Un nom de domaine utilisé pour une arnaque peut-il permettre d’en repérer d’autres avant leur signalement ? Dans son rapport OCTO-044, publié le 18 septembre 2026, l’ICANN explore une approche prometteuse : croiser les données publiques pour identifier des domaines associés et détecter plus tôt certains abus du DNS.
Les campagnes d’hameçonnage et de diffusion de logiciels malveillants peuvent s’appuyer sur de nombreux noms de domaine. Enregistrés rapidement, parfois auprès d’un même bureau d’enregistrement, ceux-ci laissent des traces techniques susceptibles de révéler leurs liens.
L’étude de l’ICANN met en évidence un résultat marquant : 56,4 % des domaines signalés comme malveillants dans l’échantillon ont été identifiés comme associés à au moins un autre domaine.
L’analyse concerne des domaines génériques de premier niveau, ou gTLD, récemment enregistrés et ajoutés à des listes de blocage entre le 24 et le 30 septembre 2025. Les associations ont été recherchées sur une période élargie, de septembre à octobre 2025. Ce chiffre décrit donc l’échantillon étudié, et non l’ensemble des domaines sur Internet.
Pour repérer ces liens, les chercheurs croisent plusieurs indices : le bureau d’enregistrement, les serveurs de noms, les dates de création, les adresses IPv4 et la similarité des noms. Ils recherchent notamment les domaines enregistrés à quelques secondes ou quelques heures d’intervalle, ainsi que ceux partageant une infrastructure commune.
Un filtrage lexical renforce ensuite la fiabilité des associations. Certaines méthodes utilisent un modèle d’apprentissage automatique de type « forêt aléatoire » pour comparer les caractéristiques des noms de domaine.
Cette approche n’exploite ni les coordonnées des titulaires, ni leurs données de paiement, ni leurs identifiants de comptes. Le rapport précise toutefois que certaines données techniques peuvent relever de la protection des données personnelles selon leur contexte d’utilisation.
Au-delà de l’identification des liens, l’enjeu est de gagner du temps. Avec la chaîne de traitement étudiée, 4,6 % des domaines malveillants signalés de l’échantillon ont pu être détectés plus tôt grâce à l’analyse des domaines associés.
Dans un scénario théorique réduisant fortement les délais de collecte et de traitement, cette proportion atteindrait 10 %. Il s’agit d’une estimation modélisée, et non d’une performance déjà obtenue en conditions réelles. Le constat souligne néanmoins l’importance d’un accès rapide aux données : des informations reçues trop tard limitent les possibilités de détection précoce.
L’analyse permet également de repérer des domaines suspects encore absents des listes de blocage. Pour la méthode d’enregistrement par lots, le taux d’expansion atteint 2,32, soit plus de deux domaines supplémentaires identifiés pour chaque domaine germe, selon l’indicateur retenu.
Ce résultat appelle cependant à la prudence. Une importante campagne de domaines générés algorithmiquement contribue fortement à l’expansion observée. Son exclusion réduit les taux et montre qu’une seule campagne peut peser lourd dans les résultats.
Surtout, une preuve d’association ne constitue pas, à elle seule, une preuve d’abus. Des domaines peuvent être enregistrés ensemble ou partager une infrastructure pour des usages légitimes, comme la protection de marques, la publicité ou la gestion du trafic. Des faux positifs restent donc possibles.
Les méthodes présentées servent avant tout à orienter les investigations. Elles complètent les vérifications internes des bureaux d’enregistrement, qui disposent d’informations supplémentaires sur les comptes et leurs titulaires.
Le rapport ouvre ainsi une piste concrète pour renforcer la lutte contre les abus du DNS : croiser les indices, accélérer l’accès aux données et examiner les associations avec discernement. L’objectif est de repérer plus rapidement les campagnes suspectes, tout en évitant les conclusions hâtives sur les domaines concernés.
Source : ICANN, rapport OCTO-044, « Associated Domain Analysis Using Public Data », 18 septembre 2026.
BAH A. Junior
.
