Arnaque par e-mail : « Revalidation de propriété de domaine requise »

Les courriels inattendus exigeant une action urgente doivent toujours être traités avec prudence. Les cybercriminels usurpent fréquemment l'identité d'organisations et d'organismes de réglementation de confiance afin de créer un faux sentiment d'urgence et de pousser les destinataires à prendre des décisions hâtives. Les courriels « Revalidation de la propriété du domaine requise » en sont un parfait exemple. Les chercheurs en sécurité ont identifié ces messages comme faisant partie d'une campagne d'hameçonnage visant à voler les identifiants de messagerie. Il est important de noter que ces courriels ne sont associés à aucune entreprise, organisation, registraire de noms de domaine ou autorité de réglementation légitime.

Déguisé en avis de conformité officiel

Ces courriels frauduleux sont conçus pour ressembler à des notifications officielles de conformité de domaine. Les destinataires sont informés que la propriété de leur domaine n'a pas été revalidée au cours des 90 derniers jours et qu'une action est nécessaire pour rester en conformité avec une prétendue réglementation. Les messages font référence au « Règlement ICANN 3.18 » et avertissent que le non-respect de la procédure de vérification entraînera la suspension des services de messagerie entrants et sortants sous sept jours.

Le langage utilisé dans tout le courriel vise à susciter l'inquiétude et un sentiment d'urgence. En menaçant de perturber le service, les escrocs tentent de convaincre les destinataires d'agir immédiatement sans vérifier l'authenticité du message.

Le faux processus de revalidation

Au cœur de cette escroquerie se trouve un bouton généralement intitulé « Revalider le domaine maintenant ». Cliquer sur ce bouton redirige les utilisateurs vers une page de connexion de messagerie frauduleuse se faisant passer pour un portail de service de messagerie légitime.

La page d'hameçonnage imite l'écran de connexion de Roundcube Webmail et est hébergée sur la plateforme Firebase Storage de Google. Pour rendre la page plus crédible, l'adresse e-mail de la victime peut être préremplie. Les utilisateurs sont ensuite invités à saisir leur mot de passe pour poursuivre le prétendu processus de vérification.

En réalité, cette page n'a qu'un seul but : collecter les identifiants de connexion et les transmettre directement aux attaquants.

Que se passe-t-il en cas de vol d'identifiants ?

Les comptes de messagerie compromis peuvent donner aux cybercriminels accès à une quantité importante d'informations personnelles et professionnelles. Comme ces comptes sont souvent liés à de nombreux services en ligne, les attaquants peuvent exploiter les identifiants volés pour étendre encore davantage leur accès.

Une fois le contrôle d'un compte de messagerie obtenu, les criminels peuvent :

• Lire les messages confidentiels et les communications sensibles.
• Réinitialiser les mots de passe des comptes en ligne liés.

Étant donné que les comptes de messagerie servent fréquemment de principal moyen de récupération pour d'autres services, une seule boîte aux lettres compromise peut entraîner la prise de contrôle de plusieurs comptes.

Pourquoi ces affirmations sont fausses

Plusieurs indices révèlent la nature frauduleuse de ces courriels. Ces messages tentent d'abuser de l'autorité de l'ICANN (Internet Corporation for Assigned Names and Numbers) en laissant faussement croire que la revalidation des domaines est appliquée par le biais de notifications directes par courriel.

En réalité, l'ICANN ne contacte jamais les utilisateurs individuellement par le biais de messages non sollicités exigeant la revalidation de leur domaine. De plus, aucune autorité de domaine légitime ni aucun fournisseur de services réputé n'exige des utilisateurs qu'ils vérifient leurs identifiants de connexion via un lien intégré dans un courriel inattendu.

Le nom de l'expéditeur souvent affiché dans ces messages, « Global Domain Validation Center », n'a aucun lien reconnu avec l'ICANN, les bureaux d'enregistrement accrédités ou toute autre organisation légitime de gestion de noms de domaine. Toute cette histoire est une pure invention destinée à créer une illusion de crédibilité et à tromper les destinataires.

La menace plus large au-delà du vol d'identifiants

Bien que l'objectif principal de cette campagne soit la collecte d'identifiants de connexion, des courriels frauduleux similaires sont fréquemment utilisés pour la diffusion de logiciels malveillants. Les cybercriminels ont souvent recours à des attaques par courriel pour transmettre des logiciels malveillants à leurs victimes potentielles.

Les courriels contenant des logiciels malveillants peuvent inclure des pièces jointes infectées ou des liens menant à des sites web malveillants. Les types de fichiers couramment utilisés dans ces attaques comprennent les fichiers exécutables, les documents PDF, les archives (ZIP, RAR, etc.), les scripts et les documents Office contenant du code malveillant. Dans certains cas, les utilisateurs sont invités à activer des macros ou d'autres fonctionnalités qui déclenchent le processus d'infection.

La plupart des infections par des logiciels malveillants véhiculés par courriel nécessitent une interaction de l'utilisateur, comme l'ouverture d'une pièce jointe, le lancement d'un fichier téléchargé, le clic sur un lien malveillant ou l'activation d'un contenu intégré. C'est pourquoi la prudence et la vérification restent essentielles face aux messages inattendus.

Comment répondre à ces courriels

Les destinataires d'un courriel intitulé « Revalidation de la propriété du domaine requise » doivent s'abstenir de toute interaction avec ce message. Il est déconseillé de cliquer sur les liens, d'ouvrir les pièces jointes et de communiquer des informations personnelles via les pages accessibles depuis des courriels non sollicités.

La solution la plus sûre est de supprimer immédiatement le courriel. Les personnes ayant déjà saisi leurs identifiants sur la page d'hameçonnage doivent modifier sans délai leur mot de passe de messagerie, mettre à jour les mots de passe de tous les comptes utilisant les mêmes identifiants et activer l'authentification multifacteurs lorsque cela est possible.

Réflexions finales

La campagne d'e-mails « Revalidation de la propriété du domaine requise » est une tentative d'hameçonnage se faisant passer pour une notification de conformité de l'ICANN. Son but est d'inciter les destinataires à divulguer leurs identifiants de messagerie via une page de connexion frauduleuse. Les messages exploitent la peur, l'urgence et de fausses allégations réglementaires pour manipuler les victimes et les amener à agir sans vérification préalable.

Comprendre le fonctionnement de ces arnaques est essentiel pour protéger les informations sensibles. En restant vigilants face aux demandes inattendues, en vérifiant les affirmations auprès des sources officielles et en évitant de cliquer sur les liens contenus dans les courriels non sollicités, les utilisateurs peuvent réduire considérablement le risque d'être victimes de vol d'identifiants et d'autres cybermenaces.