Fausses pages de connexion à votre marque : comment elles apparaissent et comment les faire supprimer

Une fausse page de connexion est une copie de votre écran d'authentification hébergée sur un domaine que vous ne contrôlez pas. Elle sert à collecter les identifiants, les mots de passe et parfois les codes à usage unique de vos clients ou collaborateurs, qui y arrivent par un e-mail, un SMS, une annonce dans un moteur de recherche ou un lien dans une messagerie.

Si vous exploitez un portail client, un webmail, un produit SaaS ou tout service avec une connexion, votre page peut être copiée en quelques minutes, car le HTML, le logo et les styles sont livrés à chaque visiteur. Ce dont les attaquants ont besoin, c'est d'un domaine crédible et d'un moyen d'y attirer des gens.

Vous pouvez repérer beaucoup de ces pages avant qu'elles ne soient largement utilisées, et il existe des endroits précis où les signaler pour qu'elles soient bloquées et supprimées.

Comment sont montées les fausses pages de connexion

La plupart suivent les mêmes étapes :

1. Un domaine. Généralement un domaine similaire (examp1e.com, example-login.com) ou un sous-domaine d'un domaine sans rapport (example.com.secure-verify.net). Voir domaines similaires et typosquatting.
2. Un certificat. Les navigateurs affichent un cadenas pour tout site disposant d'un certificat valide, donc les attaquants en obtiennent un pour le domaine. Ce certificat est enregistré dans les journaux Certificate Transparency.
3. Une copie de votre page. Souvent votre propre HTML, avec l'action du formulaire modifiée pour envoyer les identifiants ailleurs. Certains montages transmettent les identifiants à votre vrai site en temps réel, ce qui permet aussi de capter les codes à usage unique.
4. La diffusion. E-mail, SMS, messages sur les réseaux sociaux ou annonces payantes pointant vers la copie.

Les 2 premières étapes laissent des traces observables avant que beaucoup de gens ne voient la page.

Comment les repérer tôt

Surveillez l'émission de certificats. Cherchez dans les journaux Certificate Transparency les noms contenant votre marque, par exemple sur crt.sh avec une requête comme %example%. Un nouveau certificat pour example-account-check.com que vous n'avez pas demandé mérite un coup d'œil. Notre article sur les journaux Certificate Transparency explique ce qu'ils montrent.

Surveillez les nouveaux domaines similaires. Des outils comme dnstwist listent les variantes enregistrées de votre domaine et, avec l'option --lsh, comparent leur HTML au vôtre :

dnstwist --lsh https://example.com/login example.com

Un score de similarité élevé sur un domaine qui ne vous appartient pas est un signal fort.

Écoutez vos utilisateurs. Des tickets de support comme « je me suis connecté mais rien ne s'est passé » ou « votre site m'a demandé mon code 2 fois » sont souvent le premier signe. Donnez au support un moyen simple de transmettre les liens suspects à la personne chargée de la sécurité.

Consultez vos propres journaux. Certaines copies chargent images, scripts ou polices directement depuis votre site. Des requêtes vers vos ressources avec un en-tête Referer provenant d'un domaine inconnu peuvent vous mener à la copie.

Comment faire supprimer une fausse page de connexion

Menez ces démarches en parallèle, pas l'une après l'autre :

1. Les listes de blocage des navigateurs. Signalez l'URL à Google Safe Browsing et à Microsoft. Une fois l'URL listée, les principaux navigateurs affichent un avertissement avant le chargement de la page, ce qui protège les gens même tant que le site reste en ligne.
2. La communauté anti-phishing. L'Anti-Phishing Working Group demande de transférer les e-mails de phishing à reportphishing@apwg.org.
3. Le registrar. Identifiez-le avec whois et utilisez son contact abuse. Les registrars accrédités par l'ICANN doivent publier un contact abuse et prendre des mesures raisonnables et rapides pour examiner les signalements d'abus, selon la section 3.18 du Registrar Accreditation Agreement de 2013.
4. L'hébergeur. Trouvez l'IP avec dig example-login.com +short, puis le propriétaire du réseau avec whois <ip>, et signalez la page à son adresse abuse.

Un bon signalement est court et facile à contrôler : l'URL exacte, une capture d'écran, l'heure à laquelle vous l'avez vue, votre vrai domaine et une phrase expliquant que la page imite votre connexion pour collecter des identifiants. N'essayez pas de vous connecter à la fausse page ni d'interagir avec elle au-delà de ce qui est nécessaire pour la documenter.

Limiter les dégâts

Les suppressions prennent du temps, alors réduisez la valeur d'un mot de passe volé :

• Proposez et encouragez une connexion résistante au phishing, comme les passkeys ou les clés de sécurité, liées à votre vrai domaine et inutilisables sur une copie.
• Surveillez les connexions inhabituelles après un signalement de phishing : nouveaux lieux, nombreux comptes depuis une même IP ou réinitialisations de mots de passe en masse.
• Indiquez à vos utilisateurs où ils se connectent. Un court avis (« nous ne vous demandons de vous connecter que sur example.com ») aide.
• Appliquez DMARC sur votre vrai domaine pour que les e-mails menant à la copie ne puissent pas utiliser votre adresse exacte. Voir SPF, DKIM et DMARC expliqués.
• Réinitialisez les comptes concernés et invalidez les sessions des utilisateurs qui signalent avoir saisi leur mot de passe.

Liste de contrôle

• Recherche Certificate Transparency sur le nom de votre marque, répétée à intervalles réguliers.
• Analyse des domaines similaires avec comparaison des pages.
• Une procédure de support pour transmettre les liens suspects.
• Des modèles de signalement prêts pour Google, Microsoft, l'APWG, les registrars et les hébergeurs.
• Une connexion résistante au phishing proposée aux utilisateurs.

Comment Datahorses vous aide

Datahorses surveille votre entreprise depuis l'extérieur chaque jour à la recherche de fausses pages de connexion sur des domaines similaires, de certificats nouvellement émis qui utilisent votre nom et de signalements de phishing connus qui mentionnent votre marque. Nous n'entrons pas dans vos systèmes et n'avons besoin d'aucun accès. Quand nous trouvons une page qui imite votre connexion, une personne l'examine et vous recevez les détails et les étapes de suppression, comme décrit dans ce qui se passe quand nous trouvons quelque chose. Vous pouvez voir à quoi ressemble un tel constat dans le tableau de bord d'exemple.