Au début de l’année 2026, l’UNESCO a publié une alerte officielle concernant une campagne de phishing particulièrement convaincante usurpant son identité. Les messages frauduleux ciblent principalement des experts, des chercheurs, des étudiants ou des partenaires institutionnels en leur annonçant une sélection à un événement, un programme ou un processus de recrutement. Les destinataires sont ensuite invités à payer des frais d’inscription ou de validation de dossier, ou à transmettre des informations personnelles.
Le mécanisme n’a rien de nouveau dans son principe, mais la sophistication de la campagne illustre bien l’évolution des attaques reposant sur l’usurpation d’identité numérique. Les attaquants ne se contentent plus d’envoyer des courriels mal rédigés depuis des adresses grossièrement falsifiées. Ils reproduisent désormais de manière crédible l’écosystème numérique complet d’une organisation : adresses email proches du domaine officiel, sites web imitant l’identité graphique de l’institution, documents administratifs réalistes et signatures électroniques imitant celles de véritables collaborateurs.
Les raison du recours à un nom de domaine proche
Dans ce type de fraude, les noms de domaine jouent un rôle central. L’objectif des attaquants consiste à créer un environnement suffisamment crédible pour que la victime ne remette pas en cause l’authenticité de l’échange. Une adresse telle que john@unesco.org est évidemment légitime, mais une variante très proche comme john@unessco.org peut passer inaperçue lors d’une lecture rapide. La différence d’un caractère, d’une lettre supplémentaire ou d’une inversion de caractères suffit souvent à tromper l’utilisateur.
Une fois le domaine frauduleux enregistré, plusieurs stratégies sont généralement mises en œuvre. Les fraudeurs peuvent héberger un site web reprenant l’identité visuelle de l’organisation afin de renforcer la crédibilité de leurs échanges. Ils peuvent également générer des adresses email professionnelles associées à ce domaine pour envoyer des convocations, des factures ou des documents administratifs. Dans certains cas, les victimes reçoivent des contrats, des citations à comparaître fictives, des factures ou des confirmations d’inscription à des événements, accompagnés d’instructions de paiement vers des comptes bancaires contrôlés par les attaquants.
La crédibilité des documents constitue un élément déterminant de la réussite de ces campagnes. Les attaquants récupèrent souvent des modèles de documents officiels accessibles publiquement, y ajoutent de fausses signatures et reproduisent la mise en page institutionnelle. Dans le cas de structures internationales comme l’UNESCO, la notoriété de l’organisation agit comme un multiplicateur de confiance. Les destinataires ont naturellement tendance à accorder davantage de crédibilité à un message provenant d’une institution réputée, surtout lorsque celui-ci semble correspondre à leur activité professionnelle.
Les différentes techniques de typosquatting
Le véritable levier technique de ces campagnes réside dans la multiplication des variantes de noms de domaine. L’attaque ne repose généralement pas sur un seul domaine frauduleux, mais sur un ensemble de déclinaisons destinées à couvrir un maximum de possibilités. Les attaquants peuvent ainsi enregistrer des domaines sur différents TLD afin d’augmenter leurs chances de succès. Un domaine officiel comme unesco.org peut être décliné sur des extensions alternatives telles que .com, .net, .info ou d’autres TLD plus récents.
Les techniques de typosquatting sont également largement utilisées. L’addition de lettres ou de chiffres constitue l’une des méthodes les plus simples. Une variante peut par exemple ajouter un caractère discret dans le nom de domaine. La suppression de lettres est une autre approche fréquente, créant une version raccourcie mais toujours lisible du nom original. À l’inverse, la répétition d’une lettre peut produire un domaine qui semble correct au premier regard.
La transposition de caractères constitue également une stratégie efficace. L’inversion de deux lettres voisines produit une variante difficile à repérer, surtout lorsque la lecture est rapide. Les substitutions de voyelles ou certaines variantes orthographiques permettent également de générer des noms proches de l’original tout en restant disponibles à l’enregistrement.
Les attaques modernes utilisent aussi des homographes, c’est-à-dire des caractères provenant d’autres alphabets mais visuellement similaires. Certains caractères cyrilliques ou grecs peuvent ressembler presque parfaitement à des lettres latines. Un domaine comme vigidomɑine.fr peut ainsi contenir un caractère différent du “a” classique, tout en apparaissant identique à l’écran pour la plupart des utilisateurs.
Les attaquants exploitent également la structure même des noms de domaine. L’ajout de sous-domaines permet de créer des adresses telles que unesco.verify-account.example.com, où la présence du mot clé “unesco” en début d’adresse peut induire la confiance. D’autres techniques consistent à insérer des mots-clés populaires liés à l’activité de l’organisation ciblée, par exemple “careers”, “events” ou “apply”, afin de renforcer la crédibilité du domaine. Certaines campagnes utilisent aussi des variantes reposant sur la césure avec des tirets, la création de combinaisons de mots-clés, ou la transposition du TLD dans le nom de domaine lui-même. Dans d’autres cas, les attaquants analysent les domaines nouvellement enregistrés afin d’identifier les opportunités disponibles ou surveillent les listes noires pour adapter leurs infrastructures.
Les techniques plus avancées incluent le bitsquatting, qui consiste à exploiter des erreurs binaires aléatoires lors de la résolution de noms de domaine, ou la génération automatisée de variantes grâce à l’intelligence artificielle. Ces systèmes permettent de produire des milliers de permutations intelligentes à partir d’un seul nom de domaine cible. L’objectif est de couvrir l’ensemble des variations plausibles afin d’augmenter la probabilité qu’une victime interagisse avec l’une d’entre elles.
De la vigilance à la surveillance
Dans ce contexte, l’alerte publiée par l’UNESCO est importante car elle rappelle la responsabilité des organisations dans la protection de leur identité numérique. Informer les utilisateurs qu’une fraude est en cours constitue une première étape, mais cela ne suffit pas à empêcher l’apparition de nouveaux domaines frauduleux. Les campagnes de typosquatting évoluent en permanence et peuvent se reconstituer rapidement dès qu’un domaine malveillant est bloqué.
La surveillance proactive des noms de domaine devient donc un élément essentiel de la stratégie de cybersécurité. Cette problématique ne concerne pas uniquement les grandes institutions internationales. Les petites et moyennes entreprises sont également ciblées, souvent parce que leurs systèmes de surveillance sont moins développés. Les PME et ETI représentent aujourd’hui des cibles fréquentes pour les fraudeurs, qui exploitent la confiance accordée à leur marque ou à leur identité numérique.
Les collectivités territoriales, les associations, les ONG et les organismes publics sont confrontés aux mêmes risques. Dans tous ces cas, la fraude repose sur un principe identique : utiliser un nom de domaine suffisamment proche de l’original pour tromper les destinataires et exploiter la confiance associée à l’organisation ciblée.
Vigidomaine, l’arme ultime pour détecter la fraude en amont
C’est précisément pour répondre à cette problématique que la plateforme Vigidomaine a été développée. L’objectif consiste à fournir un outil capable d’identifier de manière systématique les variantes d’un nom de domaine, d’analyser les nouvelles inscriptions et de détecter les configurations susceptibles d’être utilisées dans des campagnes de fraude. L’approche repose sur la génération et l’analyse de nombreuses permutations techniques combinées à l’observation des infrastructures exposées sur Internet.
La plateforme a été conçue pour s’adapter à des organisations de tailles très différentes. Les petites structures peuvent accéder à une offre gratuite permettant de surveiller leurs actifs numériques de base.
Inscription gratuite ici : https://web.vigidomaine.fr/register
Les entreprises plus importantes peuvent intégrer ces données dans leurs dispositifs de cybersécurité existants. Les prestataires de sécurité et les équipes SOC peuvent également exploiter ces informations dans leurs outils d’analyse et de threat intelligence.
La surveillance des noms de domaine ne constitue pas uniquement une mesure technique. Elle représente aujourd’hui une composante essentielle de la gestion des risques numériques. Dans un environnement où l’identité d’une organisation peut être reproduite en quelques minutes par l’enregistrement d’un domaine frauduleux, la capacité à détecter ces signaux faibles devient un facteur déterminant pour prévenir les fraudes.
L’alerte de l’UNESCO illustre une tendance observée à l’échelle mondiale. Les campagnes d’usurpation reposant sur les noms de domaine continuent de se multiplier et deviennent de plus en plus crédibles. Dans ce contexte, la vigilance individuelle reste importante, mais elle doit désormais être complétée par des dispositifs techniques capables d’identifier rapidement les infrastructures malveillantes avant qu’elles ne soient exploitées à grande échelle.
Source : https://www.unesco.org/fr/scamalert