Vous cliquez sur un lien qui ressemble parfaitement à celui de votre banque, d’un service public, d’une boutique connue. Rien ne cloche à l’écran. Le nom de domaine paraît propre, “normal”, parfois même avec un petit cadenas. Et pourtant, vous venez peut-être d’atterrir sur un site frauduleux. C’est précisément le terrain de jeu des attaques dites punycode, souvent associées aux attaques homographes : des arnaques qui profitent de caractères visuellement trompeurs pour imiter des domaines légitimes.
Le plus dérangeant dans cette histoire, c’est que tout part d’une technologie utile et légitime. On n’est pas face à une “faille magique”, mais à un détournement très malin d’un mécanisme conçu pour rendre internet plus inclusif.
Punycode, c’est quoi au juste ?
Internet n’a pas toujours aimé les accents, les cédilles, ou les alphabets non latins. Or, le web est mondial : il fallait permettre à des langues très différentes d’exister aussi dans les noms de domaine. C’est là qu’entrent en scène les noms de domaine internationalisés (IDN), capables d’inclure des caractères comme “é”, “ç”, “ö”, ou des lettres cyrilliques, grecques, arabes, etc.
Problème : le système DNS, lui, fonctionne historiquement très bien avec l’alphabet ASCII (le jeu de caractères “classique” sans accents). Pour que tout le monde se comprenne, il faut une traduction. Punycode est cette méthode de conversion : elle transforme un domaine contenant des caractères spéciaux en une version ASCII “transportable”, généralement reconnaissable par le préfixe xn--.
Exemple simple : un domaine du type café.com peut être converti en quelque chose comme xn--caf-dma.com. Le DNS comprend la version encodée, tandis que l’utilisateur voit souvent la version “jolie”.
Et c’est exactement là que les attaquants se faufilent.
Le tour de passe-passe des attaques homographes
Une attaque de punycode, dans sa forme la plus fréquente, repose sur une idée très simple : utiliser des caractères qui se ressemblent.
Certaines lettres de différents alphabets sont quasi identiques à l’œil nu. Par exemple, un “o” latin et un “о” cyrillique peuvent paraître strictement identiques selon la police utilisée. Idem pour certaines variantes de “a”, “e”, “p”, “c”, etc. L’attaquant enregistre alors un domaine qui semble être “microsoft.com” ou “paypal.com”, mais qui contient en réalité un ou deux caractères “piégés”.
Le navigateur, lui, peut afficher le domaine sous sa forme lisible (la version “unicode”) pour améliorer le confort de lecture. Résultat : dans la barre d’adresse, vous voyez un nom propre, rassurant… alors que techniquement, c’est un autre domaine.
Pourquoi ça marche si bien ?
Parce que l’arnaque se joue sur un détail que notre cerveau adore ignorer.
- Nous lisons des formes, pas des codes. On reconnaît un mot, une marque, un domaine, sans analyser chaque caractère.
- Nous avons confiance dans les signaux rapides : le cadenas, le design du site, l’adresse “qui a l’air bonne”.
- La différence est parfois invisible : même en étant attentif, distinguer un “o” latin d’un “о” cyrillique n’a rien d’évident.
Les campagnes de phishing modernes l’ont bien compris : si vous pouvez imiter le site ET imiter le domaine, vous augmentez énormément les chances de succès.
Les usages typiques : phishing, malware et fraude aux factures
Dans la pratique, ces domaines trompeurs servent à plusieurs scénarios très concrets :
Phishing “classique” (et très rentable)
Le site imite une page de connexion connue (messagerie, réseau social, service de paiement). Vous saisissez vos identifiants, et ils partent directement chez l’attaquant. Parfois, on ajoute une couche “2FA” avec un faux écran pour récupérer aussi un code temporaire.
Distribution de malware
Le domaine ressemble à un site de téléchargement, une mise à jour, un document partagé. Vous téléchargez “le PDF” ou “l’outil”, et vous embarquez un logiciel malveillant.
Fraude au président / fraude aux factures
C’est l’un des scénarios les plus coûteux en entreprise : un email arrive d’un domaine quasi identique à celui d’un partenaire, d’un fournisseur, ou d’un dirigeant. Une seule lettre change, personne ne voit rien, et une facture est payée sur un mauvais compte. Le punycode rend cette imitation encore plus crédible.
Comment repérer un piège punycode
On ne va pas se mentir : à l’œil nu, ce n’est pas toujours possible. Mais vous pouvez empiler des réflexes qui font vraiment la différence.
- Survolez les liens (sur ordinateur) : parfois, vous verrez la version encodée (xn--) ou une adresse différente dans la barre d’état.
- Copiez-collez l’url dans un bloc-notes : selon l’application, l’affichage peut révéler des différences.
- Méfiez-vous des domaines “parfaits” dans un contexte suspect : une urgence, une demande de vérification, un “compte bloqué”, un mail inattendu.
- Utilisez un gestionnaire de mots de passe : il remplit automatiquement uniquement sur le bon domaine. S’il refuse de proposer vos identifiants, c’est un signal d’alarme utile.
- Évitez de vous connecter via un lien : tapez l’adresse vous-même ou passez par un favori fiable.
Côté sécurité : ce que les organisations devraient mettre en place
Si vous gérez une entreprise (ou si vous voulez simplement des règles “pro”), il faut traiter ce sujet comme un risque réel, pas comme une curiosité technique.
- Passerelles email modernes capables de décoder et d’analyser les domaines IDN/punycode.
- Protection DNS (filtrage, réputation, blocage des domaines récemment enregistrés, détection de typosquatting).
- Surveillance des domaines ressemblants (brand monitoring) pour repérer les enregistrements proches de votre marque.
- Sensibilisation orientée “comportements” : apprendre aux équipes à ralentir, vérifier, et utiliser les canaux officiels.
- Procédure anti-fraude pour les paiements : double validation, vérification hors-canal, et méfiance systématique lors d’un changement d’iban.
Pour finir
Le punycode n’est pas “le mal” : il permet à des millions de personnes d’utiliser leur langue dans les noms de domaine. Le problème, c’est l’exploitation de ressemblances visuelles pour tromper l’humain, pas la machine. Et comme ces attaques jouent sur la perception, la meilleure défense reste un mélange de bons outils (filtrage, détection, gestionnaire de mots de passe) et de bons réflexes (ne pas cliquer sous pression, vérifier autrement, privilégier les accès directs).
En clair : si un lien vous pousse à aller vite, c’est souvent le moment idéal… pour ralentir.
