Qu’est-ce que le ty­pos­quat­ting et comment s’en protéger ?

Le ty­pos­quat­ting désigne l’en­re­gis­tre­ment ciblé de domaines qui res­semblent fortement à des adresses Internet connues et ne pré­sen­tent que de légères fautes de frappe. L’objectif est d’in­ter­cep­ter les uti­li­sa­teurs qui se trompent en sai­sis­sant une adresse Web et de les rediriger vers un site Web frau­du­leux ou trompeur.

Comment fonc­tionne le ty­pos­quat­ting ?

Le ty­pos­quat­ting repose sur de simples va­ria­tions de ca­rac­tères : une lettre est omise, inversée ou remplacée par une variante vi­suel­le­ment similaire. Les attaques par ho­mo­glyphes sont par­ti­cu­liè­re­ment dif­fi­ciles à repérer : elles utilisent par exemple le chiffre « 0 » à la place de la lettre « O » ou des ca­rac­tères Unicode issus d’autres alphabets. Ces variantes sont presque in­dé­tec­tables à l’œil nu.

Alors que les exemples clas­siques con­cer­naient autrefois des fautes de frappe dans les noms de domaine de grands moteurs de recherche ou de boutiques en ligne, les cas actuels de ty­pos­quat­ting visent de plus en plus les services SaaS, les pla­te­formes Cloud, les ap­pli­ca­tions d’IA et les pres­ta­taires de paiement. De fausses pages de connexion imitant ChatGPT, Microsoft 365 ou des pla­te­formes de cryp­to­mon­naies connues il­lustrent le degré de pro­fes­sion­na­li­sa­tion de ces attaques. L’objectif est de détourner le trafic in­vo­lon­taire et d’en tirer un profit éco­no­mique. Dans les cas les plus graves, des pages de connexion trom­peuses servent à voler des iden­ti­fiants ou des in­for­ma­tions de paiement. Pour les en­tre­prises, chaque incident de ty­pos­quat­ting peut entraîner une perte po­ten­tielle de clients, une atteinte à la ré­pu­ta­tion ou un risque de com­pro­mis­sion de données.

Quelles sont les variantes typiques du ty­pos­quat­ting ?

Les auteurs de ty­pos­quat­ting disposent de plusieurs moyens pour tromper les in­ter­nautes à l’aide du ty­pos­quat­ting. Les prin­ci­pales variantes sont pré­sen­tées ci-dessous.

• Fautes de frappe : les in­ver­sions de lettres, les ca­rac­tères en double ou les ca­rac­tères manquants comptent parmi les erreurs les plus fré­quentes. À partir d’un nom de domaine connu, il est ainsi possible de créer des variantes avec des écarts minimes. De nom­breuses grandes marques en­re­gistrent désormais elles-mêmes ces variantes et les re­di­ri­gent via une re­di­rec­tion 301 vers leur domaine principal afin d’éviter tout abus.
• Fautes d’or­tho­graphe : toutes les erreurs ne pro­vien­nent pas d’une frappe pré­ci­pi­tée. Des noms de marque ou des dé­sig­na­tions de produits fré­quem­ment mal or­tho­gra­phiés sont également en­re­gis­trés vo­lon­tai­re­ment comme domaines. De telles variantes peuvent générer un trafic con­si­dé­rable, en par­ti­cu­lier pour les marques très demandées.
• Or­tho­graphes al­ter­na­tives : des or­tho­graphes dif­fé­rentes de noms de produits ou de services courants peuvent induire les in­ter­nautes en erreur. Si vous souhaitez dé­ve­lop­per votre activité en ligne sous www.servicephoto.paris, vous devez veiller à ce que les clients po­ten­tiels arrivent aussi sur votre site via www.servicephotos.paris et ne se re­trou­vent pas sur un domaine ex­ploi­tant des fautes de frappe dans les noms de domaine.
• Noms de domaine avec tiret : les domaines avec ou sans tiret sont par­ti­cu­liè­re­ment vul­né­rables. Si le tiret est omis ou ajouté, on obtient ra­pi­de­ment une nouvelle adresse, tech­ni­que­ment distincte. En outre, les auteurs de ty­pos­quat­ting combinent des marques connues avec des ajouts comme « shop », « online » ou « service » pour suggérer un lien officiel.
• Extension de domaine al­ter­na­tive : avec la multitude de nouvelles ex­ten­sions de domaine de premier niveau, le risque s’est encore accru. Une marque en .fr peut par exemple être en­re­gis­trée en .com, .shop, .online ou .web. L’extension .co est par­ti­cu­liè­re­ment prisée, car elle ressemble fortement au très répandu .com. Ceux qui n’en­re­gistrent qu’un seul TLD risquent de voir des ex­ten­sions al­ter­na­tives utilisées à des fins trom­peuses ou frau­du­leuses.

Quel rôle joue le ty­pos­quat­ting dans l’en­vi­ron­ne­ment SaaS et IA ?

Le ty­pos­quat­ting s’est nettement pro­fes­sion­na­lisé ces dernières années. Au lieu de simples re­di­rec­tions pu­bli­ci­taires, les attaques visent désormais des comptes par­ti­cu­liè­re­ment sensibles et des données d’accès critiques. Les services Cloud, les outils de gestion de projet, les pla­te­formes de paiement et les ap­pli­ca­tions d’IA avec abon­ne­ments payants sont par­ti­cu­liè­re­ment touchés.

Les cy­ber­cri­mi­nels en­re­gistrent des domaines qui res­semblent de façon trompeuse aux pages de connexion of­fi­cielles. Ils combinent des fautes de frappe typiques avec des ajouts inspirant confiance comme « secure », « verify » ou « login » et équipent ces pages de cer­ti­fi­cats TLS, ce qui chiffre la connexion sans garantir la lé­gi­ti­mité du site. Pour les uti­li­sa­teurs, le site Web semble ainsi tech­ni­que­ment légitime.

Les scénarios typiques sont les suivants :

• Faux portails de connexion pour des outils de gestion de projet ou de col­la­bo­ra­tion
• Fausses pages de fac­tu­ra­tion de services de livraison
• Portails de paiement ou de por­te­feuille re­pro­duits à l’identique
• Pla­te­formes d’IA imitées avec de fausses no­ti­fi­ca­tions de mise à niveau
• Domaines avec des va­ria­tions minimales de ca­rac­tères, comme 1 au lieu de l ou 0 au lieu de O

Grâce à la gé­né­ra­tion de sites Web assistée par l’IA, il est aujourd’hui possible de créer en très peu de temps des copies vi­suel­le­ment quasi iden­tiques des pages d’accueil de four­nis­seurs légitimes. Le ty­pos­quat­ting n’est donc plus seulement un phénomène de dé­tour­ne­ment de trafic, mais un élément central des stra­té­gies de phishing modernes. Il en résulte pour les en­tre­prises des risques concrets :

• Perte de clients po­ten­tiels
• Atteintes à l’image et à la ré­pu­ta­tion
• Aug­men­ta­tion des coûts de support et de sécurité
• Vio­la­tions po­ten­tielles de la pro­tec­tion des données dues à des iden­ti­fiants compromis

Quelle est la situation juridique en matière de ty­pos­quat­ting ?

Le ty­pos­quat­ting n’est pas au­to­ma­ti­que­ment illégal, mais il peut le devenir lorsqu’il porte atteinte à des droits protégés, crée une confusion ou sert à tromper les in­ter­nautes. Dans de nombreux cas, l’en­re­gis­tre­ment et l’uti­li­sa­tion d’un domaine reposant sur des fautes de frappe dans les noms de domaine peuvent donc cons­ti­tuer une violation du droit. L’existence d’un recours dépend notamment de la question de savoir si des droits protégés sur une marque, une en­tre­prise ou un nom sont violés, ou si des con­som­ma­teurs sont dé­li­bé­ré­ment trompés.

Droit des marques

Le plus souvent, c’est le droit des marques qui s’applique. Lorsqu’une marque déposée est utilisée dans un nom de domaine pré­sen­tant des fautes de frappe, mais restant suf­fi­sam­ment similaire pour prêter à confusion, il peut y avoir atteinte au droit des marques si les produits ou services concernés sont iden­tiques ou si­mi­laires. L’élément dé­ter­mi­nant est le risque de confusion. Celui-ci existe lorsque les uti­li­sa­teurs peuvent penser que le domaine com­por­tant une faute de frappe est lié au titulaire légitime de la marque.

Les démarches possibles dans ce cas sont les suivantes :

• Exiger la cessation de l’uti­li­sa­tion
• Réclamer la sup­pres­sion ou le transfert du nom de domaine
• Demander des dommages et intérêts

Les cas sont par­ti­cu­liè­re­ment clairs lorsque le nom de domaine est utilisé pour des services iden­tiques ou si­mi­laires.

Droit au nom

Même sans marque déposée, d’autres droits peuvent être invoqués, notamment les droits attachés au nom d’une personne, d’une en­tre­prise ou d’une or­ga­ni­sa­tion. Pour les domaines en .fr, l’article L.45-2 du Code des postes et des com­mu­ni­ca­tions élec­tro­niques (CPCE) prévoit qu’un nom de domaine peut être contesté lorsqu’il porte atteinte à des droits protégés, sauf si le titulaire justifie d’un intérêt légitime et agit de bonne foi. Si l’uti­li­sa­tion du domaine crée une confusion quant à son at­tri­bu­tion, une action peut donc être envisagée.

Droit de la con­cur­rence

En droit français, le ty­pos­quat­ting peut relever de la con­cur­rence déloyale ou du pa­ra­si­tisme sur le fondement de la res­pon­sa­bi­lité civile, par exemple lorsque l’en­re­gis­tre­ment d’un nom de domaine proche d’un signe dis­tinc­tif vise à profiter de la notoriété d’une en­tre­prise ou à détourner sa clientèle. Ces actions reposent gé­né­ra­le­ment sur l’article 1240 du Code civil. Lorsque les in­ter­nautes sont induits en erreur, le ty­pos­quat­ting peut également être analysé comme une pratique com­mer­ciale trompeuse si le site crée une confusion avec une marque, un nom com­mer­cial ou un autre signe dis­tinc­tif d’un con­cur­rent. Cela concerne par exemple les cas où des clients sont sciemment redirigés vers des offres con­cur­rentes ou vers un site Web frau­du­leux.

Risques pénaux

Si un domaine reposant sur des fautes de frappe dans les noms de domaine est utilisé pour du phishing, une usur­pa­tion d’identité ou une es­cro­que­rie, des in­frac­tions pénales peuvent être cons­ti­tuées. En droit français, cela peut relever de l’es­cro­que­rie au sens de l’article 313-1 du Code pénal, de l’usur­pa­tion d’identité au sens de l’article 226-4-1 du Code pénal ou, selon les cir­cons­tances, de l’accès frau­du­leux à un système de trai­te­ment au­to­ma­tisé de données au sens de l’article 323-1 du Code pénal. Dans de tels cas, il ne s’agit plus uni­que­ment d’un litige en matière de marques ou de noms de domaine, mais d’une in­frac­tion pénale po­ten­tielle.

Règlement in­ter­na­tio­nal des litiges relatifs aux domaines

Étant donné que les domaines peuvent être en­re­gis­trés à l’échelle mondiale, les pro­cé­dures ju­di­ciaires clas­siques sont souvent complexes. Pour de nombreux gTLD et pour certains ccTLD ayant adopté cette procédure, il existe donc une procédure ex­tra­ju­di­ciaire de règlement des litiges fondée sur l’Uniform Domain-Name Dispute-Re­so­lu­tion Policy (UDRP). Cette procédure est notamment menée par l’Or­ga­ni­sa­tion mondiale de la propriété in­tel­lec­tuelle (OMPI).

Pour qu’une plainte soit recevable, il faut gé­né­ra­le­ment que :

• Le nom de domaine prête à confusion avec une marque protégée
• La ou le titulaire du nom de domaine n’ait aucun droit ni intérêt légitime à l’utiliser
• Le nom de domaine ait été en­re­gis­tré et utilisé de mauvaise foi

La procédure UDRP peut aboutir au transfert ou à la sup­pres­sion du nom de domaine, sans qu’une procédure ju­di­ciaire nationale soit né­ces­saire.

Ty­pos­quat­ting : quelles dif­fé­rences entre en­tre­prises et par­ti­cu­liers ?

Le ty­pos­quat­ting concerne aussi bien les en­tre­prises que les par­ti­cu­liers, mais les risques et les con­sé­quences ne sont pas les mêmes.

Alors que les en­tre­prises doivent réagir de manière stra­té­gique, technique et juridique, l’accent est mis, pour les uti­li­sa­teurs privés, sur la vigilance et la pré­ven­tion technique. Les deux pers­pec­tives le montrent : le ty­pos­quat­ting n’est pas un risque théorique, mais un problème de sécurité bien réel dans le quotidien numérique.

Comment se protéger du ty­pos­quat­ting ?

Une pro­tec­tion totale contre le ty­pos­quat­ting est dif­fi­ci­le­ment possible. Toutefois, une com­bi­nai­son d’en­re­gis­tre­ments stra­té­giques de noms de domaine, de mesures tech­niques et de pro­cé­dures or­ga­ni­sa­tion­nelles permet de réduire nettement le risque.

• En­re­gis­trer en amont les variantes d’écriture typiques : réservez les fautes de frappe courantes, les or­tho­graphes al­ter­na­tives, les variantes per­ti­nentes avec tiret ainsi que les prin­ci­pales ex­ten­sions de domaine de votre marque. Les domaines cor­res­pon­dant à des fautes de frappe fré­quentes peuvent être redirigés vers votre domaine principal afin d’empêcher tout abus.
• Réserver les prin­ci­pales ex­ten­sions de domaine (TLD) : en plus de votre domaine principal et si votre budget vous le permet, vous pouvez en­re­gis­trer des ex­ten­sions clés comme .com, .fr, .eu ou des TLD spé­ci­fiques à votre secteur comme .shop ou .online. Vous évitez ainsi que des tiers n’utilisent votre marque avec des ex­ten­sions al­ter­na­tives.
• Mettre en place un mo­ni­to­ring de domaines : utilisez des services de sur­veil­lance qui con­trô­lent les nouveaux noms de domaine en­re­gis­trés afin de détecter des or­tho­graphes proches de votre marque. Des alertes précoces per­met­tent de réagir ra­pi­de­ment, avant que des contenus nuisibles ne gagnent en vi­si­bi­lité.
• Protéger votre marque sur le plan juridique : selon vos marchés et vos activités, faites en­re­gis­trer votre marque au niveau national, européen ou in­ter­na­tio­nal. Une marque déposée facilite gran­de­ment la défense de vos droits, par exemple dans le cadre d’une procédure UDRP ou d’actions en justice.
• Renforcer la sécurité DNS et email : mettez en œuvre des mesures tech­niques pour com­pli­quer l’abus de votre in­fras­truc­ture de domaine. Cela inclut DNSSEC pour sécuriser la ré­so­lu­tion de noms ainsi que SPF, DKIM et DMARC pour empêcher le spoofing d’email.
• Sen­si­bi­li­ser les équipes et la clientèle : formez ré­gu­liè­re­ment vos équipes à la gestion des liens et pages de connexion suspects. Informez également vos clients des domaines officiels que vous utilisez et de l’apparence de vos canaux de com­mu­ni­ca­tion légitimes.
• Réagir ra­pi­de­ment et envisager des actions ju­ri­diques : si un domaine abusif est découvert, do­cu­men­tez les contenus et examinez sans délai les recours possibles en matière de droit des marques, de con­cur­rence ou de règlement ex­tra­ju­di­ciaire des litiges. Plus la réaction est rapide, plus le risque d’atteinte à la ré­pu­ta­tion ou à la pro­tec­tion des données est limité.

Comment re­con­naître un site de ty­pos­quat­ting ?

Les sites de ty­pos­quat­ting sont souvent conçus de manière pro­fes­sion­nelle et pa­rais­sent tech­ni­que­ment crédibles. Il existe toutefois des signaux d’alerte typiques qui peuvent indiquer un nom de domaine manipulé ou falsifié :

• Vérifier pré­ci­sé­ment l’URL : contrôlez l’adresse Web caractère par caractère. Soyez attentif aux lettres inversées, aux ca­rac­tères ajoutés, aux lettres man­quantes ou aux com­bi­nai­sons in­ha­bi­tuelles comme « rn » au lieu de « m » ou « 0 » au lieu de « O ».
• Prêter attention à une extension de domaine in­ha­bi­tuelle : si une marque connue apparaît sou­dai­ne­ment sous une extension de domaine de premier niveau in­ha­bi­tuelle comme .co, .online ou .shop, la prudence est de mise.
• Repérer les termes suspects dans le nom de domaine : des mots comme « secure », « verify », « login » ou « support » combinés à un nom de marque cons­ti­tuent des schémas typiques de domaines de phishing.
• Se méfier d’une page de connexion sans contexte : si vous arrivez di­rec­te­ment sur une page de connexion sans avoir vous-même demandé d’accès, vérifiez l’URL avec une attention toute par­ti­cu­lière.
• Sur­veil­ler les re­di­rec­tions in­ha­bi­tuelles : plusieurs re­di­rec­tions au­to­ma­tiques ou une URL qui change après le char­ge­ment peuvent être le signe d’une ma­ni­pu­la­tion.
• Ne pas se fier uni­que­ment au cer­ti­fi­cat TLS : un cer­ti­fi­cat TLS valide (https) signifie uni­que­ment que la connexion est chiffrée. Il ne dit rien sur le caractère légitime du site.
• Repérer les fautes d’or­tho­graphe ou erreurs de mise en page : même si de nombreux sites de phishing pa­rais­sent aujourd’hui pro­fes­sion­nels, des textes in­cor­rects ou un design in­co­hé­rent peuvent cons­ti­tuer un indice.

Une pro­tec­tion sup­plé­men­taire peut être apportée par des outils tech­niques comme les ges­tion­naires de mots de passe. Ceux-ci ne com­plè­tent gé­né­ra­le­ment les iden­ti­fiants au­to­ma­ti­que­ment que sur le domaine d’origine exact en­re­gis­tré et peuvent ainsi alerter en cas de fautes de frappe dans les noms de domaine.

En combinant vigilance, sur­veil­lance des domaines, pro­tec­tion juridique et mesures tech­niques, les en­tre­prises comme les par­ti­cu­liers peuvent réduire nettement le risque lié au ty­pos­quat­ting.