Cyber attaque en préparation ou juste squatteur 2.0 ?

Pirate ou hacker ? Des blacknautes préparent-ils une cyberattaque contre des Conseils Régionaux et de grandes écoles Françaises ? ZATAZ découvre un « truc » louche !

Hacker ou pirate informatique ? Région Auvergne Rhône Alpes, Région Centre Val de Loire, mais aussi ParcourSup et les Universités du Mans, Sorbonne Paris 1, Valencienne, Avignon, le Havre, Etc. L’enregistrement de noms de domaines usurpateurs d’importantes structures hexagonales ont attiré le regard de ZATAZ.

Des internautes ont utilisé la technique du typosquatting pour enregistrer des noms de domaines se rapprochant d’adresses web officielles.

Bilan, vous pensez cliquer et visiter le site de la Région Centre Val de Loire, mais vous voilà face à un url trompeur : regioncentre-valeloire(.fr).

Même idée malveillante pour auvergnerhonealpes.fr (adresse officielle). Le malveillant a enregistré auvergnerhonalpes(.fr). Il manque la lettre « e » dans l’adresse usurpatrice Auvergnate ; le « d » pour la région centre.

Onissep, Parcours SUP et des Universités

Dans les autres usurpations repérées par ZATAZ, le site de l’Onisep (Office national d’information sur les enseignements et les professions). La vraie adresse est onisep.fr. La fausse onissep(.fr) comporte deux s.

En cette période des vœux pour les lycéens français, et leur choix d’écoles/universités pour la rentrée 2024, le site pacoursup(.fr) s’emploie à tromper les visiteurs. La véritable adresse étant parcoursup.fr. Le copieur a omis le « r », dans on adresse.

Toujours dans l’enseignement, les universités du Mans (vrai site univ-lemans.fr), Paris Sorbonne 1 (faux site univ-sorb-paris1*fr) ; Valenciennes (le faux url univ-valencienne*fr) ; Avignon, Le Havre, ou encore le Crous de Montpellier (le faux url n’a pas de tiré entre Crous et la ville : crousmontpellier*fr).

L’école de commerce privée Lilloise, l’IESEG est aussi impactée par une fausse adresse web : lille-ieseg(.fr)

Pourquoi ?

Si certaines adresses semblent avoir été enregistrées par des internautes renvoyant l’url sur leur propre page, les autres restent de mystérieuses exploitations. Des hameçonnages (phishing) à venir afin de collecter des informations et des accès d’enseignants ? De chercheurs ? D’étudiants ? D’élus ?

La possibilité d’usurper les entreprises publiques et se rapprocher de partenaires économiques pour mettre en place des escroqueries de type Fraude aux faux Virements ? Le pirate, via cette adresse électronique usurpatrice, pourra plus facilement convaincre ses interlocuteurs d’accepter un nouveau RIB.

Bref, vous l’aurez compris par ces exemples, toujours vérifier l’url proposée. La lettre manquante ou rajoutée, la typographie exotique (voir l’article sur les pièges Air France ou Assurance Maladie) permettent de s’assurer de ne pas tomber dans un filet pirate bien ficelé.

A noter qu’une adresse reprenant le terme CNIL (Commission Informatique et des libertés) a aussi été repérée.

Contrôle sur le .fr

Alors qu’au Canada et au Québec, enregistrer un nom de domaine .ca et/ou .quebec impose de fournir des documents prouvant la résidence sur le territoire du Grand Nord, le .fr peut être enregistré sur l’ensemble du territoire des états membres de l’Union Européenne. Le « loueur » du domaine doit résider sur le sol de l’UE ou, comme le rappel l’AFNIC, en Islande, Liechtenstein, Norvège et Suisse.

A noter que l’AFNIC examine les noms de domaine sous convention de nommage : agglo-nom.extension ; cc-nom.extension ; cg-xx.extension ; cr-nom.extension ; mairie-nom.extension ; ville-nom.extension.

P.S. : l’ANSSI a été alertée de ces créations usurpatrices.