Typosquatting : le faux site « Have I Been Pawned »
Chez Ordibug, les failles techniques comptent autant que les usages détournés par ingénierie sociale. Entre le clavier et la chaise, il y a vous, l’internaute. Exemple avec un faux site imitant Have I Been Pwned, enregistré sous le nom « Have I been pawned ».
Typosquatting : ces sites qui profitent d’une faute de frappe
Le typosquatting (ou cybersquatting par faute de frappe) consiste à enregistrer un nom de domaine proche d’un site connu pour récupérer les visiteurs qui se trompent en saisissant l’adresse.
Que veut dire « pwned » ?
« Pwned » est une déformation volontaire de l’anglais « owned » (possédé, dominé), employée par les pirates pour dire « je t’ai eu ». On le retrouve sur des sites défigurés, où les pirates laissent ce message sur la page d’accueil.
Que faire ?
- Saisissez l’adresse avec soin ou utilisez un favori.
- Vérifiez le nom de domaine avant de saisir des identifiants.
- Pour en savoir plus : typo.cybersquatting.free.fr.
Repérer une adresse frauduleuse
- Lettres proches : « rn » à la place de « m », « 0 » à la place de « O ».
- Caractères d’autres alphabets qui ressemblent à des lettres latines, dans les noms de domaine internationalisés.
- Sous-domaines trompeurs : le vrai domaine est la partie qui précède la première barre oblique, juste avant l’extension.
- Le cadenas ne prouve rien. Il indique une connexion chiffrée, pas l’honnêteté du site : les faux sites en ont aussi.
Un gestionnaire de mots de passe est une bonne protection : il ne remplit pas vos identifiants sur un domaine qui n’est pas le bon.
Si vous avez saisi vos identifiants sur un faux site
- Changez immédiatement ce mot de passe, et tous ceux qui lui ressemblent.
- Activez la validation en deux étapes.
- Vérifiez si votre adresse apparaît dans des fuites connues sur le vrai Have I Been Pwned.
- Signalez le site : Signal Spam pour les e-mails, la plateforme Pharos (internet-signalement.gouv.fr) pour les contenus illicites, et Cybermalveillance.gouv.fr pour une aide.
Pourquoi cette technique reste efficace
Elle exploite un geste automatique : saisir une adresse à la hâte ou cliquer sans lire. Les cibles préférées sont les services où l’on saisit un identifiant : banque, messagerie, administration, réseaux sociaux. Le faux site copie la page de connexion, récupère vos identifiants, puis vous redirige parfois vers le vrai site pour que vous ne remarquiez rien.
Les bons réflexes au quotidien
- Utilisez des favoris pour vos sites sensibles plutôt que la saisie ou un moteur de recherche.
- Évitez de cliquer sur les liens des e-mails et SMS qui demandent une action urgente : ouvrez le site vous-même.
- Utilisez des mots de passe uniques par service : une fuite ne compromet alors qu’un compte.
- Activez la validation en deux étapes et préférez les clés d’accès (passkeys) quand le service les propose.
- Dans une entreprise, réservez les noms de domaine proches du vôtre et formez les équipes à reconnaître les imitations.
Ces règles s’appliquent aussi aux demandes de « support » trouvées par hasard : voir les règles de sécurité en dépannage.