Comment le protocole DMARC permet de détecter les stratagèmes organisés d'abus du protocole SPF
Mise à jour du 17 juillet 2026: nous avons ajouté une section consacrée aux six enregistrements SPF abusifs les plus courants que nous avons relevés, ainsi qu'aux méthodes permettant de les détecter.
Dans cet article, Steven Iacoviello, notre spécialiste de la prestation de services, explique comment les cybercriminels exploitent les enregistrements CNAME orphelins et les erreurs dans les entrées DNS pour détourner des domaines à des fins d'hameçonnage.
Dans le cadre de notre travail quotidien visant à aider les utilisateurs à déployer et à gérer DMARC, nous identifions des domaines utilisés pour envoyer des e-mails frauduleux, bien qu’ils soient conformes à DMARC. Ces e-mails sont authentifiés par SPF, et la plupart des enregistrements SPF associés proviennent de CNAME malveillants. Or, le propriétaire du domaine n’a pas conscience que ses enregistrements SPF ont été compromis.
Le coupable : les enregistrements CNAME DNS orphelins
Nous constatons que diverses organisations sont touchées, et aucun secteur ne semble être épargné. Tout le monde est visé, les cybercriminels tirant parti des enregistrements CNAME DNS orphelins et des fautes de frappe dans les enregistrements DNS de type texte. De nombreux domaines présentant un problème de DNS orphelin partagent les mêmes enregistrements SPF reçus via les CNAME et semblent faire partie d'un stratagème organisé d'abus de CNAME.
Des acteurs malveillants identifient les enregistrements CNAME DNS non résolus et ciblent plusieurs domaines en y ajoutant un enregistrement SPF malveillant contenant des inclusions et des adresses IP afin d'envoyer des e-mails frauduleux, mais authentifiés.
Exploitation du typosquatting et des domaines ressemblants
Certains des enregistrements CNAME qui partagent le même enregistrement SPF corrompu proviennent d'un domaine similaire qui a peut-être été ajouté par erreur par le propriétaire du domaine. Les registres publics montrent que les pirates enregistrent ces domaines « typosquattés » après que le CNAME mal orthographié a été ajouté au DNS.
Même les fautes de frappe dans les masques CIDR (Classless Inter-Domain Routing) sont visées, par exemple lorsqu'un utilisateur souhaite saisir « /32 » mais tape par erreur « /3 ». Dans ce cas, le chiffre inférieur autorise l'attribution de millions d'adresses IP, contre une seule avec la saisie « /32 ». Cela expose l'enregistrement SPF à des abus massifs.
Lorsque des cybercriminels repèrent ces erreurs, ils se mettent à envoyer de faux e-mails authentifiés par SPF. Nous pensons que ces cybercriminels analysent les enregistrements DNS à la recherche de fautes de frappe à exploiter, puis enregistrent des domaines à cette fin. Une fois cela fait, il ne leur faut que quelques semaines pour repérer les fautes de frappe dans les enregistrements DNS et lancer leurs campagnes de phishing.
Les points communs que l'on observe chez les domaines piratés
Tous les domaines identifiés comme faisant l'objet d'une utilisation abusive des enregistrements CNAME présentent des caractéristiques similaires. Certains de ces enregistrements CNAME renvoient vers les mêmes enregistrements SPF, qui changent fréquemment en raison de la rotation des adresses IP et/ou des inclusions.
Bien qu'il puisse être difficile d'identifier un enregistrement CNAME malveillant, il est possible de l'évaluer en examinant l'historique de ses enregistrements SPF. Même si plusieurs domaines sans lien apparent semblent n'avoir rien en commun, vous pouvez identifier un enregistrement CNAME malveillant en vérifiant s'ils partagent tous exactement les mêmes enregistrements SPF.
Nous avons également constaté que les cybercriminels mettent continuellement à jour ces enregistrements SPF afin de remplacer les adresses IP mal réputées par de nouvelles, ce qui leur permet de contourner l'authentification et de donner l'impression d'utiliser une infrastructure de messagerie légitime.
Six façons de détecter et de mettre fin aux abus liés aux enregistrements CNAME
- Configurez DMARC, SPF et DKIM.
- Surveillez vos données et vérifiez s'il y a des enregistrements CNAME inutilisés dans votre DNS.
- Configurez des alertes dans votre compte dmarcian via Alert Central pour être averti des modifications apportées au DNS.
- Consultez vos sources dans notre visualiseur de sources
- Consultez les détails des e-mails envoyés dans la fenêtre de détail.
- Suivez l'évolution de vos modifications DNS grâce à notre outil Chronologie.
- Vérifiez la présence des enregistrements SPF frauduleux ci-dessous à l'aide de notre outil SPF Surveyor.
Les 6 principaux enregistrements SPF abusifs que nous constatons
Si vous vérifiez l'enregistrement SPF d'un sous-domaine et que celui-ci renvoie vers l'un des enregistrements SPF malveillants suivants, il y a de fortes chances que vous soyez confronté à un problème de DNS « dangling » et qu'un pirate abuse de votre domaine en envoyant des e-mails sans votre autorisation. Gardez à l'esprit que les domaines figurant dans ces enregistrements SPF peuvent présenter un risque si vous les consultez.
- v=spf1 include:workdiagnostocs.uk.com include:phoenixsuburb.me.uk -all
- v=spf1 include:greenmountainmayhem.com include:_spf.xxxxxx.com ?all
- v=spf1 include:glorywinner.com include:notserd.live include:marketerpoolish.us.org include:basenewss.com include:kqcsport.com include:vejday.com include:news-latimes.com include:www-test-lacoste.com include:speedsmalse.info include:libomail.com -all
- v=spf1 include:dasrock.com include:paulburleson.com include:verdayinc.com include:trecaz.com include:haroldmoores.com include:marthavillada.com -all
- v=spf1 include:_spf.mx2zoho.com include:spf.protection.xxxxxx.com -all
- v=spf1 include:android.org.nz -all
Depuis mai 2026, nous avons constaté une augmentation de 125 % des abus liés aux enregistrements DNS « dangling », et voici les six enregistrements SPF les plus utilisés. Il semble que les attaquants réutilisent ces enregistrements SPF abusifs. L’une des façons dont ces enregistrements SPF peuvent apparaître dans l’enregistrement SPF de votre sous-domaine consiste à introduire une faute de frappe dans votre entrée DNS ; par la suite, un attaquant repère cette faute de frappe et achète le domaine correspondant. Le fait de ne pas supprimer les anciennes entrées DNS est un autre moyen pour un attaquant de prendre le contrôle d’un domaine. Si vous constatez la présence d’un de ces enregistrements SPF malveillants pour l’un de vos sous-domaines, supprimez l’enregistrement CNAME auquel il renvoie.
Si vous êtes client chez dmarcian, vous pouvez vous connecter à votre compte et vérifier votre enregistrement SPF à l'aide de notre outil SPF Surveyor amélioré. Vous pouvez également configurer des notifications via Alert Central et surveiller vos enregistrements SPF depuis notre DNS Timeline.
En surveillant régulièrement votre compte dmarcian, vous pouvez détecter ces campagnes SPF malveillantes avant même qu'elles ne commencent. Nous sommes là pour aider les utilisateurs à comprendre et à mettre en œuvre DMARC en toute sécurité ; n'hésitez donc pas à nous contacter si vous avez des questions concernant les enregistrements CNAME ou nos services d'assistance.
Vous souhaitez poursuivre la conversation ? Rendez-vous sur le Forum dmarcian.
