L’acquisition de sous-domaines est un risque substantiel pour les entreprises qui ont une présence importante en ligne (ce qui concerne beaucoup d’entre elles en 2025 !). Le nom de domaine est le point de départ de l’identité de votre entreprise en ligne, et englobe le site principal et les sites secondaires. C’est la carte de visite de l’entreprise, sa vitrine, mais également une plateforme centrale qui regroupe ses activités commerciales. Pour les fournisseurs de SaaS et de solutions tech, le domaine est un élément clé de leur offre de produits. 

Ainsi, difficile d’imaginer pire scénario qu’un pirate malveillant agissant sous couvert de l’un de vos sous-domaines sans que vous le sachiez. Dans cet article, nous allons aborder les risques d’acquisition de sous-domaines et vous proposer des solutions pratiques pour limiter ces risques, parmi lesquelles notre outil de gestion de la surface d’attaque externe (EASM).

Comment fonctionne l’acquisition de sous-domaines ?

Dans une attaque d’acquisition de sous-domaines, un pirate prend le contrôle d’un sous-domaine qui devrait être contrôlé par le propriétaire du domaine d’origine. Cela fonctionne généralement comme suit :

1. Identification de sous-domaines inutilisés : Le pirate commence par rechercher, au niveau du domaine cible, des sous-domaines qui ne sont plus utilisés ou sont mal configurés. Pour ce faire, il peut s’aider d’outils comme sublist3r, amass ou subfinder.
2. Consultation des enregistrements DNS : Le pirate consulte ensuite les enregistrements DNS de ces sous-domaines pour vérifier s’ils renvoient vers un service valide ou s’ils comportent des erreurs de configuration. Par exemple, il peut s’agir d’enregistrements CNAME qui renvoient vers un service qui n’existe plus ou a été supprimé.
3. Exploitation des erreurs de configuration : Si le pirate trouve un sous-domaine qui renvoie vers un service qui n’existe plus, il peut en tirer profit. Par exemple, si un sous-domaine est censé renvoyer vers un service cloud (comme un bucket S3 AWS) qui a été supprimé, l’enregistrement DNS renverra toujours vers le domaine du service cloud.
4. Réappropriation du sous-domaine : Le pirate peut alors créer une nouvelle ressource sur le service cloud (ex. : un nouveau bucket S3) sous le même nom que la ressource d’origine. Étant donné que l’enregistrement DNS renvoie toujours vers le service cloud, le sous-domaine renverra désormais les utilisateurs vers la ressource du pirate.
5. Contrôle du sous-domaine : Une fois que le pirate a pris le contrôle du sous-domaine, il peut s’en servir à différentes fins malveillantes, par exemple en y hébergeant des pages de hameçonnage, en mettant en place des malwares ou en renvoyant vers des sites malveillants.
6. Maintien du contrôle : Le pirate peut conserver le contrôle du sous-domaine jusqu’à ce que le propriétaire du domaine corrige les enregistrements DNS ou prenne d’autres mesures pour remédier au problème.

Imaginez le scénario suivant : une banque laisse accidentellement un sous-domaine associé à un ancien événement promotionnel en position de vulnérabilité. Un pirate exploite cette omission en créant une page frauduleuse ressemblant au portail de connexion de la banque. Les clients, ne se doutant de rien et faisant confiance à l’URL et à son apparente authenticité, entrent leurs identifiants, permettant par inadvertance au pirate d’accéder à des milliers de comptes bancaires et de données sensibles. En plus d’exposer la banque à des préjudices juridiques significatifs, cela compromet sa réputation de manière grave et pérenne.

Récents incidents liés à des attaques de sous-domaines

Malheureusement, les attaques de sous-domaines sont monnaie courante et ont des répercussions considérables. Récemment, une importante campagne de fraude publicitaire appelée « SubdoMailing » a exploité plus de 8 000 domaines internet légitimes et 13 000 sous-domaines hackés de grandes marques pour envoyer jusqu’à cinq millions d’e-mails par jour dans le but de générer des recettes par le biais d’arnaques et de malvertising.

Et les grandes entreprises ne sont pas moins vulnérables aux attaques de sous-domaines. En 2020, les chercheurs en sécurité de Microsoft ont découvert plusieurs sous-domaines Microsoft vulnérables. Les hackers ont même réussi à prendre le contrôle d’un sous-domaine de Tesla pour héberger une arnaque à la cryptomonnaie.

Motifs et intentions

Une fois qu’un pirate prend le contrôle d’un sous-domaine vulnérable, il peut y héberger du contenu malicieux et transformer le sous-domaine en une plateforme de campagnes de hameçonnage et d’autres activités malveillantes. Le pirate se sert des sous-domaines pour intercepter des identifiants d’utilisateurs, diffuser des malwares et récolter des informations sensibles, comme les cookies de session, ce qui facilite la réalisation d’autres attaques.

Qu’est-ce qui rend un sous-domaine vulnérable ?

Chaque nom de domaine est lié à une série d’enregistrements DNS, parmi lesquels figure le nom canonique (CNAME), qui relient les sous-domaines à des domaines ou des services cibles particuliers. Les failles se présentent lorsqu’un service externe, souvent hébergé par des fournisseurs de cloud, devient inactif ou mal configuré, mais que l’enregistrement DNS continue de renvoyer vers ce service.

Pour les pirates, c’est une opportunité de hacker le sous-domaine en y installant leur propre hôte virtuel et en y hébergeant des contenus malveillants. Cela permet aux pirates d’intercepter les cookies du domaine principal, d’exécuter des attaques XSS (cross-site scripting), de contourner les politiques de sécurité des contenus, et potentiellement de récupérer des données sensibles, telles que des identifiants d’utilisateurs, ou de faire parvenir des contenus malveillants jusqu’à des utilisateurs qui ne se doutent de rien.

Considérations informatiques à prendre en compte pour se défendre

Pour les organisations qui sont peu présentes en ligne, les attaques de sous-domaines peuvent ne pas être une préoccupation de premier plan pour leurs équipes informatiques. Or, pour les grandes entreprises où les domaines jouent un rôle essentiel dans leurs activités et englobent souvent de nombreux sous-domaines, le risque est tout de suite beaucoup plus prononcé. Cela fait des attaques de sous-domaines une menace substantielle pour la continuité des activités et leur sécurité.

Voici quelques moyens couramment employés pour défendre les actifs digitaux d’une organisation contre les attaques de sous-domaine.

Surveillance et détection

Au fil du temps, il arrive souvent que les organisations laissent leurs sous-domaines sans surveillance ou en situation de configuration erronée, ce qui crée des points de vulnérabilité. L’un des moyens les plus efficaces de se prémunir contre les attaques de sous-domaines consiste à mettre en place un outil de gestion de la surface d’attaque externe (EASM). Les outils EASM assurent une surveillance continue des domaines pour détecter tout changement exploitable, notamment les sous-domaines mal configurés ou abandonnés.

Composant essentiel d’une stratégie de sécurité complète, l’EASM permet de recenser et d’analyser l’empreinte digitale de l’organisation d’un point de vue externe, détectant ainsi les points de vulnérabilité avant qu’ils ne puissent être exploités. En gérant activement ces points faibles, les outils EASM aident les organisations à sécuriser leurs actifs en ligne et à renforcer leur sécurité globale.

Contrôle et nettoyage réguliers des enregistrements DNS

Contrôlez régulièrement vos enregistrements DNS, en prêtant une attention particulière aux enregistrements CNAME et TXT, afin de vérifier la sécurité et l’exactitude de vos configurations de domaines. Veillez à ce que les entrées de sous-domaines obsolètes ou non pertinentes renvoyant vers des services de tiers inutilisés soient promptement supprimées ou mises à jour. Ceci empêchera les pirates d’exploiter les sous-domaines vulnérables et contribuera à sécuriser votre domaine tout en veillant à ce que vos configurations restent sûres et à jour.

Surveiller les services de tiers

Si vous utilisez des services de tiers tels que des plateformes cloud, des fournisseurs d’hébergement ou des réseaux de diffusion de contenus (CDN) pour vos sous-domaines, veillez à vérifier que ces services restent actifs et correctement configurés au fil du temps. Assurez un suivi des dates d’expiration et des échéances de périodes d’essai, leurs dépassements pouvant donner lieu à des sous-domaines qui renvoient vers des adresses inutilisées et exposer l’organisation à des risques de violation de sécurité.

Verrouillage de registraires de nom de domaine et MFA

Activez les fonctions de verrouillage de domaine proposées par la majorité des registraires de nom de domaine afin d’empêcher toute modification non autorisée de vos réglages DNS et de réduire ainsi le risque d’exploitation par des pirates. De plus, activez l’authentification multifacteur (MFA) sur votre compte de registraire de nom de domaine pour ajouter une couche supplémentaire de protection et parer encore davantage à tout risque d’accès non autorisé. Ces mesures de sécurité réduisent considérablement le risque d’attaque de sous-domaine et vous aident à protéger vos actifs en ligne.

Cartographiez gratuitement votre surface d’attaque

Envie d’avoir une visibilité complète sur les risques de votre surface d’attaque, notamment sur tous vos domaines et sous-domaines ? Inscrivez-vous ici pour bénéficier d’une analyse gratuite.