Qu'est-ce que la manipulation d'URL (réécriture d'URL) ? Comment les pirates détournent des liens fiables pour dissimuler des tentatives d'hameçonnage

Vous recevez un e-mail contenant un lien qui a déjà été analysé. Vous passez la souris sur l'adresse Web, et celle-ci affiche un domaine fiable provenant d'un fournisseur de sécurité de confiance, tel que Microsoft Safe Links. Comme les outils de sécurité de votre entreprise ont vérifié et approuvé ce lien, vous cliquez dessus sans hésiter. Quelques secondes plus tard, vous vous retrouvez sur une page de connexion très réaliste, conçue pour voler vos identifiants.

Pour bien comprendre cette menace, il faut distinguer deux concepts liés : la manipulation d'URL et la réécriture d'URL. La manipulation d'URL est un terme générique qui désigne toute technique visant à modifier, dissimuler ou exploiter un lien dans le but de tromper les utilisateurs ou les outils de sécurité. La réécriture d'URL est un processus spécifique relevant de cette catégorie.

Sur le plan de la sécurité, les passerelles de sécurité des messageries d'entreprise réécrivent les liens contenus dans les e-mails entrants afin d'assurer une protection en temps réel. Les pirates ont toutefois trouvé le moyen d'exploiter ce mécanisme précis, transformant ainsi les fonctionnalités de sécurité en paravents convaincants pour dissimuler des contenus malveillants.

Qu'est-ce que la manipulation d'URL ?

La « manipulation d'URL » est un terme générique désignant toute technique malveillante ou trompeuse visant à modifier, dissimuler ou détourner une adresse Web afin de tromper un utilisateur ou de contourner les filtres de sécurité automatisés. Les pirates s'en servent pour faire passer des sites Web malveillants pour des environnements sûrs et fiables.

Étant donné que les professionnels de la sécurité utilisent cette expression dans plusieurs contextes différents, il est utile de distinguer trois cas de figure distincts :

• Réécriture défensive des URL : les logiciels de sécurité modifient les liens contenus dans les e-mails au moment de leur livraison, en les intégrant dans un domaine du fournisseur afin de permettre des vérifications en temps réel lorsque l'utilisateur clique dessus.
• Abus de réécriture d'URL : les cybercriminels piratent des comptes ou associent plusieurs fournisseurs de solutions de sécurité afin de faire passer des liens de hameçonnage dangereux pour des liens sûrs.
• Falsification de paramètres Web : attaque ciblant les développeurs, dans laquelle un attaquant modifie manuellement les paramètres dans la barre d'adresse d'un navigateur Web afin de contourner les contrôles d'autorisation. L'Open Web Application Security Project (OWASP) classe cette attaque sous le nom de « falsification de paramètres Web » ou « référence directe à un objet non sécurisée » (IDOR).

Si vous souhaitez approfondir vos connaissances sur le fonctionnement de base des liens, consultez notre guide consacré au « phishing par URL ». La suite de cet article explique comment les cybercriminels exploitent les systèmes d'encapsulation des liens dans les e-mails.

Qu'est-ce que la réécriture d'URL (et que sont les liens sécurisés) ?

La réécriture d'URL est un mécanisme automatisé de protection des e-mails qui remplace les liens d'origine contenus dans les messages entrants par des URL modifiées redirigeant vers le serveur proxy d'un éditeur de solutions de sécurité. Les principaux éditeurs de solutions de sécurité, notamment Microsoft (Safe Links), Proofpoint (URL Defense), Mimecast, INKY, Sophos, Barracuda, Cisco, Trend Micro, EdgePilot et Libraesva, utilisent ce modèle de « renvoi de liens » pour protéger les boîtes de réception des entreprises.

Lorsqu'un e-mail arrive, la passerelle de sécurité réécrit toutes les adresses Web présentes dans le corps du message. Lorsqu'un destinataire clique sur le lien modifié, son navigateur est d'abord redirigé vers la passerelle du fournisseur. Celle-ci analyse la page Web cible en temps réel et redirige le navigateur si la page est sûre. Si la page cible est malveillante, la passerelle bloque l'accès.

Fonctionnement de la réécriture défensive d'URL : la passerelle de sécurité vérifie la destination au moment du clic, et pas seulement lors de la livraison.

Cette vérification au moment du clic est nécessaire car les cybercriminels modifient fréquemment le comportement des sites web après leur mise en ligne. Un lien peut renvoyer vers une page web tout à fait inoffensive lorsque l'e-mail arrive dans votre boîte de réception à 9 h. À 14 h, ce même lien peut toutefois rediriger vers un site malveillant destiné à récupérer vos identifiants.

Le fournisseur de solutions de sécurité Barracuda a indiqué que son moteur LinkProtect analyse plus de 10 millions de requêtes de clic chaque semaine. Environ 1 % des liens analysés s'avèrent malveillants au moment du clic plutôt qu'au moment de l'envoi.

Techniques classiques de manipulation d'URL

Avant d'examiner comment les pirates exploitent les outils de sécurité, il convient de passer en revue les tactiques classiques de manipulation des liens qui ont ouvert la voie à ces pratiques.

Attaques par homographes via Punycode et IDN

Les noms de domaine internationalisés (IDN) permettent d'utiliser des caractères non ASCII dans les adresses Web. Les pirates utilisent l'encodage Punycode pour enregistrer des domaines contenant des caractères étrangers qui semblent visuellement identiques aux lettres latines. Un pirate peut par exemple enregistrer un domaine en remplaçant le « a » latin par un « а » cyrillique. Pour un lecteur, le domaine semble identique à un véritable nom de marque, mais le navigateur redirige l'adresse vers un serveur complètement différent.

Le « typosquatting » et la tromperie par le texte d'affichage

Le « typosquatting » exploite les fautes de frappe courantes, telles que les lettres omises, les tirets superflus ou les domaines de premier niveau intervertis, comme « .co » au lieu de « .com ». Les pirates associent souvent le typosquatting à des astuces liées au texte d'affichage HTML. Un e-mail peut afficher un texte inoffensif tel que « https://yourbank.com », tandis que l'attribut « href » du code HTML redirige en réalité l'utilisateur vers un site malveillant. Pour en savoir plus sur ces tactiques, consultez notre guide détaillé consacré au typosquatting.

Raccourcisseurs d'URL en cascade et redirections ouvertes

Les cybercriminels superposent souvent plusieurs services de raccourcissement d’URL les uns aux autres. Le fait de masquer la cible finale derrière plusieurs liens courts permet de dissimuler la destination à des vérifications de réputation élémentaires. De même, les attaquants exploitent les redirections ouvertes sur des applications web légitimes. En ajoutant un paramètre de destination au script de redirection d’un domaine de confiance, le lien initial pointe vers un site réputé, mais redirige immédiatement l’utilisateur vers un hôte malveillant.

Une astuce similaire exploite la manière dont les navigateurs analysent les identifiants intégrés dans une URL. Tout ce qui précède le symbole @ est considéré comme des informations de connexion, et non comme le domaine de destination. Ainsi, un lien tel que https://[email protected] peut donner l'impression de renvoyer vers la marque de confiance, alors qu'il redirige en réalité le visiteur vers malicious-domain.com.

Falsification des paramètres d'une application web (OWASP)

En matière de sécurité des applications web, la manipulation des URL prend une forme différente. Les utilisateurs modifient manuellement les paramètres de requête ou la structure des répertoires dans la barre d'adresse de leur navigateur afin d'accéder à des enregistrements non autorisés. Bien que ce type de faille soit critique pour la sécurité des applications web, il implique une manipulation directe du navigateur plutôt qu'une ingénierie sociale par e-mail.

Comment les pirates exploitent la réécriture d'URL à des fins malveillantes (2024-2026)

L'évolution la plus préoccupante en matière de sécurité des liens réside dans la manière dont les attaquants exploitent désormais la réécriture défensive d'URL comme technique de contournement. Au lieu d'éviter les enveloppes de domaine des fournisseurs, les acteurs malveillants les recherchent activement afin de donner une apparence légitime à leurs messages malveillants.

La découverte : compromission de comptes et failles dans les listes d'autorisation

Au milieu de l'année 2024, des chercheurs en sécurité de Perception Point ont identifié des campagnes dans lesquelles des pirates avaient compromis des comptes Microsoft 365 légitimes protégés par une réécriture automatique d'URL. Les pirates envoyaient un lien inoffensif depuis le compte compromis vers leur propre adresse, permettant ainsi à l'outil de sécurité de réécrire l'adresse en une URL de fournisseur de confiance. Une fois en possession du lien réécrit, ils modifiaient la destination finale pour qu'elle pointe vers un site de hameçonnage malveillant, puis diffusaient ce lien de confiance auprès des organisations ciblées.

Cette tactique exploite les failles des listes blanches. Certaines passerelles de sécurité de messagerie considèrent automatiquement comme fiables les liens qui comportent leur propre préfixe de domaine. Comme le lien semble provenir d'un fournisseur de sécurité interne, les filtres en aval omettent souvent de procéder à une nouvelle analyse de l'adresse sous-jacente.

Campagnes avérées : réécriture à double jeu et utilisation abusive de la marque

Des chercheurs en sécurité ont recensé plusieurs campagnes exploitant les failles de l'infrastructure de mise en ligne des liens :

• Attaque par double réécriture : des chercheurs ont mis en évidence des attaques combinant les techniques de réécriture de Proofpoint et d'INKY. L'e-mail utilisait un leurre SharePoint et un CAPTCHA pour empêcher les scanners automatisés d'analyser la page de destination avant de récupérer les identifiants des utilisateurs.
• Abus du « Mimecast Wrapper » : les pirates ont acheminé des liens de hameçonnage via l'infrastructure de réécriture de Mimecast afin de dissimuler les serveurs de destination qui récupéraient les identifiants de connexion des entreprises.
• Usurpation d'identité de l'IRS : des cybercriminels se sont fait passer pour l'IRS et ID.me à l'aide de liens modifiés par Sophos, en utilisant le domaine de ce fournisseur de solutions de sécurité pour échapper à la vigilance des utilisateurs.

Utiliser les outils de sécurité contre les victimes : la persistance OAuth

Une étude publiée par Abnormal Security fin 2024 a démontré comment la manipulation de liens permettait d’obtenir un accès persistant, au-delà du simple vol de mot de passe. Les pirates ont compromis un compte M365 et généré un lien modifié via la passerelle de messagerie de l’organisation. Ils ont ensuite utilisé ce lien « de confiance » dans le cadre d’une campagne de spear-phishing se faisant passer pour une alerte de sécurité officielle de Microsoft.

Lorsque les destinataires cliquaient sur le lien, ils devaient remplir un CAPTCHA et étaient invités à accorder des autorisations à une application OAuth malveillante. Le jeton OAuth permettait aux attaquants d’accéder en permanence à la boîte de réception de la victime, en contournant les réinitialisations de mot de passe ultérieures et les contrôles standard d’authentification multifactorielle. Cette technique de persistance est un facteur de plus en plus déterminant dans les attaques de type « Business Email Compromise » visant les entreprises.

L'escalade de 2025-2026 : chaînes de redirection multi-fournisseurs

Entre fin 2025 et début 2026, les recherches menées par LevelBlue SpiderLabs ont révélé que les cybercriminels avaient fait évoluer ces techniques pour en faire des chaînes de redirection impliquant plusieurs fournisseurs. Les plateformes modernes de « phishing-as-a-service », telles que Tycoon2FA et Sneaky2FA, mettent en place des chemins de redirection complexes qui passent successivement par trois, quatre ou cinq fournisseurs de solutions de sécurité différents.

Ces plateformes fonctionnent comme des kits de type « Adversary-in-the-Middle » (AiTM). Au lieu de se contenter de capturer des mots de passe statiques, elles se font passer pour un intermédiaire lors de sessions d'authentification en direct et en temps réel, interceptant ainsi les cookies de session afin de contourner l'authentification multifactorielle (MFA) standard.

LevelBlue SpiderLabs a recensé une campagne Tycoon2FA comportant un lien unique de plus de 1 200 caractères. L'adresse sous-jacente était acheminée successivement via cinq domaines de fournisseurs distincts : Libraesva → Sophos → INKY → EdgePilot → Barracuda. L'e-mail d'appât se présentait sous la forme d'une notification de signature de document Microsoft. Après avoir franchi un CAPTCHA destiné à filtrer les scanners automatisés, les victimes étaient redirigées vers une fausse page de connexion Microsoft conçue pour récupérer leurs identifiants.

La chaîne Tycoon2FA documentée : cinq domaines de fournisseurs de confiance se succédant avant la barrière CAPTCHA et la fausse page de connexion. (Source : LevelBlue SpiderLabs)

De même, des rapports émanant d’agrégateurs de sécurité tels que Paubox, qui suivent les recherches menées par TechRadar et GBHackers, ont mis en évidence des campagnes Sneaky2FA utilisant des chaînes à trois niveaux (Barracuda → Sophos → Cisco) diffusées via des pièces jointes HTML. Selon des estimations secondaires, ces campagnes auraient atteint des dizaines de milliers de boîtes de réception d’entreprises. Ces chaînes à plusieurs sauts réussissent parce que de nombreux filtres de sécurité n’inspectent que le premier ou le dernier domaine d’une séquence de redirection, sans parvenir à tracer tous les sauts intermédiaires.

Comment repérer une URL manipulée ou réécrite de manière suspecte

Les utilisateurs finaux ont besoin de conseils simples et pratiques pour évaluer les liens modifiés avant de cliquer dessus. Utilisez cette liste de contrôle pour une vérification rapide :

• Vérifiez l'adresse complète : passez la souris sur le lien pour afficher l'adresse complète avant de cliquer. Si vous souhaitez vérifier un lien suspect en toute sécurité, testez-le à l'aide d'un outil de détection de liens de hameçonnage.
• Méfiez-vous des imbrications excessives : soyez vigilant face aux liens contenant plusieurs adresses Web ou des paramètres d'URL répétés tels que url=, redirect= ou target=.
• Méfiez-vous des demandes de vérification : les messages prétendant qu'un lien a été vérifié ou bloqué et exigeant que vous cliquiez pour effectuer une vérification manuelle constituent des techniques d'hameçonnage courantes.
• Tenir compte des limites des domaines de redirection : un lien affichant un domaine de fournisseur tel que safelinks.protection.outlook.com indique que le message est passé par une passerelle de sécurité de messagerie, mais cela ne garantit pas que la destination reste sûre.

Pour obtenir des conseils plus généraux sur la manière d'évaluer les messages suspects, consultez notre guide intitulé « Qu'est-ce qu'un lien de hameçonnage? ».

Comment se protéger contre les tactiques d'attaque par manipulation d'URL

Pour protéger les réseaux d'entreprise contre la manipulation multicouche des liaisons, il est nécessaire de combiner la mise à jour des mécanismes d'inspection des liaisons avec une protection rigoureuse de l'identité et des normes d'authentification des e-mails.

1. Vérifier l'intégralité des chemins de redirection : configurez les passerelles de messagerie et les outils de sécurité des terminaux afin qu'ils suivent chaque redirection d'une chaîne de liens. Les outils d'analyse de sécurité doivent évaluer la page de destination finale plutôt que de s'arrêter au domaine de confiance initial.
2. Supprimer la confiance implicite pour les domaines « wrapper » : veillez à ce que les filtres de sécurité internes analysent à nouveau les liens, même s'ils comportent un domaine « wrapper » fourni par votre propre fournisseur de sécurité de messagerie.
3. Mettez en place une authentification résistante au phishing : les kits de phishing avancés, tels que Tycoon2FA, interceptent les jetons de session lors des connexions en temps réel. Protégez votre entreprise en déployant des clés matérielles FIDO2, des passkeys ou l'authentification par correspondance de chiffres afin de réduire la fatigue liée à l'authentification multifactorielle (MFA) et de prévenir le détournement de session.
4. Mettre à jour la formation à la sensibilisation à la sécurité : expliquer au personnel que les liens masqués ne constituent pas automatiquement une garantie de sécurité. Former les employés à signaler immédiatement les redirections à plusieurs étapes et les demandes inattendues d'identifiants.
5. Appliquez une authentification stricte des e-mails : mettez en œuvre le Sender Policy Framework (SPF), le DomainKeys Identified Mail (DKIM) et le DMARC sur tous les domaines de votre organisation. Bien que le DMARC n’empêche pas les mécanismes de redirection par des tiers, l’application d’une politique « p=reject » empêche les attaquants d’usurper votre nom de domaine exact pour envoyer leurs premiers messages de hameçonnage. Utilisez un outil d’analyse DMARC dédié pour surveiller les sources d’envoi et garantir une conformité stricte en toute sécurité.

Conclusion

La réécriture défensive d'URL reste un outil important pour détecter les menaces au moment du clic, mais les attaquants ont appris à se servir de cette couche de protection comme d'un déguisement. En enchaînant plusieurs liens provenant de fournisseurs de sécurité, les campagnes modernes de type « adversaire intermédiaire » contournent les filtres de base et incitent les utilisateurs à leur céder l'accès.

La protection de votre organisation nécessite une approche de sécurité à plusieurs niveaux. Vérifiez l'intégralité des chemins de redirection, déployez un système d'authentification résistant au phishing et bloquez les chemins de livraison provenant de domaines usurpés à l'aide d'outils automatisés tels que DMARC Analyzer de PowerDMARC afin de garantir la sécurité de votre environnement de réception des e-mails.

Foire aux questions

Quelle est la différence entre la manipulation d'URL et la réécriture d'URL ?

La « manipulation d'URL » est le terme générique désignant la modification ou la dissimulation de liens à des fins trompeuses. La « réécriture d'URL » est un processus spécifique par lequel les outils de sécurité des e-mails encapsulent les liens entrants dans des domaines de fournisseurs afin de permettre une inspection en temps réel, au moment du clic, avant que l'utilisateur n'atteigne la destination.

Peut-on cliquer en toute sécurité sur les liens « Safe Links » de Microsoft ?

Microsoft Safe Links offre une protection efficace en temps réel, mais les liens encapsulés ne sont pas totalement à l'abri des abus. Les pirates peuvent compromettre des comptes ou mettre en place des chaînes de redirection impliquant plusieurs fournisseurs afin de détourner les liens Safe Links vers des destinations malveillantes ; les utilisateurs doivent donc continuer à examiner attentivement les messages suspects.

Comment les pirates exploitent-ils la réécriture d'URL dans le cadre d'attaques par hameçonnage ?

Les pirates envoient des liens via des comptes compromis protégés par des éditeurs de solutions de sécurité afin de générer des URL « encapsulées » et jugées fiables. Ils enchaînent également plusieurs liens de réécriture provenant de différents éditeurs, ce qui sème la confusion chez les scanners automatisés et les empêche d'inspecter la page de destination malveillante sous-jacente.

Qu'est-ce que le phishing par « punycode » (homographe) ?

Le phishing par Punycode utilise, dans un nom de domaine, des caractères de langues étrangères qui ressemblent à s'y méprendre aux lettres latines standard. Les pirates enregistrent ces adresses Web visuellement identiques afin de faire croire aux utilisateurs qu'ils se trouvent sur le site Web légitime d'une entreprise.

Le protocole DMARC peut-il empêcher les attaques par manipulation d'URL ?

DMARC n'inspecte ni ne modifie directement les liens de redirection. Cependant, l'application de DMARC avec une politique « p=reject » empêche les pirates d'usurper le domaine exact de votre entreprise pour envoyer l'e-mail de hameçonnage initial, ce qui met fin aux principales tactiques d'usurpation d'identité de marque.

Que sont Tycoon2FA et Sneaky2FA ?

Tycoon2FA et Sneaky2FA sont des kits sophistiqués de phishing de type « adversaire intermédiaire ». Ils interceptent en temps réel les identifiants des utilisateurs et les jetons de session actifs, permettant ainsi aux attaquants de contourner les contrôles standard d'authentification multifactorielle, même sur des plateformes sécurisées.

• À propos de
• Derniers messages

Ahona Rudra

Expert en sécurité des domaines et des e-mails chez PowerDMARC

Ahona est la responsable du marketing chez PowerDMARC, avec plus de 5 ans d'expérience dans l'écriture sur des sujets de cybersécurité, spécialisée dans la sécurité des domaines et des courriels. Ahona est titulaire d'un diplôme de troisième cycle en journalisme et communication, solidifiant sa carrière dans le secteur de la sécurité depuis 2019.

Derniers messages de Ahona Rudra (voir tous)

• Qu'est-ce que la manipulation d'URL (réécriture d'URL) ? Comment les pirates détournent des liens fiables pour dissimuler des tentatives d'hameçonnage - 10 août 2026
• E-mail d'alerte de sécurité concernant le compte Microsoft : comment repérer les arnaques et protéger votre domaine - 9 août 2026
• Qu'est-ce que le « pharming » ? Comment ça marche et comment les entreprises peuvent-elles réduire les risques ? - 8 août 2026