L’empoisonnement DNS consiste à détourner la résolution d’un nom de domaine afin qu’un appareil contacte une adresse inattendue. L’utilisateur peut alors atteindre un site frauduleux, même s’il a saisi l’adresse habituelle.
Cette redirection malveillante peut faciliter une fraude en ligne, l’usurpation de site web ou la diffusion de logiciels nuisibles. Comprendre les mécanismes et les protections permet de réduire le risque sans confondre DNS, chiffrement et sécurité du navigateur.
À retenir : comprendre l’empoisonnement DNS
- Résolution falsifiée, destination web inattendue
- Vol possible d’identifiants et de données personnelles
- Surveillance des résolveurs et mises à jour régulières
- DNSSEC, HTTPS et vigilance comme protections complémentaires
Comment l’empoisonnement DNS détourne les internautes
Le rôle du cache DNS dans la navigation
Pour comprendre l’attaque, imaginons qu’une petite entreprise, l’atelier fictif Lumen, consulte chaque jour les mêmes services en ligne. Le DNS traduit les noms de domaine en adresses IP, tandis que les caches conservent temporairement des réponses afin d’accélérer les visites suivantes.
Si un résolveur fournit une réponse falsifiée et la conserve, certains utilisateurs peuvent être envoyés vers une mauvaise destination. L’empoisonnement DNS décrit cette altération du cache ; l’usurpation DNS désigne plus largement la falsification des réponses ou des échanges.
Les conséquences d’une redirection malveillante
Un site frauduleux peut reprendre l’apparence d’un service légitime et demander des identifiants, des coordonnées bancaires ou d’autres informations sensibles. Une connexion HTTPS protège les échanges chiffrés, mais ne garantit pas à elle seule que le site consulté est le bon.
Dans le cas de Lumen, une page de connexion copiée pourrait pousser un employé à saisir son mot de passe. Le risque ne se limite pas au phishing : une destination trompeuse peut aussi proposer des fichiers dangereux ou perturber l’accès à des services.
Les risques principaux à évaluer :
- Identifiants transmis à une fausse page de connexion
- Données personnelles exposées à des tiers non autorisés
- Téléchargement de fichiers présentés comme légitimes
- Interruption d’accès aux services et mises à jour
La sécurité dépend donc autant de la fiabilité des réponses DNS que de la capacité à repérer une destination inhabituelle.
Les voies d’attaque et les signaux à surveiller
Réseau local, résolveur et détournement de domaine
À l’échelle d’un réseau local, une attaque de l’homme du milieu peut tenter d’intercepter ou de modifier des communications. Un Wi-Fi mal protégé ou un équipement compromis accroît l’exposition, sans signifier qu’une attaque réussira automatiquement.
Un détournement de domaine constitue un risque distinct : un compte de registrar compromis peut permettre de modifier la gestion d’un domaine. Les protections du réseau ne suffisent alors pas ; la sécurisation des comptes administratifs et le verrouillage du domaine deviennent essentiels.
Indices utiles pour repérer une anomalie DNS
Un changement soudain de destination, des alertes répétées du navigateur ou des résolutions inhabituelles méritent une vérification. Les équipes informatiques peuvent comparer les réponses des résolveurs approuvés, examiner les journaux DNS et corréler ces événements avec les alertes des postes.
Ces indices ne prouvent pas isolément une compromission : une panne, une configuration erronée ou un changement légitime peut produire des symptômes proches. L’analyse croisée évite de traiter chaque anomalie comme une attaque et aide à prioriser les incidents réels.
Signaux à examiner dans leur contexte :
- Réponses différentes entre résolveurs de confiance
- Demandes inhabituelles vers des domaines rarement consultés
- Alertes de certificats ou changements de destination inattendus
- Activité DNS atypique associée à un poste utilisateur
Observation
Explication possible
Vérification utile
Destination modifiée
Erreur de configuration ou réponse falsifiée
Comparer avec un résolveur approuvé
Alerte de certificat
Certificat absent, changé ou inadapté
Ne pas ignorer l’avertissement du navigateur
Résolutions inhabituelles
Logiciel, service ou activité suspecte
Examiner les journaux et le poste concerné
Accès indisponible
Panne, filtrage ou résolution incorrecte
Vérifier la configuration et l’état du service
Pour Lumen, une réponse différente entre deux résolveurs déclencherait une enquête, mais pas une accusation immédiate. Cette distinction protège les équipes contre les conclusions hâtives tout en accélérant les vérifications utiles.
Renforcer la sécurité des résolveurs DNS
DNSSEC, DoH et DoT : protections complémentaires
DNSSEC permet de vérifier l’authenticité et l’intégrité des données DNS signées ; il ne chiffre pas les requêtes. DoH et DoT chiffrent le transport entre un appareil et un résolveur compatible, mais ne garantissent pas que ce résolveur soit digne de confiance.
Pour une entreprise, le choix du résolveur doit s’accompagner de règles claires sur la journalisation et le contrôle des requêtes. Ces protocoles peuvent aussi réduire la visibilité des outils de sécurité locaux s’ils contournent les résolveurs prévus.
Mesures pratiques pour les organisations et particuliers
La protection contre le phishing repose sur plusieurs couches : mises à jour, authentification renforcée, filtrage des messages et sensibilisation des utilisateurs. En cas de doute, il vaut mieux rejoindre un service depuis un favori connu que suivre un lien reçu par courriel.
Les administrateurs doivent limiter les résolutions récursives aux usages nécessaires, maintenir les serveurs à jour et surveiller les journaux. Les comptes de registrar gagnent à utiliser l’authentification multifacteur et, lorsque disponible, un verrouillage renforcé du domaine.
Mesures de défense à combiner :
- Résolveurs approuvés et configuration régulièrement contrôlée
- DNSSEC activé lorsque les zones le prennent en charge
- Comptes de domaine protégés par authentification multifacteur
- Journaux DNS corrélés aux alertes des postes
- VPN fiable sur les réseaux publics non maîtrisés
Mesure
Protection apportée
Limite à connaître
DNSSEC
Vérification des données DNS signées
Ne chiffre pas les requêtes DNS
DoH ou DoT
Chiffrement du transport vers le résolveur
Le choix du résolveur reste déterminant
HTTPS
Chiffrement des échanges avec le site
Ne prouve pas à lui seul la légitimité du site
Authentification multifacteur
Renforcement des comptes sensibles
Ne corrige pas une réponse DNS falsifiée
Aucune mesure isolée n’arrête tous les scénarios, mais leur combinaison réduit les occasions de fraude et facilite la détection. Pour Lumen, la priorité serait de maîtriser ses résolveurs, protéger ses comptes de domaine et entraîner ses employés à signaler les anomalies.
Ces protections prennent toute leur valeur lorsqu’elles s’accompagnent d’une procédure simple : isoler un poste suspect, contacter l’équipe informatique et vérifier les résolutions avant toute réinitialisation de cache.
