NameSilo

Principales conclusions

• 5 666 domaines de hameçonnage confirmés chez un registraire comptant au total 5,25 millions d'enregistrements. Si le taux global de hameçonnage de NameSilo (environ 0,07 %) est inférieur à celui de NiceNIC, la concentration au sein de groupes identifiables de titulaires de noms de domaine révèle une réalité bien différente : 1 344 comptes de titulaires récidivistes sont à l'origine de la grande majorité des infrastructures de hameçonnage détectées.
• Le problème principal réside dans les groupes de déclarants récidivistes. Notre analyse a permis d'identifier 1 344 profils d'utilisateurs distincts, ayant chacun enregistré plusieurs domaines de hameçonnage confirmés. Ces comptes présentent des caractéristiques récurrentes : des coordonnées similaires, des moyens de paiement communs (déduits à partir des dates d'enregistrement) et des cycles d'expiration des domaines coordonnés, qui permettent de maximiser la durée d'exploitation tout en minimisant les coûts liés à la détection. Les contrôles de vérification des comptes mis en place par NameSilo sont insuffisants pour détecter ou empêcher ce type de pratique.
• 32,2 % des domaines analysés sont inactifs. Un taux de domaines inactifs supérieur à 30 % témoigne d’une stratégie d’enregistrement de type « churn-and-burn » (enregistrer, exploiter, abandonner) bien ancrée au sein de la clientèle de NameSilo. Les titulaires de noms de domaine déploient des infrastructures de hameçonnage, en tirent profit en quelques jours ou semaines, puis les abandonnent. Ce taux élevé de noms de domaine inactifs n’est pas le fruit du hasard : il s’agit de la marque distinctive d’un modèle économique abusif que la structure tarifaire de NameSilo rend viable financièrement.
• Des signalements d'abus ont été envoyés, mais les suppressions n'ont pas été effectuées. PhishDestroy et ses organisations partenaires ont transmis des signalements d'abus étayés concernant des centaines de domaines de hameçonnage enregistrés chez NameSilo. Les délais de réponse sont irréguliers et une part importante des domaines signalés restent actifs pendant plusieurs jours après la validation des signalements. Aucune mesure apparente n'a été prise au niveau des comptes à l'encontre des titulaires récidivistes.
• Cette enquête a donné lieu à une plainte en représailles sur Twitter. À la suite de la publication du rapport initial de NameSilo et de sa diffusion sur X, NameSilo a déposé une plainte auprès de Twitter, alléguant que le compte PhishDestroy avait enfreint les règles de la plateforme. L'équipe « Trust and Safety » de X a examiné la plainte et réactivé le compte, n'ayant constaté aucune infraction. Cette succession d'événements — un registraire se plaignant auprès d'une plateforme sociale afin de faire supprimer la publication d'un chercheur en sécurité — est documentée et archivée.
• Le fait d'être cotée en bourse n'implique pas pour autant une obligation de rendre des comptes. La cotation de NameSilo au NASDAQ (symbole boursier : URL) la soumet aux obligations d'information de la SEC et au contrôle des actionnaires. Malgré cela, l'utilisation abusive de domaines à des fins d'hameçonnage sur la plateforme s'est poursuivie sans relâche tout au long de la période d'enquête. Le référentiel de preuves est structuré de manière à faciliter les relations avec les investisseurs et la transmission des informations aux autorités de régulation, should des mesures en aval s'avèrent nécessaires.

Flux de détection en temps réel

Derniers domaines de hameçonnage NameSilo détectés par PhishDestroy. Mise à jour en continu.

Éléments de preuve et enquête connexe