Pourquoi les hameçonneurs apprécient les nouveaux TLDs comme .shop, .top et .xyz

Les attaques de phishing ont augmenté de près de 40 % entre septembre 2023 et août 2024, et cette croissance est principalement liée à un petit nombre de nouveaux domaines génériques de premier niveau (gTLDs) tels que .shop, .top, et .xyz. Ces gTLD attirent les cybercriminels en raison de leurs prix bas et de l’absence de contrôles rigoureux lors de l’enregistrement, selon une étude récente. Pendant ce temps, l’organisme responsable de la gestion des noms de domaine, l’Internet Corporation for Assigned Names and Numbers (ICANN), avance dans son projet d’introduction de nouveaux gTLDs.

Les gTLDs : Un terrain fertile pour les cybercriminels

Selon une étude menée par Interisle Consulting, les nouveaux gTLDs, bien qu’ils représentent seulement 11 % du marché des nouveaux domaines, sont à l’origine de 37 % des domaines associés à des cybercrimes signalés entre septembre 2023 et août 2024. Cette étude, sponsorisée par des organisations telles que l’Anti-Phishing Working Group (APWG) et la Coalition Against Unsolicited Commercial Email (CAUCE), met en évidence l’attrait des cybercriminels pour ces nouveaux domaines.

Les domaines traditionnels comme .com et .net, qui représentent près de la moitié des enregistrements annuels, restent également des cibles pour les criminels, mais de manière moins disproportionnée. Ces deux extensions combinées sont responsables de 40 % des domaines associés à des cybercrimes, contre 37 % pour les nouveaux gTLDs, malgré leur adoption plus limitée.

Les cybercriminels favorisent les nouveaux gTLDs en raison des frais d’enregistrement très bas et de l’absence de contrôles d’identité. Parmi les gTLDs affichant les scores les plus élevés en termes de cybercrimes, neuf proposaient des frais d’enregistrement inférieurs à 1 dollar et près de 24 étaient disponibles pour moins de 2 dollars. En comparaison, le coût minimum pour un domaine .com est de 5,91 dollars.

L’ICANN et ses projets d’expansion

Malgré les preuves accumulées montrant que les nouveaux gTLDs sont abusés par des hameçonneurs, l’ICANN continue de planifier l’introduction de nouvelles extensions de domaine. L’organisation prévoit une nouvelle phase d’appels à candidatures en 2026.

John Levine, président de la CAUCE et auteur du livre The Internet for Dummies, critique cette décision. Selon lui, l’ICANN agit davantage comme une association commerciale des vendeurs de domaines que comme un régulateur neutre.

Levine souligne que la plupart des nouveaux gTLDs peinent à attirer suffisamment d’enregistrements pour couvrir leurs frais de fonctionnement initiaux, qui varient entre 180 000 et 300 000 dollars. Pour maximiser leurs revenus, certains registraires adoptent une stratégie risquée en proposant des prix très bas pour attirer des acheteurs en masse, notamment des criminels. Cependant, cette approche est rarement rentable, car les spammeurs et les criminels ne renouvellent généralement pas leurs domaines.

“L’économie de ce modèle n’a pas de sens”, affirme Levine. “Vous pouvez fixer des prix attractifs pour la première année, mais les renouvellements doivent se faire au tarif normal, et les criminels n’investissent jamais dans le long terme.”

Les entités les plus ciblées par le phishing

Historiquement, les grandes entreprises technologiques telles qu’Apple, Google, Facebook et PayPal étaient les marques les plus ciblées par les attaques de phishing. Cependant, l’année passée, l’U.S. Postal Service (USPS) a été l’entité la plus visée, avec un nombre de domaines de phishing quatre fois supérieur à celui d’Apple, la deuxième cible.

Une partie de cette augmentation est attribuée à un cybercriminel prolifique connu sous le pseudonyme de Chenlun, qui vend des kits de phishing ciblant les services postaux des États-Unis et d’une douzaine d’autres pays.

Le rôle croissant des sous-domaines

Un autre phénomène préoccupant est l’utilisation accrue de sous-domaines fournis par des plateformes légitimes comme blogspot.com, pages.dev, ou weebly.com. Selon le rapport d’Interisle, plus de 1,18 million de sous-domaines ont été utilisés pour des attaques de phishing au cours de l’année, soit une augmentation de 114 % par rapport à l’année précédente.

Les sous-domaines hébergés sur des services tels que blogspot.com, majoritairement gérés par Google, représentent plus de la moitié des cas détectés. Ces plateformes permettent aux criminels de créer facilement un grand nombre de comptes, souvent en utilisant des processus automatisés.

Le rapport note que ces attaques sont particulièrement difficiles à contrer, car seul le fournisseur de sous-domaines a la capacité de désactiver les comptes ou de supprimer les pages malveillantes. Bloquer le domaine principal d’un fournisseur affecterait l’ensemble de ses utilisateurs légitimes, ce qui complique les mesures de réponse.

Pour limiter ces abus, Interisle recommande que les fournisseurs de sous-domaines :

1. Restreignent le nombre de sous-domaines qu’un utilisateur peut créer simultanément. 2. Suspendent les inscriptions automatisées à grande échelle, en particulier sur les services gratuits.

Conclusion : Une menace persistante

Conclusion : Une menace persistante L’abus des nouveaux gTLDs et des sous-domaines reflète les défis croissants de la cybersécurité. Alors que l’ICANN continue de proposer de nouvelles extensions sans renforcer les politiques d’enregistrement, les criminels bénéficient d’un accès facile à des domaines bon marché et anonymes.

En parallèle, la montée en puissance des attaques hébergées sur des sous-domaines complique davantage la lutte contre le phishing. Pour freiner cette tendance, il est essentiel que les régulateurs et les fournisseurs de services collaborent pour mettre en place des politiques plus strictes et limiter les abus.