L’État renforce sa lutte contre le cybersquattage

La présence en ligne des institutions publiques est confrontée à une menace croissante : le cybersquattage, une pratique délictueuse qui consiste à enregistrer des noms de domaine imitant ou reproduisant les signes identitaires de l’État.

Ces signes sont particulièrement exposés, dans la mesure où ils sont intrinsèquement attachés à l’État dans l’esprit du public et par conséquent vecteurs de confiance. Pour les protéger, la direction des Affaires juridiques (DAJ), via sa mission Appui au patrimoine immatériel de l’État (mission APIE), s’appuie sur un outil automatisé de détection de noms de domaine malveillants géré par un prestataire spécialisé.

Après une expérimentation menée à partir de 2021 dans le cadre d’un marché public de l’Agence nationale de sécurité des systèmes d’information (ANSSI), la DAJ a décidé de pérenniser le dispositif. Un nouveau marché de quatre ans a été notifié fin 2024.

Ce marché comprend deux volets : la surveillance de certains vocables parmi les noms de domaine nouvellement enregistrés et le blocage de sites internet malveillants.

Les vocables stratégiques sont identifiés par la DAJ en amont avec chaque ministère. Les termes surveillés peuvent désigner des sites internet publics notoires, comme « Service public », des politiques publiques, comme « Crit’Air » ou encore des services fournis par l’État comme « Parcoursup ».

Résultat : plus de 260 vocables ont été placés sous surveillance, entrainant près de 10 426 surveillances qui ont abouti à 2 920 demandes de blocage, avec un taux de réussite de 100 % de fermetures de sites web.

La mission APIE se charge de son côté des actions juridiques visant à la récupération ou à la suppression des noms de domaine. A cet égard, deux situations se distinguent :

• dans le cas de noms de domaine se terminant par l’extension « .fr », la mission APIE peut saisir l’AFNIC. Il existe trois types de procédures gratuites :
  • la levée d’anonymat : cette procédure permet, sur la base d’un droit existant, d’obtenir les informations relatives aux réservataires des noms de domaine litigieux (nom, adresse, courriel) lorsque ces derniers ont procédé à l’enregistrement sous anonymat ;
  • la procédure de vérification de l’éligibilité / de la joignabilité des réservataires : elle peut intervenir s’il existe un doute sur les coordonnées du titulaire ou s’il existe un doute sur son éligibilité (exemple : localisé hors UE). Cette procédure est intéressante, puisqu’en l’absence de réponse des réservataires dans les délais impartis par l’AFNIC, les noms de domaine sont supprimés et retombent dans le domaine public, ouvrant alors la possibilité de les récupérer s’ils ont un caractère stratégique ;
  • la procédure Syreli : elle s’engage par une plainte adressée directement à l’AFNIC pour demander la suppression ou le transfert de propriété d’un nom de domaine. Pour faire valoir cette procédure, il faut bénéficier de droits antérieurs (droit de propriété intellectuelle, nom de domaine, nom d’un service public, etc), démontrer l’absence de droit ou d’intérêt légitime sur les noms de domaine de la part des réservataires ainsi que la mauvaise foi des réservataires lors de l’enregistrement et lors de l’exploitation des noms de domaine.
• pour les noms de domaine relevant d’autres extensions en « .com » ou « .net », la mission APIE peut saisir l’Office mondial de la propriété intellectuelle (OMPI). Cette procédure dite URDP est coûteuse (1 500 USD) et reste donc relativement exceptionnelle. Elle reste limitée quant à sa mise en œuvre puisqu’il faut nécessairement justifier d’une marque enregistrée ou d’une marque notoire non enregistrée au sens de l’article 6 bis du Règlement (UE) 2017/1001 du 14 juin 2017 sur la marque de l'Union européenne (RMUE). A ce titre, la mission a réussi à obtenir de l’OMPI la reconnaissance de l’extension « .gouv.fr ». De manière analogue à la procédure Syreli, il convient de démontrer l’absence de droit ou d’intérêt légitime sur les noms de domaine ainsi que la mauvaise foi des réservataires. L’OMPI a ainsi reconnu que le nom de domaine « service-public.net » contrevenait aux droits antérieurs de l’Etat français, permettant ainsi à la DILA de le récupérer.

Enfin, en dehors des actions techniques et juridiques, il pourrait aussi être envisagé des poursuites sur le fondement de l’article 40 du code de procédure pénale à l’encontre des réservataires de noms de domaine litigieux. Cette procédure pourrait s’avérer utile pour faire sanctionner par exemple des réservataires malveillants récidivistes.

Le dispositif, en constante évolution, adapte régulièrement la liste des vocables surveillés et bénéficie d’améliorations techniques issues du retour d’expérience et du nouveau marché, afin de répondre au mieux aux besoins des ministères.