Phishing IDN et homographe : quand le domaine semble correct mais ne l'est pas

Le phishing ne se limite pas aux noms de domaine mal orthographiés. Les attaques homographes exploitent des caractères visuellement similaires issus de différents scripts Unicode — un « а » cyrillique à la place du « a » latin — de sorte que la barre d'adresse du navigateur paraît identique à celle d'un site légitime alors qu'elle résout vers un nom d'hôte contrôlé par l'attaquant.

Le rôle des IDN et du Punycode

Les navigateurs prennent en charge les noms de domaine internationalisés (IDN) afin que chacun puisse utiliser son propre script. Ces noms sont représentés dans le DNS au moyen du Punycode (xn--…). Beaucoup d'utilisateurs ne voient jamais la forme Punycode : ils voient un libellé lisible. Les attaquants enregistrent des domaines qui s'affichent comme paypal.com ou microsoft.com mais qui s'encodent en un nom ASCII sous-jacent totalement différent.

Pourquoi cela déjoue les vérifications superficielles

Les formations de sensibilisation à la sécurité répètent souvent « vérifiez l'URL ». Le phishing homographe vise précisément cette habitude : la chaîne de caractères semble correcte. Combiné au HTTPS, à une page de connexion soignée et à un sentiment d'urgence dans l'e-mail ou le message, le taux de clic reste élevé.

Mesures défensives

1. Politiques navigateur et système : privilégiez les navigateurs qui affichent le Punycode ou alertent sur les domaines mêlant plusieurs scripts ; maintenez les postes à jour.
2. Passerelles e-mail et web : détectez les IDN récemment enregistrés, les grappes d'homographes et les sosies de votre marque à l'aide de flux de réputation et de similarité visuelle.
3. Sensibilisation des utilisateurs : enseignez le principe « ne faites pas confiance à la seule barre d'adresse » — utilisez des favoris pour les applications sensibles et vérifiez par un canal hors bande avant tout virement ou réinitialisation d'identifiants.
4. Protection de marque : surveillez les enregistrements qui usurpent vos domaines et déposez des demandes de retrait auprès des registrars lorsque leur politique le permet.

Pour les équipes de sécurité opérationnelle

Déclenchez des alertes sur :

• Les domaines vus pour la première fois présentant une forte similarité visuelle avec vos listes d'autorisation internes ou SaaS.
• Les connexions ou flux OAuth dont l'hôte de redirection est un IDN ou un enregistrement récent.
• Les certificats TLS émis pour des chaînes de marque prêtant à confusion.

Conclusion

Le phishing homographe et IDN exploite la perception humaine et la normalisation Unicode. Les contrôles techniques (réputation, règles de passerelle, comportement du navigateur) associés à une logique de compromission présumée sur les parcours d'authentification comblent l'écart lorsque l'URL « semble » correcte.