RAPPORT DE CYBER-SÉCURITÉ
Juin 2019

Ken Linscott Directeur produits – Domaines et sécurité
Quinn Taggart Responsable produits principal– Domaines
Letitia Thian Responsable marketing

Recherche et éditorial par CSC
Ce rapport de cyber-sécurité CSC regroupe dans un document qui se veut
exhaustif les données les plus importantes et les plus récentes en matièrede cybercriminalité et de cyber-sécurité. Il vous offre un aperçu détaillé desinformations essentielles pour vous et votre marque.

1

Sécurité du nom de domaine
CSC
collabore
avec plus
%
de

65

des

plus grandes
marquesmondiales

CSC assiste plus de 65 % des plus grandes marques mondiales dans lagestion de leur présence en ligne. À l’aide de nos outils brevetés, nous
aidons les entreprises de nos clients à identifier les failles de sécurité et les
opportunités stratégiques au sein de leur portefeuille de noms de domaine.
Nous nous appuyons sur cette même méthodologie pour analyser lesprincipaux noms de domaine des entreprises du monde entier afin dedéterminer l’efficacité de leur sécurité en matière de noms de domaine.
Dans ce rapport, nous allons nous intéresser plus particulièrement au
secteur des médias. Avec des technologies en pleine évolution et desconsommateurs toujours plus friands de contenus à la demande, lesmédias traditionnels ont été remplacés par les formats numériques etmobiles. Les réseaux sociaux, le streaming en ligne et la publicité surInternet, par exemple, sont apparus au cours des 25 dernières annéesde cette ère de changement. De nombreuses marques médias disposent
désormais d’une présence en ligne et collectent davantage de donnéesclient qu’auparavant. Les entreprises recueillent à la fois des identifiantsde connexion et des informations de paiement, ce qui les expose
d’autant plus aux risques de cyber-attaques susceptibles de causer undysfonctionnement, voire un détournement des canaux de distribution
médias. Il est donc devenu impératif pour les marques de prendre desmesures pour se protéger et protéger leurs clients contre les attaques ou
intrusions éventuelles.
Dans ce rapport, nous avons analysé certains des plus grands groupes
médias dans le monde, leurs entités et leurs marques à travers un éventail
de canaux incluant la publicité, l’édition, la télévision et la radio. Nous
nous sommes également penchés sur quelques marques uniquement
présentes en ligne, afin de découvrir comment la sécurité du nom dedomaine est abordée dans ce secteur.

2

Sécurité du nom de domaine et tendances observées
Basé sur 120 marques médias

Le dernier rapport de CSC était consacré au secteur de la finance et desassurances. Cette édition dédiée aux médias nous permet de comparer lesdifférents secteurs et leur rapport aux composantes de la sécurité des noms dedomaine. Toutes les mesures de sécurité ne sont pas coûteuses – surtout si l’on
considère le coût potentiel d’une seule intrusion. Pourtant, même les éléments desécurité fondamentaux ne sont pas aussi généralisés que l’on pourrait espérer vu
l’augmentation des cyber-menaces année après année. Le plus troublant est que lestechniques les plus simples, permettant de garantir la sécurité globale du nom dedomaine et la confiance des utilisateurs, sont les moins susceptibles d’être misesen œuvre par les entreprises.

Fournisseur de registrar

Verrouillage

78% CORPORATE REGISTRAR POUR ENTREPRISES

43% REGISTRE VERROUILLÉ

22% REGISTRAR COMMERCIALRISQUE

Traditionnellement, ce sont les registrars (bureaux d’enregistrement) denoms de domaine commerciaux qui sont les plus visés par les cyberattaques.
Les entreprises devraient s’associer à un registrar de niveau professionnel
qui investit lourdement au niveau technologique, mais également dans laformation à la sécurité de ses employés – y compris en instaurant le devoir devigilance dans sa charte – afin de pouvoir identifier les attaques malveillantes,
particulièrement pour les noms de domaine stratégiques.

OBSERVATIONS
78 % des médias utilisent les registrars professionnels
Lors de l’évaluation de la sécurité du nom de domaine au niveau
de base, un petit nombre d’éléments clés sont examinés : verrous,
messagerie, système de noms de domaine (DNS) et certificats SSL(Secure Sockets Layer). Bien entendu, la gestion du portefeuilleglobal de noms de domaine par un registrar pour entreprises réputé,par opposition au registrar commercial, facilitera l’implémentation deces éléments. C’est pourquoi la majorité des acteurs du secteur desmédias privilégient les registrars pour entreprises pour la gestion deleur portefeuille de noms de domaine.

37% REGISTRE NON VERROUILLÉ
20% *VERROUILLAGE DU REGISTRE NON DISPONIBLE
RISQUELes noms de domaine non verrouillés sont vulnérables aux tactiquesd’ingénierie sociale, qui peuvent conduire à des modifications non autoriséesdu DNS. Il arrive toutefois que certains noms de domaine demeurent nonverrouillés, tous les registres du monde ne disposant pas de services deverrouillage.*

OBSERVATIONS
43 % ont mis en place un verrouillage du registre
Ces verrous sont de plus en plus plébiscités parce qu’ils empêchent
toute modification non autorisée du DNS, modification qui pourrait
mettre le site hors ligne ou rediriger ses utilisateurs vers du contenu
malveillant

3

Sécurité du nom de domaine et tendances observées
Fournisseur DNS

25%

DNS INTERNE

55% DNS D’ENTREPRISE OU PROFESSIONNEL
20% AUTRES (DNS HÉBERGEUR OU COMMERCIAL)RISQUELes fournisseurs de services DNS non destinés aux entreprises présentent desrisques de sécurité potentiels, avec la possibilité d’attaques DDoS (Distributed
Denial of Service), d’interruption des services et de perte de revenus.

Always-On SSL (AOSSL)

78% ALWAYS-ON SSL, DÉPLOYÉ
22% ALWAYS-ON SSL, NON DÉPLOYÉRISQUELe protocole SSL chiffre de façon sécurisée toutes les activités transactionnelles
en ligne, contribuant ainsi à réduire le risque de détournement de sessions
web par des cybercriminels en vue de commettre des usurpations d’identité
ou d’installer des logiciels malveillants sur les appareils des utilisateurs. Il
permet aussi de lutter contre l’atteinte par des hackers aux communications
web, pouvant générer une violation de la confidentialité des données, un vol desdonnées clients, une attaque DDoS ou une dégradation de site web.

DNSSEC

3% DNSSEC ACTIVÉ
97% DNSSEC DÉSACTIVÉRISQUE
L’absence de déploiement de DNSSEC (domain name system security
extension) – un des protocoles de sécurité les plus économiques – entraîne desvulnérabilités au niveau du DNS et peut permettre le détournement d’une étape
du processus de résolution DNS. Les pirates sont donc en mesure de prendre lecontrôle d’une session de navigation Internet pour rediriger les utilisateurs vers
des sites Web falsifiés.

OBSERVATIONS
55 % utilisent des fournisseurs de DNS d’entreprise ;3 % utilisent DNSSEC
La préférence pour les registrars pour entreprises semble s’appliquerégalement aux fournisseurs de DNS de niveau entreprise pour la moitiédes marques médias. Presque 25 % utilisent leur propre architecture
DNS et 20 % font appel à un fournisseur commercial. Les services DNS
font certainement partie des prestations pour lesquelles les entreprises
ne devraient pas transiger en termes de qualité et de fiabilité. Le
DNS est le moteur de la présence en ligne. Le protocole DNSSEC est
une autre méthode pour protéger la communication globale entre lesutilisateurs et les propriétés d’un site Web. Les taux d’adoption de latechnologie DNSSEC ne dépassent toutefois pas les 3 %.

4

Sécurité du nom de domaine et tendances observéesType de certificats SSL (EV, DV ou OV)

Authentification par e-mail

2% EV

27% DMARC

24% DV

6% DKIM

74% OVRISQUELes certificats SSL qui exigent un niveau d’authentification plus élevé, tels
que les certificats à validation d’organisation (OV) et à validation étendue(EV), sont moins susceptibles d’être compromis que les certificats àvalidation de domaine (DV).

OBSERVATIONS
74 % utilisent des certificats OV, tandis que 24 % utilisent descertificats DV
Comme pour les DNS, il n’est pas judicieux de choisir descertificats numériques présentant une sécurité moindre. Si le
DNS est la porte de la maison, le certificat SSL en est la serrure.
Peu importe que la porte soit solide, dès lors que la serrure est
peu fiable. Un facteur de risque majeur réside dans le mode devalidation des certificats SSL. La validation de domaine, qui offre leplus faible niveau de validation, est utilisée par 24 % des marquesmédias, ce qui signifie que si un hacker parvient à accéder à lamessagerie interne, il peut facilement valider les certificats SSL
à partir des domaines de l’entreprise – dans un but malveillant.
C’est le scénario de la dernière attaque menée par le biais duregistrar commercial GoDaddy®.

79% SPFRISQUE

L’authentification du canal de messagerie par le protocole DMARC (Domainbased Message Authentication, Reporting and Conformance), SPF (Sender
Policy Framework) ou DKIM (DomainKeys Identified Mail) réduit le risqued’e-mail spoofing (usurpation d’identité) et de phishing.

OBSERVATIONS
27 % utilisent DMARC
La technologie DMARC est un système d’authentification d’emails conçu pour protéger le nom de domaine de messagerie
d’une entreprise contre les tentatives de spoofing, de phishing
et autres cyberattaques. Pour des entreprises qui communiquent
avec des millions d’utilisateurs, la faiblesse du taux d’adoption est
surprenante.

5Phishing et fraude par e-mailAugmentation importante des sites Web de phishing durant l’année

Au premier trimestre 2019, environ 58 % des sites de phishing possédaient des certificats SSL, ce qui représente une
importante augmentation par rapport aux 46 % du trimestre précédent et aux moins de 5 % de la fin 2016. Deux raisonspeuvent expliquer cette augmentation. Premièrement, les pirates peuvent créer des certificats à validation de domaine, qui
sont disponibles librement. Deuxièmement, un nombre croissant de sites Web utilisent des certificats SSL en général. La
majorité des opérations de phishing partant de sites légitimes piratés, le nombre de sites de phishing avec SSL est logiquement
en augmentation. Ces derniers ont une apparence plus légitime grâce à la mention « HTTPS » dans la barre d’adresse. Ils
parviennent donc à tromper les utilisateurs en détournant une fonctionnalité de sécurité d’Internet, et permettent aux acteurs
malintentionnés de voler les données d’identité ainsi que les identifiants de compte.

Attaques de phishing

Au premier trimestre 2019, on a dénombré 180 768 sites Web de phishing, soit une augmentation de 31 % par
rapport au trimestre précédent.

87,38630,000

OCT NOV DÉC JAN FÉV MAR

OCT NOV DÉC JAN FÉV MAR

330

288

310

200

233

40,000300

42,39950,000400
327

60,00035,36450,983

48,663500

34,63020,00070,000Nombre de marques ciblées
600

64,90530,00045,79440,00035,71950,00056,81560,00080,00087,61981,12280,000E-mails de phishing uniques

293

Sites de phishing uniques

100
OCT NOV DÉC JAN FÉV MAR

Secteurs d’activité les plus touchés

Pour la première fois, les services SaaS (logiciel en tant que service) et les messageries Web constituent les secteurs lesplus touchés. Les services de paiement en ligne et les institutions financières restent parmi les trois secteurs les plus
visés par le phishing au début de l’année 2019.

27% Paiement en ligne
15% Autres
16% Institutions financières

36% SaaS et messagerie Web
3% e-commerce et détaillants
3% Télécoms

SOURCE: Rapport APWG « Phishing Activity Trends Report », premier trimestre 20196

Noms de domaine de premier niveau (TLD)
les plus utilisés pour les sites de phishing
Sans surprise, les TLD hérités – c’est-à-dire les TLD établis il y a très longtemps et qui comptent un
grand nombre de sites Web – sont ceux qui hébergent le plus de hameçonneurs. Toutefois, les TLD
de code pays (ccTLD) qui ont été redéfinis, ainsi qu’un petit nombre de TLD génériques souvent
proposés à bas prix, hébergent une quantité notable d’opérations de phishing par rapport aux
autres noms de domaine dans le monde.

Types de TLD :ccTLD

gTLD hérités.com

Nouveaux gTLD

.pw

.net

.org

n° 1 • 2 098 noms de domaine

n° 2 • 374 noms de domaine

n° 3 • 175 noms de domaine

n° 4 • 154 noms de domaine

.uk

.cf

.info

.br

n° 5 • 121 noms de domaine

n° 6 • 84 noms de domaine

n° 7 • 83 noms de domaine

n° 8 • 82 noms de domaine

.ml

.ga

.in

.us

n° 9 • 78 noms de domaine

n° 10 • 68 noms de domaine

n° 11 • 58 noms de domaine

n° 12 • 45 noms de domaine

.ru

.tk

.gq

.it

n° 13 • 44 noms de domaine

n° 14 • 40 noms de domaine

n° 15 • 37 noms de domaine

n° 16 • 37 noms de domaine.xyz.online.pl.ca

n° 17 • 37 noms de domaine

n° 18 • 33 noms de domaine

n° 19 • 28 noms de domaine

n° 20 • 26 noms de domaine

SOURCE : Rapport APWG « Phishing Activity Trends Report », quatrième trimestre 2018

7

FRANCE

Toutes les organisations
sont concernées
Exemples issus des actualitésPlateforme de partage vidéo visée par des attaquespar bourrage d’identifiants (credential stuffing)
Des cybercriminels ont mené des attaques par bourrage d’identifiants– des « attaques frontales » devinant ou réutilisant des mots de passe
volés – à l’encontre d’une plateforme de partage vidéo afin de pirater lescomptes des utilisateurs.
securityboulevard.com/2019/01/video-sharing-platformtargeted-by-credential-stuffing-attacks/

AMÉRIQUESPHILIPPINESDes grands noms de la presse américaine
paralysés par l’attaque du ransomware Ryuk

De puissants groupes de hackers sophistiqués
attaquent des sites de médias alternatifs philippins

Le ransomware a mis hors service l’infrastructure de grands
organes de presse, affectant la publication et la diffusion del’édition papier des quotidiens dans tout le pays.

Des hacktivistes politiques ont lancé des attaques DDoS surdes sites de médias philippins en générant un trafic 40 000 foissupérieur à la normale, avec 40 attaques en une semaine.

csoonline.com/article/3330645/major-us-newspapers-crippledby-ryuk-ransomware-attack.html

news.abs-cbn.com/news/02/07/19/big-rich-tech-teams-attackph-alternative-media-websites

AMÉRIQUESAMÉRIQUES

Les sites Newsquest compromis par une faillede sécurité

Une nouvelle variante du logiciel malveillant
Mirai cible les TV à affichage dynamique et lessystèmes de présentation

Des centaines de titres du site Web du groupe de médias ont été
infectés par des logiciels malveillants qui ont piraté les navigateurs
Internet et mobiles au moment où les utilisateurs tentaient d’accéder
aux actualités locales, en les redirigeant vers un site non affilié
proposant un jeu de loterie.

Des chercheurs ont découvert une nouvelle souche du botnet
Mirai qui vise les appareils IoT des entreprises, en vue de lancer
des attaques DDoS massives similaires à l’attaque Mirai de2016 contre un fournisseur de services DNS, qui avait entraîné
l’inaccessibilité de sites majeurs et de services Internet en
Amérique du Nord et en Europe.

uknip.co.uk/2019/02/newsquest-websites-compromised-bysecurity-breach/zdnet.com/article/new-mirai-malware-variant-targets-signagetvs-and-presentation-systems/

8

Recommandations
1. RENOUVELLEMENT AUTOMATIQUE DES NOMS DE DOMAINE

Avec des registrars commerciaux, si la carte de crédit enregistrée expire ou est annulée, lerenouvellement automatique est sans effet et les noms de domaine sont mis hors ligne, voire supprimés.
Recourir aux services d’un registrar professionnel garantit que les noms de domaine sont renouvelés
automatiquement, à moins que l’entreprise n’indique son souhait de ne pas voir renouveler certains.
Vous avez ainsi l’assurance qu’aucun nom de domaine ne deviendra inaccessible.
cscdigitalbrand.services/blog/an-abandoned-domain-name-could-hurt-you/

2. VERROUILLAGE DES NOMS DE DOMAINE CRITIQUESUn autre avantage de la collaboration avec un registrar professionnel réside dans la structure desupport. Celle-ci doit offrir la combinaison idéale de technologie et d’expertise métier. Pour procéder auverrouillage des noms de domaine, les entreprises doivent identifier ceux qui sont critiques – ce qui n’est
pas aussi simple qu’il y paraît. CSC Security CenterSM met à votre disposition la technologie requise pouridentifier vos noms de domaine vitaux, en surveillant le trafic Web ainsi que de multiples vecteurs dansle but d’implémenter une sécurité multicouche.
cscglobal.com/service/csc/press-csc-alerts-companies-to-increased-dns-hijacking/

3. ADOPTER DES MESURES DE SÉCURISATION DES NOMS DE DOMAINE
Sans une bonne fondation, la forteresse s’écroule. Une fois que vous avez choisi le registrar de nomsde domaine pour entreprises le plus adapté, procédez à un inventaire minutieux de votre portefeuille denoms de domaine et des mesures de protection mises en place. Le paysage de la sécurité informatiqueévolue sans cesse et vous impose de faire appel à un partenaire de confiance vigilant pour adapter votre
stratégie. La sécurité n’est pas une démarche que vous définissez une fois pour toute, elle est de nature
cyclique : de nouvelles techniques d’attaque sont constamment développées par les cybercriminels.
cscdigitalbrand.services/blog/dns-une-composante-fondamentale-trop-souvent-negligee-5e-partie/

4. IMPLIQUER D’AUTRES ACTEURS

La sécurité et la gestion du portefeuille de noms de domaine ne devraient pas être dévolues à une
seule personne : elles touchent diverses parties prenantes au niveau du marketing, du cadre juridique,de la gestion des marques et de l’informatique. Toutes les contributions sont donc importantes. Nous
recommandons aux entreprises d’établir un processus de consultation pour la gestion des noms dedomaine, parce que la sécurité est l’affaire de tous.

5. SENSIBILISER LE C.A. AUX RISQUES LIÉS AU DNS

Avec des attaques au niveau mondial et des violations de grande ampleur, outre la conformité
réglementaire, la cyber-sécurité est désormais une priorité majeure pour les conseils d’administration.
Parmi les risques identifiés dans le rapport « Horizon Scan » du BCI (Business Continuity Institute), le
DNS est un facteur important dans quatre des 10 risques majeurs.
cscdigitalbrand.services/blog/dns-une-composante-fondamentale-trop-souvent-negligee-6e-partie/

9

CSC accompagne les entreprises dans leur réussite en ligne. Nous aidons nos
clients à gérer, promouvoir et sécuriser efficacement leurs actifs stratégiques
face aux menaces du monde numérique. Les plus grandes entreprises dumonde entier, parmi lesquelles plus de 65 % des 100 Best Global Brands
du classement Interbrand®, ont fait de nous leur partenaire de confiance.
S’appuyant sur une technologie de pointe, notre offre Digital Brand Services
garantit des résultats exceptionnels via une structure de gestion de compte
unifiée.Grâce à notre équipe d’experts dédiés, vous disposerez d’un point decontact qui vous permettra d’assurer au quotidien que votre marque possède
les atouts nécessaires pour réussir à l’ère du numérique. Nous vous aidons
à consolider, sécuriser et surveiller vos actifs immatériels, à intervenir en
cas d’atteinte à vos marques, puis à optimiser et promouvoir celles-ci afin
de maximiser votre présence en ligne et de sécuriser vos droits de propriété
intellectuelle numérique – tout en réduisant vos coûts.

cscdigitalbrand.services/fr
Copyright © 2019 Corporation Service Company. Tous droits réservés.
CSC est un prestataire de services qui ne fournit aucun conseil juridique ou financier. Les documents présentés ici le sont uniquement à titre informatif.
Veuillez consulter votre conseiller juridique ou financier afin de déterminer dans quelle mesure ces informations sont pertinentes pour vous.

10