Takedown d'un site frauduleux : plainte et signalements

Un client vous signale un site qui reprend votre logo, vos couleurs et parfois votre nom de domaine à une lettre près. Ce scénario, fréquent, se traite comme un incident de sécurité : il faut confirmer, préserver les preuves, protéger vos clients et vos équipes, puis obtenir le takedown d'un site frauduleux et, si nécessaire, déposer plainte. Cet article suit ces étapes dans l'ordre, du point de vue de la cybersécurité.

À retenir : un signalement à Google ou à Microsoft fait apparaître un avertissement dans les navigateurs, mais ne supprime pas le site. Pour le faire tomber, il faut agir en parallèle auprès de l'hébergeur, du registrar et des plateformes concernées.

1. Qualifier l'alerte

Selon les cas, le site poursuit des buts différents, et la réponse varie.

Vérifiez d'abord ce qui est réellement en ligne, sans exposer votre poste de travail : utilisez une machine virtuelle ou un poste isolé, sans session ouverte sur vos services, et ne saisissez jamais d'identifiants réels sur le site.

2. Préserver les preuves avant de signaler

Une fois le site supprimé, les preuves disparaissent : documentez tout tout de suite. Selon les recommandations de Red Points, la qualité du dossier accélère le traitement par les hébergeurs, les registrars et les autorités. Rassemblez :

• l'adresse complète (URL) de chaque page frauduleuse, avec des captures d'écran pleine page horodatées (accueil, formulaire de connexion, page de paiement) ;
• les preuves de copie de votre marque : logo, textes, images, éléments graphiques ;
• les données d'enregistrement du domaine (WHOIS ou RDAP), l'adresse IP, l'hébergeur et le certificat TLS ;
• le parcours des victimes : e-mail, SMS, publicité ou réseau social par lequel elles sont arrivées, en conservant les messages d'origine, comme le rappelle aussi Cybermalveillance.gouv.fr ;
• les signalements de clients, avec date, heure et éventuel préjudice ;
• les justificatifs de vos droits : dépôt de marque, nom de domaine légitime.

Si vous envisagez une action judiciaire, faire dresser un constat par un commissaire de justice (ancien huissier) donne à ces éléments une valeur probante renforcée. Pour l'analyse technique, l'outil OSINT sur domaine de ForenShield aide à recueillir les informations d'enregistrement, l'analyseur de certificats HTTP permet d'examiner le certificat, et l'analyseur d'e-mails décortique les en-têtes du message de diffusion. Notre guide sur l'analyse d'un e-mail de phishing détaille cette démarche.

3. Contenir l'impact en interne

Pendant que le dossier se construit, protégez vos utilisateurs :

• Bloquez le domaine et l'adresse IP sur vos passerelles de messagerie, proxys, filtres DNS et outils de protection des postes.
• Surveillez vos journaux d'authentification : si des salariés ou des clients ont saisi leurs identifiants sur le faux site, cherchez des connexions inhabituelles sur les comptes concernés, et forcez le changement de mot de passe et la révocation des sessions.
• Prévenez vos équipes support pour qu'elles sachent reconnaître les victimes et orienter les clients.
• Vérifiez vos protections e-mail : des enregistrements SPF, DKIM et une politique DMARC stricte empêchent l'usurpation directe de votre domaine dans les messages, même s'ils ne bloquent pas les domaines « sosies ».

4. Obtenir le takedown d'un site frauduleux : signaler en parallèle

Il n'y a pas de délai garanti : selon Red Points, un hébergeur réactif peut suspendre un site en quelques heures après un signalement valide, alors qu'un registrar peut mettre plus de temps. Il faut donc multiplier les canaux.

1. L'hébergeur. Identifiez-le grâce à l'adresse IP, puis utilisez son formulaire ou son adresse d'abus (« abuse »), en joignant votre dossier de preuves.
2. Le registrar du nom de domaine. Identifié via WHOIS ou RDAP, il peut suspendre le domaine sur la base de ses conditions d'utilisation.
3. Les navigateurs et les moteurs de recherche. Signalez le site à Google Safe Browsing et à Microsoft : les avertissements protègent vos clients pendant que le takedown est en cours.
4. Les plateformes de diffusion. Si le site est promu par un réseau social, une publicité ou une place de marché, signalez-le aussi à chacune.
5. Les dispositifs français. Cybermalveillance.gouv.fr oriente vers Signal Spam pour les e-mails, la plateforme 33700 pour les SMS et Phishing Initiative pour les sites frauduleux. La plateforme Pharos permet aussi de signaler des contenus illicites en ligne.

Notez chaque signalement (date, canal, référence de ticket) et relancez après 24 à 48 heures en cas de silence. Une fois le site retiré, vérifiez régulièrement qu'il ne réapparaît pas sous un autre nom de domaine ou chez un autre hébergeur : c'est fréquent.

5. Le dépôt de plainte

Un signalement technique ne remplace pas une plainte. Elle établit les faits, permet une enquête et sert de base à d'éventuelles poursuites ou à des demandes d'indemnisation.

• Pour une entreprise, la plateforme de plainte en ligne THESEE est réservée aux particuliers majeurs : les professionnels doivent se rendre en commissariat ou en brigade de gendarmerie. Vous pouvez aussi écrire au procureur de la République.
• Préparez un dossier structuré : chronologie, captures et journaux, éléments d'identification du domaine et de l'hébergeur, nombre et coordonnées des victimes connues, estimation du préjudice financier et d'image.
• Les qualifications possibles dépendent des faits : l'usurpation d'identité numérique est prévue par l'article 226-4-1 du Code pénal, qui prévoit un an d'emprisonnement et 15 000 euros d'amende, y compris lorsqu'elle est commise sur un réseau de communication au public en ligne. Selon Légipresse, cette infraction s'applique aux personnes morales. Selon le cas, l'escroquerie ou la contrefaçon de marque peuvent aussi être retenues : faites qualifier les faits par un avocat en propriété intellectuelle ou en droit pénal.

6. Récupérer ou neutraliser le nom de domaine

Pour un nom de domaine qui reprend votre marque, il existe des procédures extrajudiciaires plus rapides qu'un procès :

• Syreli, pour les domaines en .fr, gérée par l'AFNIC. Elle peut s'appuyer sur d'autres droits que la marque, comme une dénomination sociale ou un nom commercial. Selon un cabinet d'avocats, l'AFNIC rend sa décision en deux à trois mois environ.
• UDRP, pour les domaines en .com et autres extensions génériques, administrée notamment par le Centre d'arbitrage et de médiation de l'OMPI.

Ces procédures sont adaptées au cybersquatting ; face à un phishing actif, le signalement à l'hébergeur et au registrar reste le levier le plus rapide.

7. Prévenir la prochaine attaque

• Surveillez les certificats émis pour des noms proches du vôtre grâce aux journaux publics de transparence des certificats, consultables par exemple via crt.sh.
• Enregistrez les variantes évidentes de votre nom de domaine (fautes de frappe, autres extensions) et activez le verrouillage chez votre registrar.
• Informez vos clients par vos canaux officiels : indiquez l'adresse exacte de votre site et les canaux par lesquels vous ne demanderez jamais de mot de passe.
• Formez vos équipes : SensCyber est un programme d'e-sensibilisation gratuit proposé par Cybermalveillance.gouv.fr.

Sources

• Cybermalveillance.gouv.fr : fiche réflexe hameçonnage
• Ma Sécurité (ministère de l'Intérieur) : plainte en ligne THESEE
• Légifrance : article 226-4-1 du Code pénal
• Légipresse : usurpation d'identité numérique et personnes morales
• AFNIC : procédures alternatives de résolution des litiges (Syreli)
• OMPI : litiges de noms de domaine (UDRP)
• Red Points : signaler un site de phishing
• Google Safe Browsing : signaler une page de phishing
• Microsoft : signaler un site dangereux