Groupe NiceNIC International

Principales conclusions

• Un domaine sur seize est un site de hameçonnage. Notre analyse complète de 351 701 domaines enregistrés auprès de NiceNIC a permis d'identifier 22 535 pages de hameçonnage confirmées, soit un taux de contamination de 6,4 %. Pour un registraire de cette envergure, ce chiffre est exceptionnel ; la moyenne du secteur se situe bien en dessous de 0,5 %.
• Les plateformes de cryptomonnaies constituent la cible principale. À lui seul, Coinbase a fait l'objet de 3 798 domaines usurpés, tandis que Ledger (1 317) et Kraken (1 214) ont également été fortement ciblés. Ce schéma correspond à des opérations organisées de collecte de phrases de récupération, dans le cadre desquelles des domaines sont enregistrés en masse, exploités brièvement, puis transférés vers une nouvelle infrastructure.
• Les pics d'enregistrement révèlent une activité coordonnée de la part des acteurs. Le 16 juin 2026, 1 382 domaines de hameçonnage ont été enregistrés en une seule journée, soit 14,9 fois la moyenne quotidienne. Des pics de cette ampleur ne surviennent pas de manière spontanée ; ils indiquent l'existence d'un petit nombre d'acteurs disposant de relations directes avec des bureaux d'enregistrement, de moyens de paiement pré-approuvés et de processus de provisionnement automatisés.
• Le .com domine, mais les TLD génériques servent de solution de repli. Sur les 351 701 domaines analysés, 194 812 (55,4 %) utilisent l'extension .com. Cependant, la gestion par NiceNIC des extensions .vip (27 121 domaines) et .icu (16 517 domaines) offre des canaux d'enregistrement en masse à faible coût que les acteurs malveillants exploitent massivement lorsque les noms de domaine .com sont plus difficiles à obtenir rapidement.
• Il n'existe aucune structure permettant de répondre aux cas de maltraitance. PhishDestroy a transmis des centaines de signalements d'abus à NiceNIC via différents canaux de signalement. Les taux de suppression restent proches de zéro pour les infrastructures de hameçonnage actives. Les domaines faisant l'objet d'avis de suppression sont souvent réactivés dans les 24 à 48 heures sous le même compte de registraire, ce qui indique qu'aucune mesure coercitive n'est prise au niveau du compte.
• L'ensemble des données est archivé et accessible au public. Chaque domaine utilisé à des fins de hameçonnage, chaque date d'enregistrement, chaque marque ciblée et chaque signalement d'abus est consigné dans le référentiel public des preuves. Les données sont structurées de manière à faciliter leur prise en charge par les forces de l'ordre et leur examen par l'ICANN dans le cadre de la conformité.

Flux de détection en temps réel

Derniers domaines de hameçonnage NiceNIC détectés par PhishDestroy. Mise à jour en continu.

Éléments de preuve et enquête connexe