Qu'est-ce que le « pharming » ? Comment cela fonctionne-t-il et comment les entreprises peuvent-elles réduire les risques ?

Pour les entreprises, le « pharming » peut ébranler la confiance des clients, exposer les utilisateurs au vol d'identifiants et accroître la pression liée à la gestion des incidents. Cette pratique est particulièrement dangereuse lorsqu'elle est associée à des e-mails de hameçonnage, à l'usurpation de nom de domaine ou à des domaines similaires qui donnent aux campagnes frauduleuses une apparence légitime.

Ce guide explique le fonctionnement du « pharming », en quoi il diffère du « phishing », les signes avant-coureurs à surveiller, ainsi que les mesures que les organisations peuvent mettre en œuvre pour réduire les risques.

En septembre 2021, plus de 50 entreprises financières ont été victimes d’une attaque de pharming sophistiquée qui visait les clients en ligne aux États-Unis, en Europe et dans la région Asie-Pacifique. Près de 1 000 appareils par jour ont été infectés pendant trois jours avant que le logiciel malveillant de pharming ne soit détecté et neutralisé.

Qu'est-ce qu'une attaque par « pharming » ?

Une attaque par « pharming » consiste à manipuler la manière dont un navigateur résout un nom de domaine. Au lieu de diriger les utilisateurs vers l'adresse IP légitime d'un site web, le pirate les redirige vers un site frauduleux qu'il contrôle.

Cela peut se produire par le biais d'un empoisonnement du cache DNS, de paramètres de routeur compromis, d'une configuration malveillante du navigateur ou d'un logiciel malveillant qui modifie les fichiers hôte locaux. L'objectif est généralement de voler des identifiants, des informations de paiement, des données personnelles ou des détails de session.

Étant donné qu’un site web cloné à des fins frauduleuses peut sembler pratiquement impossible à distinguer du site authentique, les utilisateurs risquent, sans s’en rendre compte, de communiquer des informations sensibles, notamment des informations financières, des numéros de sécurité sociale, des dossiers médicaux, des numéros de téléphone et des adresses e-mail. Une fois que les pirates ont obtenu ces données, ils peuvent se livrer à des fraudes financières, à des usurpations d'identité et à d'autres cybercrimes.

Le « pharming » est un mot-valise formé à partir de « phishing » et de « farming ». Les pirates recherchent une victime par hameçonnage (phishing) et récoltent ses données en interceptant les informations transmises à un site falsifié.

Comment fonctionne une attaque par « pharming » ?

Les équipes de sécurité qui comprennent le déroulement de l'attaque peuvent identifier plus tôt les points de vulnérabilité et mettre en place les mesures de contrôle adaptées à chaque étape. Voici comment se déroule une attaque de « pharming » typique :

1. Étape 1 – Sélection de la cible : le pirate identifie un site web cible, généralement un portail bancaire, une plateforme de commerce électronique ou une page de connexion d'entreprise, et en crée une réplique frauduleuse.
2. Étape 2 – Manipulation du DNS ou du fichier hosts : le pirate corrompt le cache DNS d'un serveur ou installe un logiciel malveillant qui écrase le fichier hosts sur l'appareil d'un utilisateur, redirigeant ainsi le domaine légitime vers une adresse IP malveillante.
3. Étape 3 – L'utilisateur accède au site : il saisit une URL valide dans son navigateur, pensant se rendre sur le véritable site web.
4. Étape 4 – Le navigateur est redirigé vers une adresse IP malveillante : la correspondance DNS ayant été modifiée, le navigateur est redirigé à l'insu de l'utilisateur vers le serveur frauduleux de l'attaquant, au lieu du serveur légitime.
5. Étape 5 – L'utilisateur accède à un site piégé : ce faux site est identique au site authentique. L'URL affichée dans le navigateur peut sembler correcte, ce qui ne laisse à l'utilisateur aucun indice évident de compromission.
6. Étape 6 – Vol d'identifiants et de données : l'utilisateur transmet ses identifiants de connexion, ses informations de paiement ou d'autres informations sensibles directement au serveur de l'attaquant. Ce dernier peut alors utiliser ces données à des fins de fraude financière, d'usurpation d'identité ou pour mener d'autres attaques.

Attaque de « pharming » ou « phishing » : quelle est la différence ?

Le « pharming » et le « phishing » sont deux techniques apparentées, mais elles ne sont pas identiques. Le « phishing » repose généralement sur des e-mails, des messages ou des liens trompeurs qui incitent les utilisateurs à se rendre sur un site malveillant. Le « pharming », quant à lui, consiste à manipuler les paramètres DNS ou les réglages d'un appareil local afin que les utilisateurs soient redirigés vers un site frauduleux, parfois même lorsqu'ils saisissent l'URL correcte.

Dans le cadre d'attaques réelles, ces deux techniques peuvent être utilisées conjointement. Un e-mail frauduleux peut rediriger les utilisateurs vers une fausse page de connexion, tandis que la manipulation du DNS ou l'utilisation de domaines similaires rendent la campagne plus difficile à détecter. C'est pourquoi les entreprises doivent mettre en place à la fois des mesures de sensibilisation des utilisateurs et des défenses techniques telles que l'authentification des e-mails, la surveillance du DNS et la protection des terminaux.

Pharming, hameçonnage et usurpation d'identité : tableau comparatif

Types d'attaques par « pharming » et exemples concrets

Les attaques de « pharming » consistent à modifier la manière dont un navigateur résout une adresse Web, en redirigeant les utilisateurs vers une fausse adresse IP afin qu'ils accèdent à un site Web cloné. Il en existe plusieurs types distincts, chacun ciblant une couche différente de la pile réseau, et les incidents survenus dans la réalité montrent à quelle vitesse chacun d'entre eux peut prendre de l'ampleur.

Le « pharming » local ou basé sur l'hôte se produit lorsqu'un logiciel malveillant écrase le fichier « hosts » d'un appareil donné, redirigeant ainsi certaines adresses Web vers une adresse IP malveillante. La détection est difficile, car seul cet appareil est concerné ; la protection des terminaux et la surveillance du fichier « hosts » constituent donc les principales mesures de défense.

La campagne de logiciels malveillants DNSChanger est l'un des exemples les plus importants de ce type d'attaque à grande échelle :

• Méthode : la campagne de logiciels malveillants DNSChanger modifiait directement les paramètres DNS des appareils infectés, redirigeant ainsi le trafic vers des serveurs DNS malveillants contrôlés par les pirates.
• Cible : plus de 4 millions d'appareils dans le monde entier, tant sur les réseaux grand public que sur les réseaux d'entreprise.
• Conséquences : les victimes étaient redirigées à leur insu vers des sites frauduleux, ce qui a permis des fraudes publicitaires et le vol d'identifiants, jusqu'à ce que le FBI saisisse les serveurs malveillants en 2011.
• Leçon à retenir : les paramètres des routeurs et du DNS doivent faire l'objet d'audits réguliers, et les organisations doivent surveiller toute modification non autorisée du DNS au sein de leurs environnements.

L'empoisonnement du cache DNS se produit lorsque des pirates corrompent le cache d'un résolveur DNS à l'aide de fausses entrées, détournant ainsi tous les utilisateurs qui l'interrogent. Ce type d'attaque est très difficile à détecter, car la compromission se situe en amont de l'appareil de la victime. Le protocole DNSSEC et les résolveurs DNS sécurisés (DoH/DoT) constituent les meilleures défenses.

Le détournement DNS d'un routeur se produit lorsque des pirates exploitent des routeurs dont les identifiants d'administration sont ceux par défaut ou peu sécurisés afin de modifier les paramètres DNS, redirigeant ainsi simultanément tous les appareils du réseau. Il s'agit d'une tactique couramment utilisée contre les routeurs grand public mal sécurisés :

• Méthode : les pirates ont exploité des routeurs dont les identifiants d'administration étaient ceux par défaut ou peu sécurisés afin de modifier les paramètres DNS de réseaux entiers.
• Public cible : particuliers et petites entreprises utilisant des routeurs grand public.
• Conséquences : tous les appareils connectés au réseau concerné ont été redirigés vers des sites frauduleux sans aucun avertissement visible.
• Leçon : les identifiants par défaut du routeur doivent être modifiés dès son déploiement. Le micrologiciel doit être maintenu à jour et les paramètres DNS doivent être verrouillés sur des résolveurs de confiance.

Une compromission de serveur DNS se produit lorsque des pirates ciblent directement un serveur DNS, redirigeant ainsi les utilisateurs sans avoir besoin d'installer de logiciel malveillant sur leurs appareils individuels. Un seul serveur compromis peut rediriger des milliers d'utilisateurs à la fois, ce qui fait de cette technique la plus prisée pour le vol d'identifiants à grande échelle visant les institutions financières et les plateformes d'entreprise. Le protocole DNSSEC, la surveillance du DNS et un contrôle d'accès strict constituent les principaux moyens de défense.

Le « pharming » par logiciel malveillant se propage via des liens ou des pièces jointes contenus dans des e-mails ; le logiciel malveillant écrase les fichiers hôtes, de sorte que les appareils infectés chargent un site malveillant dès qu’une adresse spécifique est saisie. Il est difficile d’y remédier, car une analyse antivirus seule est souvent insuffisante ; un nettoyage en profondeur des terminaux est généralement nécessaire. L’attaque de 2021 contre le secteur financier montre à quel point cette technique peut prendre de l’ampleur :

• Méthode : En septembre 2021, une campagne de « pharming » utilisant des logiciels malveillants a ciblé les appareils des utilisateurs finaux aux États-Unis, en Europe et dans la région Asie-Pacifique.
• Cible : les clients utilisant les services bancaires en ligne de plus de 50 établissements financiers.
• Conséquences : près de 1 000 appareils ont été infectés chaque jour pendant trois jours avant que le logiciel malveillant ne soit identifié et neutralisé.
• Leçon à retenir : même les institutions financières disposant de ressources importantes peuvent être touchées à grande échelle. La détection au niveau des terminaux et la surveillance du DNS constituent des dispositifs d'alerte précoce essentiels.

Quels sont les risques liés à une attaque par « pharming » ?

Le « pharming » entraîne de graves conséquences tant pour les particuliers que pour les organisations, et la gravité de ces conséquences varie en fonction de ce qui a été compromis.

Signes d'une attaque de pharming

Les équipes de sécurité et les utilisateurs doivent rester attentifs aux indicateurs suivants. Ces signes sont regroupés par catégorie afin de faciliter leur évaluation rapide :

Signaux relatifs au navigateur et au réseau

• Des avertissements inattendus concernant les certificats SSL ou des incohérences sur des sites qui s'affichaient auparavant sans erreur.
• Modifications des paramètres de la page d'accueil du navigateur qui n'ont pas été effectuées par l'utilisateur.
• Des fenêtres contextuelles fréquentes qui redirigent vers des sites inconnus.
• Les paramètres DNS de l'appareil ou du routeur ont été modifiés sans autorisation.
• L'adresse IP résolue pour un domaine de confiance ne correspond pas à la valeur attendue.

Indicateurs comptables et financiers

• Les opérations financières que les utilisateurs ne identifient pas, par exemple les transactions par carte bancaire ou les virements bancaires.
• Réponses à des e-mails qui n'ont pas été envoyés par l'utilisateur ou l'organisation.
• Activités inhabituelles ou non identifiées sur les réseaux sociaux ou les comptes d'entreprise.

Panneaux d'identification des appareils

• Antivirus, anti-malware ou autre logiciel de sécurité désactivé.
• Un nouveau logiciel a été installé sur les appareils à l'insu des utilisateurs.
• Les systèmes plantent ou se bloquent fréquemment ; les logiciels malveillants de « pharming » peuvent mobiliser d'importantes ressources.
• Appareils affichant des messages ou des programmes inhabituels au démarrage.

Comment se prémunir contre les attaques de « pharming »

Pour réduire les risques liés au « pharming », il est nécessaire de mettre en place une sécurité à plusieurs niveaux. Aucune mesure de contrôle ne peut à elle seule bloquer toutes les attaques par redirection, mais les mesures suivantes permettent de réduire l'exposition au niveau du DNS, des terminaux, des utilisateurs et de la messagerie électronique.

Pour les particuliers

1. Modifiez les identifiants par défaut du routeur et appliquez sans tarder les mises à jour du micrologiciel.
2. Utilisez un résolveur DNS fiable. Les résolveurs publics, tels que ceux proposant les protocoles DNS-over-HTTPS (DoH) ou DNS-over-TLS (DoT), offrent une couche de vérification supplémentaire.
3. Vérifiez les informations du certificat SSL lorsqu'une page de connexion vous semble suspecte. Le protocole HTTPS crypte le trafic entre le navigateur et le serveur, mais il ne garantit pas que le site lui-même soit légitime. Vérifiez attentivement l'émetteur du certificat et le nom de domaine.
4. Activer l' l'authentification multifactorielle (MFA) sur tous vos comptes importants. Même si vos identifiants sont interceptés par un site frauduleux, l'authentification multifactorielle réduit le risque d'accès non autorisé.
5. Veillez à maintenir à jour vos logiciels anti-malware et de protection des terminaux. Effectuez régulièrement des analyses pour détecter toute modification du fichier « host ».
6. Évitez de cliquer sur les liens contenus dans des e-mails ou des messages non sollicités. Ne suivez que les liens provenant de sources connues et fiables. Sinon, les utilisateurs risquent d'être redirigés vers des sites web clonés conçus pour récupérer leurs identifiants ou leurs informations de paiement. Les pirates dissimulent parfois ces destinations malveillantes à l'aide des URL courtes de marque; vérifiez donc le domaine sous-jacent avant de cliquer, même si le lien semble légitime.
7. Méfiez-vous des offres telles que les remises importantes, les loteries ou les lots qui vous sont proposés sans que vous les ayez sollicités. Il s'agit là d'appâts courants utilisés pour attirer les utilisateurs vers des sites frauduleux.
8. Dans la mesure du possible, utilisez une authentification via une application ou par code QR plutôt que des mots de passe à usage unique envoyés par SMS, qui peuvent être interceptés ou redirigés dans le cadre d’une attaque plus large.

Pour les organisations

Infrastructure DNS sécurisée

Faites appel à un fournisseur DNS de confiance, limitez l'accès aux consoles de gestion DNS, surveillez les modifications apportées aux enregistrements DNS et mettez en œuvre le protocole DNSSEC le cas échéant. Le protocole DNSSEC ajoute des signatures cryptographiques aux enregistrements DNS, ce qui contribue à prévenir les attaques par empoisonnement du cache.

Protéger les terminaux et les navigateurs

Veillez à maintenir à jour les systèmes d'exploitation, les navigateurs, les solutions de protection des terminaux et les outils anti-malware. Le « pharming » par malware repose souvent sur la modification des paramètres locaux ou des fichiers d'hôte sur les appareils des employés.

Renforcer la sécurité des routeurs et du réseau

Modifiez les identifiants par défaut des routeurs sur l'ensemble de l'infrastructure réseau, appliquez les mises à jour du micrologiciel et limitez l'accès administratif aux utilisateurs et réseaux de confiance. Vérifiez régulièrement les paramètres DNS des routeurs.

Utilisez l'authentification des e-mails pour réduire le risque d'usurpation d'identité

SPF, DKIM et DMARC permettent aux serveurs de messagerie destinataires de vérifier si un message prétendant provenir de votre domaine est autorisé. Lorsqu’ils sont correctement configurés et surveillés, ces protocoles réduisent le risque d’usurpation de domaine et contribuent à empêcher les pirates d’utiliser votre marque dans des campagnes d’e-mails redirigeant les utilisateurs vers des sites web frauduleux.

L'authentification des e-mails vient compléter la sécurité DNS, la protection des terminaux et les contrôles de navigation sécurisée, sans pour autant les remplacer. Son rôle est plus restreint : il s'agit de bloquer les messages usurpés que les pirates utilisent pour lancer des campagnes de « pharming » ou de « phishing ».

Surveiller les domaines similaires et les infrastructures suspectes

Les pirates enregistrent souvent des noms de domaine qui ressemblent fortement à ceux de marques de confiance. Utilisez un outil de vérification des domaines similaires pour détecter plus tôt les tentatives d'usurpation d'identité et empêcher leur utilisation dans des campagnes de « pharming » ou de « phishing ».

Former les usagers et les employés à signaler les redirections suspectes

Les collaborateurs et les clients doivent savoir comment signaler les pages de connexion inhabituelles, les redirections inattendues, les avertissements relatifs aux certificats SSL et les e-mails suspects. Mettez en place des procédures de signalement claires afin que les équipes de sécurité puissent intervenir rapidement.

Vérifiez le niveau de sécurité de votre domaine

Utilisez l'outil Domain Analyzer et le « DNSSEC Checker » de PowerDMARC pour évaluer la sécurité de l'authentification de votre domaine et identifier les failles avant que des pirates ne s'en servent.

Comment PowerDMARC contribue à la protection des domaines

PowerDMARC aide les entreprises à renforcer la couche d'authentification des e-mails au sein de la sécurité de leur domaine. La plateforme offre un tableau de bord centralisé pour les protocoles DMARC, SPF, DKIM, BIMI, MTA-STS et TLS-RPT, permettant ainsi aux équipes de sécurité d'avoir une visibilité claire sur les sources d'envoi autorisées et non autorisées.

• Surveillance et rapports DMARC: identifiez les tentatives d'usurpation d'identité, les échecs d'authentification et les expéditeurs non autorisés sur l'ensemble de vos domaines.
• Gestion automatisée de l'SPF : évitez les problèmes liés aux limites de recherche d'SPF s à mesure que de nouvelles plateformes SaaS et marketing viennent s'ajouter à votre infrastructure d'envoi.
• Services d'authentification hébergés : gérez DMARC, SPF, DKIM, BIMI, MTA-STS et TLS-RPT à partir d'une seule plateforme, sans modifications DNS complexes.
• Assistance en matière de conformité : garantir la conformité aux exigences de Google, Microsoft, de la norme PCI DSS, du RGPD et aux obligations gouvernementales en matière d'authentification des e-mails.
• Assistance internationale réactive : bénéficiez de l'aide d'experts lors de la mise en route, du dépannage et de la planification de la mise en œuvre, avec une couverture 24 h/24 et 7 j/7 pour les entreprises et les partenaires MSP.

Vous souhaitez vérifier si votre domaine est protégé contre l'usurpation d'adresse e-mail ? Analysez votre domaine pour détecter d'éventuels problèmes liés aux protocoles DMARC, « SPF » et DKIM à l'aide de l'outil gratuit Domain Analyzer de PowerDMARC.

Foire aux questions

En quoi le « pharming » diffère-t-il du « phishing » et de l'« spoofing » ?

Le phishing repose sur des e-mails, des messages ou des liens trompeurs qui incitent les utilisateurs à se rendre sur un site malveillant dont l'URL est différente. L'usurpation d'identité consiste à se faire passer pour une personne, un domaine, une adresse e-mail ou un site web. Le « pharming » se distingue de ces deux techniques : il consiste à manipuler les paramètres DNS ou les réglages d'un appareil local pour rediriger les utilisateurs vers un site frauduleux, parfois même lorsqu'ils saisissent l'URL correcte, sans qu'ils aient besoin de cliquer sur un lien. Dans la pratique, les attaquants combinent souvent ces trois techniques : ils usurpent l'identité d'une marque de confiance par e-mail pour lancer une campagne, puis utilisent le pharming pour garantir la redirection, même pour les utilisateurs qui accèdent directement au site.

Quelles sont les attaques de « pharming » les plus connues ?

Parmi les exemples notables, on peut citer l'attaque de 2021 visant plus de 50 établissements financiers, qui a infecté près de 1 000 appareils par jour, la campagne de malware DNSChanger qui a touché plus de 4 millions d'appareils dans le monde, ainsi que les campagnes à grande échelle de détournement DNS de routeurs qui ont redirigé des réseaux domestiques ou professionnels entiers. Reportez-vous à la section « Types d'attaques par pharming et exemples concrets » ci-dessus pour consulter des résumés détaillés de ces cas.

Une attaque par « pharming » peut-elle se produire même si l'URL semble correcte ?

Oui. C'est ce qui rend le « pharming » particulièrement dangereux. Dans le cas du « pharming » au niveau du DNS, le pirate manipule la correspondance entre le nom de domaine et l'adresse IP afin que le navigateur soit redirigé vers un serveur frauduleux, alors que l'URL affichée dans la barre d'adresse semble toujours correcte. Les utilisateurs ne peuvent pas se fier uniquement à la vérification de l'URL pour détecter le « pharming ».

Comment les entreprises peuvent-elles se prémunir contre les attaques de « pharming » ?

Les organisations doivent mettre en œuvre le protocole DNSSEC, utiliser des résolveurs DNS sécurisés, renforcer la sécurité des routeurs et des équipements réseau, déployer des solutions de protection des terminaux, surveiller les modifications apportées aux enregistrements DNS, imposer l'authentification multifactorielle, mettre en place l'authentification des e-mails (SPF, DKIM, DMARC), surveiller l'apparition de domaines similaires et former leurs employés à signaler les redirections suspectes. Une approche multicouche est indispensable, car aucune mesure de contrôle ne permet à elle seule de couvrir tous les vecteurs de pharming.

Le protocole DMARC peut-il empêcher le « pharming » ?

Le protocole DMARC n'empêche pas directement l'empoisonnement DNS ni la manipulation du fichier hosts. Il contribue toutefois à empêcher les attaquants d'usurper votre domaine dans le cadre de campagnes d'e-mails susceptibles de rediriger les utilisateurs vers des sites web frauduleux. Associé à des mesures de sécurité DNS et à des contrôles au niveau des terminaux, le protocole DMARC constitue un élément essentiel d'une stratégie de défense multicouche.

Que dois-je faire si je soupçonne une attaque de « pharming » ?

Si vous soupçonnez une attaque par « pharming » : (1) Vérifiez les paramètres DNS de votre appareil et la configuration DNS de votre routeur afin de détecter d’éventuelles modifications non autorisées. (2) Videz le cache DNS et redémarrez votre navigateur. (3) Lancez une analyse complète de votre terminal à la recherche de logiciels malveillants. (4) Modifiez les mots de passe de tous les comptes auxquels vous avez accédé pendant la période suspecte. (5) Contactez immédiatement votre banque ou les prestataires de services concernés. (6) Pour les entreprises, signalez l’incident à votre équipe de gestion des incidents et examinez les journaux de surveillance DNS.

• À propos de
• Derniers messages

Ahona Rudra

Expert en sécurité des domaines et des e-mails chez PowerDMARC

Ahona est la responsable du marketing chez PowerDMARC, avec plus de 5 ans d'expérience dans l'écriture sur des sujets de cybersécurité, spécialisée dans la sécurité des domaines et des courriels. Ahona est titulaire d'un diplôme de troisième cycle en journalisme et communication, solidifiant sa carrière dans le secteur de la sécurité depuis 2019.

Derniers messages de Ahona Rudra (voir tous)

• PowerDMARC s'intègre nativement à Autotask - 18 août 2026
• Protocoles SSL et TLS : quelle est la différence ? - 13 août 2026
• Qu'est-ce que la manipulation d'URL (réécriture d'URL) ? Comment les pirates détournent des liens fiables pour dissimuler des tentatives d'hameçonnage - 10 août 2026