Le DNS hijacking (détournement DNS) consiste à modifier la façon dont un nom de domaine est résolu, pour envoyer ses visiteurs vers un serveur contrôlé par l'attaquant. Le site d'origine reste intact ; seule la destination de l'adresse change. Dans la plupart des cas documentés, l'attaquant passe par le compte chez le registrar ou chez l'hébergeur DNS. Le visiteur voit la bonne URL dans sa barre d'adresse, ce qui rend l'attaque efficace pour voler des identifiants, des paiements ou des emails.
Cet article décrit les cinq formes courantes, des cas réels sourcés, et les vérifications à faire sur votre propre domaine.
Quand un navigateur cherche votre-domaine.fr, la résolution suit une chaîne : le registre du .fr indique quels serveurs de noms (NS) font autorité pour le domaine, puis ces serveurs donnent l'adresse IP du site (enregistrement A) ou le serveur mail (MX). Un attaquant qui modifie un maillon de cette chaîne contrôle la destination.
Une fois la redirection en place, il peut :
- servir une copie du site qui collecte identifiants ou données de carte ;
- recevoir les emails du domaine en changeant le MX ;
- obtenir un certificat TLS valide pour le domaine, puisqu'il en contrôle la résolution ;
- intercepter puis relayer le trafic vers le vrai serveur, pour rester invisible.
| Type | Ce qui est modifié | Portée | Exemple |
|---|
| Compte registrar compromis | Les NS du domaine | Tout le domaine, pour tout le monde | eth.limo chez easyDNS, avril 2026 |
| Registrar ou registre compromis | Les NS de nombreux domaines | Plusieurs clients à la fois | Sea Turtle ; Name.com, octobre 2026 (cause non établie) |
| Zone modifiée chez l'hébergeur DNS | Les enregistrements A, CNAME, MX | Les noms visés | DNSpionage, 2018 |
| Résolveur ou routeur détourné | Les réponses reçues par certains utilisateurs | Un réseau, un FAI, une région | MyEtherWallet, 2018 (via BGP) |
| Sous-domaine oublié | Rien : le CNAME pointe vers une ressource libérée | Un sous-domaine | Subdomain takeover |
1. Le compte registrar compromis
Le registrar est l'entreprise chez qui vous avez acheté le domaine. Son espace client permet de changer les serveurs de noms. Un mot de passe réutilisé, un email de récupération piraté ou un support trop crédule suffisent. En avril 2026, l'attaquant d'eth.limo s'est fait passer pour un membre de l'équipe auprès d'easyDNS, a lancé une récupération de compte, puis a changé les NS du domaine.
2. Le registrar ou le registre lui-même compromis
Ici, la victime n'a commis aucune erreur. L'attaquant obtient un accès chez le registrar, chez un revendeur ou chez le registre, et modifie plusieurs domaines à la fois. C'est le scénario de Sea Turtle, et l'une des hypothèses dans l'affaire Name.com, que nous détaillons dans notre étude de cas sur le détournement Name.com d'octobre 2026.
3. La zone modifiée chez l'hébergeur DNS
Si vos DNS sont hébergés ailleurs que chez le registrar (Cloudflare, un hébergeur, une agence), le compte de cet hébergeur permet de changer l'enregistrement A du site ou le MX. Les NS restent identiques, ce qui rend la modification plus discrète.
4. Le résolveur ou le routeur détourné
L'attaquant ne touche pas au domaine. Il fausse les réponses reçues par une partie des internautes : routeur domestique dont les réglages DNS ont été modifiés, résolveur de FAI compromis, ou détournement des routes Internet (BGP) vers de faux serveurs DNS. Le propriétaire du domaine ne voit rien dans sa configuration.
5. Le sous-domaine oublié
Un sous-domaine pointe en CNAME vers un service cloud supprimé. Un tiers recrée la ressource à ce nom et récupère le sous-domaine. Aucun accès n'est volé, ce qui le distingue des autres formes. Voir notre article sur le subdomain takeover et les sous-domaines oubliés.
Des exemples réels, de 2018 à 2026
DNSpionage (2018)
Cisco Talos publie en novembre 2018 l'analyse d'une campagne qui a redirigé des domaines gouvernementaux et une entreprise privée au Liban et aux Émirats arabes unis. L'attaquant obtenait un certificat Let's Encrypt pour chaque domaine visé juste avant de le rediriger, pour que le cadenas s'affiche normalement.
Sea Turtle (2017-2019)
En avril 2019, Talos décrit une campagne commencée dès janvier 2017. Au moins 40 organisations dans 13 pays ont été compromises, surtout au Moyen-Orient et en Afrique du Nord : ministères, armées, services de renseignement, énergéticiens. Les attaquants visaient aussi des registrars et un registre, pour modifier les NS des cibles. Chaque détournement durait de quelques minutes à quelques jours, avec des TTL parfois réglés à une seconde. Ils obtenaient des certificats auprès d'autorités reconnues pour collecter identifiants et accès VPN.
Ces campagnes ont conduit l'agence américaine CISA à publier, le 22 janvier 2019, la directive d'urgence 19-01. Elle imposait aux administrations fédérales quatre actions : auditer leurs enregistrements DNS, changer les mots de passe des comptes DNS, activer l'authentification multifacteur et surveiller les logs Certificate Transparency. Ces quatre mesures restent la base pour toute organisation.
MyEtherWallet (avril 2018)
Le 24 avril 2018, des routes Internet vers des serveurs DNS d'Amazon Route 53 ont été détournées pendant environ deux heures. Les utilisateurs de certains réseaux recevaient une fausse adresse pour myetherwallet.com et arrivaient sur une copie. Environ 150 000 dollars d'ether ont été volés selon la presse. Amazon a indiqué que ses services n'avaient pas été piratés ; l'attaque portait sur le routage.
eth.limo (avril 2026)
Le compte chez le registrar easyDNS a été récupéré par usurpation d'identité, puis les NS ont été changés. Le domaine utilisait DNSSEC : l'attaquant n'ayant pas les clés de signature, la plupart des résolveurs ont rejeté ses réponses. Les utilisateurs ont vu une erreur au lieu du faux site, et l'équipe n'a constaté aucune victime.
Name.com (octobre 2026)
Dans la nuit du 30 au 31 octobre 2026, au moins 12 sites DeFi enregistrés chez Name.com ont redirigé vers des copies équipées d'un « wallet drainer ». Pertes estimées entre 138 000 et 202 000 dollars selon les sources. Name.com a reconnu 15 domaines clients détournés. Au 5 novembre 2026, l'origine exacte (registrar, revendeur ou comptes clients) n'était pas établie.
Détecter un détournement sur votre domaine
Vérifier les NS publiés par le registre
Interrogez directement un serveur du registre, sans passer par un cache :
dig NS votre-domaine.fr @d.nic.fr +norecurse
dig NS exemple.com @a.gtld-servers.net +norecurse
La section AUTHORITY doit lister vos serveurs de noms habituels. Un nom inconnu signale un changement chez le registrar.
Comparer les réponses de plusieurs résolveurs
dig +short A votre-domaine.fr @1.1.1.1
dig +short A votre-domaine.fr @8.8.8.8
dig +short A votre-domaine.fr @9.9.9.9
Les trois réponses doivent correspondre à l'IP de votre hébergeur. Une IP différente sur un seul résolveur peut venir d'un cache, mais elle mérite une vérification. Une IP inconnue partout signale une modification de votre zone. Notre outil DNS lookup fait la même vérification sans terminal.
Consulter les logs Certificate Transparency
Un attaquant qui sert une copie en HTTPS a besoin d'un certificat. Les autorités reconnues publient chaque certificat dans des journaux publics. Cherchez votre domaine sur crt.sh et vérifiez l'autorité émettrice et la date de chaque certificat récent. Un certificat d'une autorité que vous n'utilisez pas est un signal fort.
Lire les statuts du domaine
Le WHOIS ou le RDAP affiche les statuts EPP. clientTransferProhibited et clientUpdateProhibited indiquent un verrou posé par le registrar. Les statuts serverUpdateProhibited et serverTransferProhibited indiquent un verrou au niveau du registre. Ils apparaissent dans la réponse de tout outil WHOIS.
Protéger votre domaine
- Double authentification sur le compte registrar et sur le compte de l'hébergeur DNS. Vérifiez aussi l'adresse email de récupération : elle doit être sur un autre domaine que celui que vous protégez.
- Verrou de transfert activé chez le registrar (
clientTransferProhibited). Gratuit chez la plupart des registrars.
- Registry Lock pour les domaines critiques : Verisign le propose pour le .com via les registrars participants, l'AFNIC propose .FR Lock pour le .fr. Toute modification passe alors par une vérification hors ligne.
- DNSSEC : il fait échouer les réponses forgées par un résolveur détourné ou par un attaquant qui change vos NS sans pouvoir signer. Il ne protège pas d'un attaquant qui contrôle votre compte registrar et peut retirer l'enregistrement DS. Voir comment activer DNSSEC selon votre registrar.
- Peu de comptes, bien tenus : sachez qui a accès au registrar et à la zone DNS, retirez les anciens prestataires.
- Surveillance des changements : une alerte sur toute modification des NS, A ou MX réduit la fenêtre d'exposition de plusieurs heures à quelques minutes.
D'autres attaques DNS discrètes, comme l'empoisonnement de cache ou l'abus de sous-domaines, sont décrites dans notre article sur les attaques DNS silencieuses.
Domains Defender vous alerte quand un enregistrement DNS de vos domaines change (NS, A, MX, TXT) et quand la configuration DNSSEC ou le verrou de transfert se dégrade. Le plan Pro ajoute le suivi des logs Certificate Transparency et des sous-domaines détournables. Il signale le changement, il ne le bloque pas. Vous pouvez commencer par un audit gratuit de votre domaine.
Questions fréquentes
Quelle est la différence entre DNS hijacking et DNS spoofing ?
Le DNS hijacking modifie la configuration réelle (NS, zone, résolveur) pour rediriger le domaine. Le DNS spoofing, ou empoisonnement de cache, injecte une fausse réponse dans le cache d'un résolveur sans toucher à la configuration du domaine. Les deux mènent au même résultat pour le visiteur.
Comment savoir si mon DNS a été détourné ?
Comparez les NS publiés par le registre et l'IP renvoyée par plusieurs résolveurs à ce que vous avez configuré. Consultez aussi les certificats récents de votre domaine sur crt.sh. Une valeur inconnue sur l'un de ces trois points doit être expliquée.
HTTPS protège-t-il d'un détournement DNS ?
Pas toujours. Un attaquant qui contrôle la résolution de votre domaine peut obtenir un certificat valide, comme dans DNSpionage et Sea Turtle. Le cadenas s'affiche alors normalement.
DNSSEC suffit-il contre le DNS hijacking ?
Non. DNSSEC bloque les réponses forgées, mais un attaquant qui contrôle votre compte registrar peut modifier ou retirer la signature. Il faut le combiner avec la double authentification, un verrou et une surveillance des changements.