DNS hijacking : comment ça marche et comment le détecter

Le DNS hijacking consiste à faire répondre le DNS de votre domaine avec des valeurs contrôlées par un attaquant, pour rediriger vos visiteurs, vos clients API ou vos emails vers une infrastructure qui n'est pas la vôtre. L'attaque peut se produire à trois niveaux : le compte registrar, la zone DNS, ou le résolveur utilisé par la victime. Les deux premiers modifient des enregistrements DNS publics, donc n'importe qui surveillant ces enregistrements depuis l'extérieur peut voir le détournement. Le troisième ne touche pas au domaine et reste invisible pour une surveillance externe. Cet article détaille chaque niveau, le signal qu'il laisse, et les vérifications qui permettent de le repérer.

Les trois niveaux de détournement

Chaque niveau attaque un maillon différent de la chaîne de résolution, et chacun laisse une trace différente.

Compte registrar compromis

L'attaquant prend le contrôle de votre compte registrar, le plus souvent via un mot de passe hameçonné ou une boîte email piratée, puis remplace les nameservers du domaine par des serveurs qu'il opère. À partir de là, il répond à toutes les requêtes DNS du domaine et peut envoyer le trafic web et le courrier où il veut.

Le signal est public : les enregistrements NS du domaine ne correspondent plus à votre fournisseur DNS. La campagne Sea Turtle de 2018-2019 fonctionnait exactement ainsi : des registrars et fournisseurs DNS compromis, des nameservers échangés sur des domaines gouvernementaux et télécoms, puis des fausses pages de connexion pour récolter des identifiants. Surveiller les NS est la vérification la plus rentable à ce niveau ; le guide sur la surveillance des changements de nameservers l'aborde en détail.

Zone DNS compromise

Ici, l'attaquant accède à votre compte chez le fournisseur DNS plutôt qu'au registrar. Les nameservers restent identiques, le domaine paraît normal au premier regard, mais des enregistrements individuels changent : un A pointé vers le serveur de l'attaquant, un MX qui déroute votre courrier entrant, un CNAME modifié sur un sous-domaine.

Le signal est plus discret mais toujours public : les NS sont intacts alors que des enregistrements A, AAAA, MX, CNAME ou TXT diffèrent de votre configuration. Quiconque compare les enregistrements du jour à ceux de la veille voit la modification.

Résolveur ou routeur compromis

Un malware sur un poste ou un routeur domestique piraté peut réécrire les réponses DNS pour tous ceux qui passent par lui. Votre compte registrar, votre zone et vos enregistrements publics sont intacts. Seules les victimes derrière ce résolveur reçoivent de mauvaises réponses.

Aucune surveillance externe ne peut voir ce niveau, et un fournisseur qui prétend le contraire survend son produit. Les défenses sont côté client : un résolveur public de confiance, DNS over HTTPS, et un firmware de routeur à jour.

Niveau d'attaque	Ce qui change	Détectable de l'extérieur ?
Compte registrar	Enregistrements NS	Oui
Zone DNS	A, AAAA, MX, CNAME, TXT	Oui
Résolveur ou routeur	Rien sur le domaine	Non

DNS hijacking, DNS spoofing, domain hijacking : ne pas confondre

Les trois termes sont confondus en permanence, et les défenses diffèrent.

• Le DNS spoofing (ou empoisonnement de cache) trompe un résolveur pour qu'il mette en cache des réponses forgées. Votre domaine et ses enregistrements ne sont jamais touchés. La défense, c'est DNSSEC : une réponse forgée échoue à la validation des signatures.
• Le domain hijacking, c'est le vol du domaine lui-même, en général via un transfert frauduleux vers un autre registrar. La défense est le verrou de transfert ; l'article sur les codes de statut de domaine explique clientTransferProhibited et ses variantes.
• Le DNS hijacking, le sujet de cet article, modifie ce que répond le DNS de votre domaine alors que vous en restez propriétaire.

Comment détecter un détournement

Du signal le plus fiable au moins fiable :

• Un enregistrement que vous n'avez pas modifié change. C'est le signal central pour les deux niveaux visibles de l'extérieur. La détection fonctionne par snapshot et comparaison : enregistrer ce que répond le domaine aujourd'hui, comparer demain, alerter à la moindre différence. Domain Sentinel exécute ce contrôle une fois par jour sur chaque domaine de votre watchlist, sur les enregistrements A, AAAA, MX, TXT, NS et CAA de l'apex ainsi que A, AAAA, CNAME, MX et TXT sur www et sur les noms supplémentaires que vous ajoutez, et vous envoie un email dès qu'une valeur diffère. Il prend en parallèle un snapshot RDAP des données d'enregistrement : un changement de nameservers au registrar apparaît donc au contrôle quotidien suivant.
• Des NS qui ne correspondent plus à votre fournisseur DNS. Même sans historique, vous savez quel fournisseur vous payez.
• Un certificat TLS que vous n'avez jamais demandé. Les attaquants obtiennent souvent un certificat pour le domaine détourné, et les journaux Certificate Transparency rendent chaque émission publique.
• Des utilisateurs qui signalent des redirections, des avertissements de certificat ou des emails perdus. Le pire signal : quand il arrive, le mal est déjà fait.

Pour une vérification immédiate, interrogez deux résolveurs indépendants et comparez :

dig @1.1.1.1 example.com NS +short
dig @8.8.8.8 example.com NS +short
dig @1.1.1.1 example.com A +short
dig @8.8.8.8 example.com A +short

Des réponses identiques, et conformes à votre propre configuration, sont bon signe. La même vérification sans terminal passe par l'outil de lookup DNS.

S'en protéger

Par ordre d'efficacité :

1. MFA et registrar lock sur le compte registrar. Cela bloque à la source l'échange de nameservers et le transfert frauduleux.
2. MFA sur le compte du fournisseur DNS, ce qui ferme la voie d'attaque au niveau de la zone.
3. DNSSEC, pour que les réponses forgées échouent à la validation sur les résolveurs qui vérifient les signatures.
4. Surveillance externe des enregistrements. Soyons clairs sur ce qu'elle fait : elle ne bloque pas l'attaque, mais elle réduit le délai de détection de plusieurs semaines, le délai typique quand un détournement est découvert par des plaintes d'utilisateurs, à un jour au maximum avec un contrôle quotidien. La surveillance DNS existe exactement pour ça.
5. Des TTL raisonnables, pour qu'un enregistrement corrigé se propage vite une fois le contrôle repris.

Commencez par ce qui prend cinq minutes : vérifiez les NS et les A de votre domaine principal avec l'outil de lookup DNS et confirmez qu'ils correspondent à votre configuration. Vérifiez ensuite que votre registrar lock est actif, et placez sous surveillance quotidienne les domaines que vous ne pouvez pas vous permettre de perdre. La pratique plus large du suivi des enregistrements DNS dans le temps est traitée dans le guide sur ce qu'est la surveillance DNS.