Ce que le DNS fait — et ne fait pas — contre l'hameçonnage
La couche des noms est bonne pour certains pièges et inutile contre d'autres. Séparer les deux évite de trop faire confiance à une seule protection.
L'hameçonnage n'utilise pas que de faux domaines
Une bonne part des pages d'hameçonnage est hébergée sur des adresses réelles. Le site officiel a été compromis, un service légitime a été trompé, ou l'attaquant a enregistré un nom presque identique à l'original. Dans ces cas l'adresse se résout correctement, le certificat est valide et la couche des noms n'a rien à bloquer.
Il y a aussi l'escroquerie qui n'utilise aucune fausse page : un lien envoyé par message qui mène à un vrai site avec une fausse demande de paiement. L'adresse est juste, le cadenas est en place, et la tromperie se joue entièrement dans la lecture. Aucun filtre de nom ne protège contre cela.
Ce qu'une liste anti-hameçonnage peut voir
Ce que la liste attrape, c'est le motif du nom : domaines récemment enregistrés, noms imitant de près d'autres connus, adresses déjà apparues dans des campagnes connues. Comme le blocage a lieu pendant la requête, la connexion avec le serveur de hameçonnage n'est même pas ouverte.
Ce qui reste dehors, ce sont les cas où l'adresse est légitime. Une liste mise à jour tardivement laisse passer les campagnes récentes, et certaines campagnes changent plusieurs fois de nom précisément pour y échapper. C'est pourquoi la liste fonctionne comme une couche parmi d'autres, et non comme la seule.
À quoi regarder quand la liste ne suffit plus
Lisez l'adresse, pas la maquette. La page peut avoir les mêmes couleurs, le même logo et la même mise en page que le service d'origine ; ce qui ne peut pas être identique, c'est le domaine. Un nom où un caractère a été remplacé par un autre presque identique est le signe le plus courant du piège.
Si l'adresse est arrivée par message, tapez-la vous-même au lieu de suivre le lien. Si la page demande des données que le vrai service ne demanderait jamais par message, arrêtez-vous. Et rappelez-vous que le cadenas indique seulement que la connexion est chiffrée : il existe des certificats valides pour des domaines détournés et pour de fausses pages sur des adresses neuves.