nom est-il un incident de confidentialité au sens de la Loi 25 ?+
Pas nécessairement. Si vos systèmes n'ont pas été compromis et que le fraudeur collecte lui-même les renseignements de vos clients, l'incident ne touche pas forcément des renseignements que vous détenez. Mais si le fraudeur a utilisé votre liste de clients ou des données provenant de chez vous, la situation change. Documentez les faits et validez avec votre conseiller juridique.
Sources
- 1.ICANN : signaler un abus lié à un nom de domaine aux registraires (obligations de l'article 3.18 du RAA)
- 2.ACEI (CIRA) : signaler un abus de domaine .ca
- 3.ACEI (CIRA) : règlement des différends relatifs aux noms de domaine .ca (CDRP)
- 4.OMPI : règlement des litiges relatifs aux noms de domaine (UDRP)
- 5.Google Safe Browsing : signaler une page d'hameçonnage
- 6.Microsoft : signaler un site non sécuritaire
- 7.Centre antifraude du Canada : signaler une fraude ou un cybercrime