Comment vérifier les menaces liées aux domaines lookalike / typosquat ?

Pourquoi cette menace est-elle sérieuse ?

Un domaine lookalike ne cause aucun dommage en soi ; le vrai danger réside dans l'usage qui en est fait :

• Fraude à la facture (BEC) : un e-mail « notre IBAN a changé » envoyé à votre client depuis accounts@yourcompany-ltd.com. C'est le scénario dans lequel les PME de Chypre du Nord et de Turquie perdent le plus d'argent.
• Phishing ciblant votre personnel : un e-mail de réinitialisation de mot de passe signé « Service informatique », envoyé depuis un domaine similaire.
• Faux site / fausse application : une page de connexion reprenant le logo de votre marque et qui collecte les informations des clients.
• Réputation : lorsqu'un client se fait escroquer, on devine aisément qui il tiendra pour responsable.

Cette attaque fonctionne même si votre enregistrement DMARC est correct, car l'attaquant utilise son propre domaine, et non le vôtre. C'est pourquoi la sécurité e-mail et la vérification des domaines lookalike se complètent ; l'une ne remplace pas l'autre.

Quelles variantes sont générées ?

Une bonne vérification essaie les dérivations suivantes (exemples basés sur arvenova.ai) :

• Fautes de frappe : arvenoa.ai, arvneova.ai, arvenovaa.ai
• Substitutions de caractères : arvenove.ai, arvenoba.ai
• Homoglyphes : arven0va.ai (zéro), arvenova écrit avec un « а » cyrillique
• Ajouts et suppressions : arvenova-ai.com, arvenovaai.com, arvenova-support.com, my-arvenova.com
• Changements d'extension : arvenova.com, arvenova.net, arvenova.co, arvenova.com.tr
• Tirets et ponctuation : arve-nova.ai, arvenova.a.i

Deux questions sont posées pour chaque candidat : est-il enregistré (un enregistrement A est-il résolu) et peut-il envoyer des e-mails (existe-t-il un enregistrement MX) ? Un lookalike doté d'un enregistrement MX est celui qui a le plus de chances d'avoir été mis en place pour du phishing.

Un exemple réel : la sortie de Fjordex

La sortie ci-dessous a été obtenue pour arvenova.ai le 24 octobre 2026 avec l'outil find_lookalike_domains du connector Fjordex, et n'a pas été modifiée :

{
  "domain": "arvenova.ai",
  "check": "lookalike_domains",
  "summary": { "critical": 0, "high": 0, "medium": 1, "low": 0, "info": 0 },
  "findings": [
    {
      "id": "brand.lookalike_registered",
      "title": "Look-alike domain registered: arvenova.com",
      "severity": "medium",
      "evidence": "arvenova.com resolves to ['199.36.158.100'].",
      "recommendation": "Verify ownership; if not yours, consider a takedown/abuse report or defensive registration.",
      "category": "brand"
    }
  ],
  "observations": {
    "candidates_tested": 57,
    "registered_lookalikes": [
      { "domain": "arvenova.com", "a": ["199.36.158.100"], "has_mx": false }
    ]
  }
}

Comment la lire : 57 variantes ont été testées et une seule est enregistrée. arvenova.com est notre propre enregistrement défensif et redirige vers arvenova.ai ; has_mx: false montre qu'il ne peut pas envoyer d'e-mails. L'outil ne peut pas le savoir : il classe donc le constat en « medium » et recommande « Verify ownership » (vérifier la propriété). C'est le bon comportement : un constat n'est pas une décision ; c'est un humain qui décide.

Si la même sortie montrait un domaine avec has_mx: true qui ne vous appartient pas, la situation serait « high », et les étapes ci-dessous s'appliqueraient.

Que faire lorsqu'un constat apparaît

1. Vérifiez la propriété. Le domaine peut vous appartenir, ou appartenir à une ancienne agence ou à une filiale. Consultez le WHOIS et vos propres registres.
2. Rassemblez des preuves. Captures d'écran, enregistrements DNS, contenu du site s'il y en a un, et exemples d'e-mails envoyés. Conservez-les avec leur horodatage.
3. Déposez un signalement d'abus. Signalez la contrefaçon de marque / le phishing au registrar du domaine et à l'hébergeur. La plupart des registrars disposent d'un formulaire de signalement d'abus ; votre certificat d'enregistrement de marque accélère la procédure.
4. Prévenez vos clients et votre personnel. Un avis court et clair : « Nous n'écrivons que depuis des adresses @arvenova.ai ; confirmez toujours les changements d'IBAN par téléphone. »
5. Bloquez-le sur votre serveur de messagerie. Ajoutez le domaine lookalike à vos règles de messagerie entrante pour qu'il ne puisse pas atteindre votre personnel.
6. Enregistrez de manière défensive. Achetez vous-même les 5-10 variantes les plus probables (notamment .com, .net, .co et l'extension de votre pays) et redirigez-les vers votre domaine principal. Le coût annuel est faible.
7. Répétez régulièrement. De nouveaux lookalike sont enregistrés chaque mois ; c'est précisément le rôle de la surveillance mensuelle.

Le lien entre la vérification des lookalike et DMARC

DMARC empêche l'usurpation de votre domaine : un attaquant ne peut pas écrire en tant que info@arvenova.ai. Une vérification des lookalike rend visibles les attaques menées avec des domaines similaires : l'attaquant écrit en tant que info@arvenova.co. Une protection complète nécessite les deux. L'outil full_scan de Fjordex fournit les deux dans le même rapport, et l'évaluation Niveau 1 d'ArveNova inclut également ces deux vérifications.