Le spoofing désigne, en sécurité informatique, l’usurpation d’une identité technique pour tromper un système ou un utilisateur. Le mot sert aussi pour la triche GPS dans Pokémon Go et pour une manipulation de carnet d’ordres en bourse, mais cet article ne traite ni l’un ni l’autre. Ici, l’objectif est simple : comprendre les cinq formes d’usurpation les plus courantes, savoir ce que la victime voit, et repérer les indices qui trahissent une usurpation d’identité numérique.
La forme la plus mal expliquée est souvent l’ip spoofing. Pourtant, c’est un cas central : une adresse IP source peut être falsifiée parce que le protocole IP n’authentifie pas, à lui seul, l’adresse déclarée dans le paquet. Cela permet des attaques sans dialogue, notamment certaines attaques par amplification, mais l’attaquant ne reçoit pas la réponse. Cette limite technique change tout.
Sommaire
Comment repérer les cinq formes de spoofing
Avant même de revenir sur la spoofing définition, voici le point pratique : chaque type d’usurpation laisse un indice différent. Dans les équipes de Cybersécurité, on distingue vite une alerte réseau, un appel douteux et un faux site parce que les traces ne sont pas les mêmes.
| Ce qui est usurpé | Ce que cela permet | L’indice qui trahit |
|---|---|---|
| Adresse IP source | Masquer l’origine, déclencher une réponse vers une autre cible, amplifier une attaque | Réponses absentes côté émetteur réel, trafic unidirectionnel, incohérences de routage |
| Adresse e-mail | Faire croire qu’un message vient d’un domaine ou d’un expéditeur légitime | Échecs SPF, DKIM ou DMARC, domaine d’envoi inhabituel |
| Numéro d’appel | Afficher un numéro familier ou local pour obtenir une réponse | Numéro affiché incompatible avec le contexte, rappel qui aboutit ailleurs |
| Site web, typosquattage | Imiter un service connu avec un nom proche | Orthographe du domaine, certificat, sous-domaine trompeur |
| Identifiant réseau, ARP ou DNS | Rediriger un appareil vers un mauvais équipement ou une mauvaise adresse | Changement soudain d’adresse MAC ou de résolution DNS |
Ce tableau donne le réflexe de départ : regarder ce qui est affiché, puis ce qui peut être vérifié. C’est le bon cadre pour répondre à la question spoofing que faire sans confondre tous les cas.
Spoofing définition : une usurpation d’identité technique
Le spoofing consiste à se faire passer pour une autre source au niveau technique. Cette identité peut être une adresse IP, une adresse d’expéditeur, un nom de domaine, un numéro d’appelant ou un identifiant local sur un réseau. Le but n’est pas toujours de voler des données : parfois il s’agit seulement de détourner une réponse, de contourner un filtrage, ou de rendre l’origine d’un trafic plus difficile à attribuer.
En pratique, le mot regroupe des mécanismes très différents. Un spoofing email exploite la confiance accordée au champ expéditeur. L’ip spoofing joue sur l’absence d’authentification native de l’adresse source dans le protocole IP. Un faux site repose souvent sur une adresse web presque identique à la vraie, tandis qu’ARP et DNS touchent directement la manière dont un appareil localise une machine ou traduit un nom de domaine.
Pour comprendre les signaux techniques derrière ces fraudes, l’analyse d’IP en cybersécurité aide à relier les journaux, les routes réseau et les volumes de trafic observés.
L’usurpation d’adresse IP, la forme la plus technique
L’ip spoofing consiste à falsifier l’adresse IP source indiquée dans un paquet. Cette falsification est possible parce que le protocole IP, à lui seul, ne vérifie pas que l’émetteur a bien le droit d’utiliser cette adresse. C’est une limite de conception ancienne d’Internet : l’acheminement se fait sur la base des en-têtes, sans authentification native de la source.
Ce que l’attaquant obtient : il peut masquer l’origine apparente d’un trafic ou faire envoyer des réponses à une autre machine. C’est ce mécanisme qui rend possibles des attaques par amplification sur des protocoles sans véritable dialogue initial. Le principe général est connu : une petite requête provoque une réponse bien plus volumineuse vers la cible usurpée. En revanche, l’attaquant ne reçoit pas la réponse, puisque celle-ci part vers l’adresse falsifiée. Cette contrainte limite l’usurpation d’IP aux attaques sans dialogue ou aux scénarios où la réponse n’a pas besoin de revenir à l’émetteur.
Ce que la victime voit : soit un flot de réponses qu’elle n’a jamais demandées, soit des journaux montrant une adresse source trompeuse. Sur un réseau d’entreprise, on peut aussi observer des paquets incohérents avec la topologie attendue.
Comment la repérer : rechercher un trafic unidirectionnel, des réponses non sollicitées, des sources très dispersées, ou des journaux où l’adresse source ne colle ni à la route probable ni au comportement observé. Pour identifier à qui appartient une adresse IP, il faut garder en tête qu’une adresse vue dans des logs n’est pas toujours l’auteur réel quand un spoofing IP est en cause.
Côté protection, le point décisif est souvent absent des articles généralistes : un particulier ne peut pas se protéger seul contre l’usurpation de sa propre adresse IP sur Internet public. Le filtrage utile se fait chez l’opérateur ou sur les routeurs de transit, via l’application des bonnes pratiques dites BCP 38, qui bloquent les paquets sortants dont l’adresse source ne devrait pas se trouver sur le réseau émetteur.
Le spoofing email, entre affichage trompeur et contrôles DNS
Le spoofing email consiste à faire apparaître une adresse d’expéditeur qui inspire confiance. L’attaquant obtient ainsi une crédibilité immédiate, surtout quand seul le nom affiché est regardé. La victime voit souvent un expéditeur familier, alors que le domaine réel d’envoi, lui, est différent ou non autorisé.
Le repérage se fait dans les en-têtes et dans les politiques DNS du domaine. Trois mécanismes sont à connaître. SPF vérifie si le serveur qui envoie l’e-mail est autorisé par le domaine expéditeur. DKIM vérifie une signature cryptographique liée au message. DMARC définit la politique à appliquer quand SPF ou DKIM échoue, et impose un alignement avec le domaine visible par l’utilisateur.
Concrètement, si un message prétend venir d’un domaine connu mais échoue sur ces contrôles, la suspicion est forte. Pour vérifier les enregistrements DNS et MX, un test simple consiste à consulter les enregistrements publics du domaine afin de voir quelles plateformes sont autorisées à envoyer du courrier.
Ce que la victime voit : un e-mail apparemment normal, parfois avec une adresse affichée correcte. Comment le repérer : regarder le domaine exact, les résultats SPF, DKIM et DMARC, et l’écart entre le champ visible et les en-têtes réels.
L’usurpation du numéro d’appel, quand l’affichage ment
Le spoofing de numéro d’appel, parfois appelé caller ID spoofing, consiste à afficher un numéro différent de celui qui émet réellement l’appel. L’attaquant obtient un avantage simple : augmenter la probabilité que l’appel soit décroché, en utilisant un numéro local, un standard connu ou un numéro paraissant institutionnel.
La victime voit un numéro crédible à l’écran, parfois un numéro déjà enregistré dans son carnet. Cela ne prouve pourtant pas l’origine réelle de l’appel. Sur de nombreux réseaux téléphoniques, l’information affichée n’est pas une garantie d’authenticité absolue.
Comment la repérer : incohérence entre le numéro et le discours tenu, rappel qui ne joint pas le bon service, variations de numéros proches sur plusieurs appels successifs, ou affichage d’un numéro qui ne correspond pas à la zone géographique annoncée. Ici, le spoofing ne se détecte pas avec des en-têtes IP, mais par recoupement contextuel et vérification indépendante.
Le faux site web, souvent lié au typosquattage
Cette forme d’usurpation repose sur un nom de domaine qui ressemble au bon, avec une lettre inversée, ajoutée ou omise. L’attaquant obtient ainsi du trafic de personnes qui lisent trop vite l’URL, suivent un lien raccourci ou se fient uniquement au visuel du site.
La victime voit une page presque identique à l’originale. Le piège se situe dans l’adresse elle-même : sous-domaine trompeur, extension inhabituelle, mot parasite avant le nom réel, ou variante orthographique discrète. Le certificat HTTPS ne suffit pas à prouver que le bon site est affiché, il prouve seulement qu’une connexion chiffrée existe avec le domaine ouvert.
Comment le repérer : relire le domaine caractère par caractère, vérifier qui répond au DNS, examiner les enregistrements publics et comparer avec le domaine officiel. Dans cette vérification, comprendre comment un VPN masque l’adresse IP peut aussi aider à distinguer ce qui relève de votre connexion et ce qui relève réellement de l’infrastructure distante, même si un VPN ne bloque pas à lui seul le typosquattage.
ARP et DNS, l’usurpation des identifiants réseau locaux
Sur un réseau local, deux formes méritent d’être regroupées parce qu’elles visent l’aiguillage du trafic. En ARP spoofing, l’attaquant associe sa propre adresse MAC à l’adresse IP d’un autre équipement, souvent la passerelle. En DNS spoofing, il cherche à faire résoudre un nom de domaine vers une mauvaise adresse IP.
Ce que l’attaquant obtient : détourner localement le trafic, intercepter des flux ou envoyer la victime vers un mauvais service. Ce que la victime voit : parfois rien de visible, sinon des lenteurs, des certificats inattendus, un portail qui change d’apparence, ou des équipements qui se comportent différemment. Comment le repérer : tables ARP qui changent sans raison, réponses DNS incohérentes, ou écart entre la résolution attendue et l’adresse réellement contactée.
Dans un environnement professionnel, des outils de protection contre l’usurpation d’identité numérique peuvent corréler ces signaux avec les journaux réseau et les alertes d’EDR.
Que faire face au spoofing, selon le type d’usurpation
La bonne réponse dépend de l’identité falsifiée. Pour un spoofing email, conserver les en-têtes, vérifier SPF, DKIM et DMARC, puis signaler le message à l’équipe mail ou au fournisseur concerné. Pour un faux site, noter l’URL exacte, la résolution DNS observée et le certificat présenté. Pour un numéro d’appel usurpé, ne pas se fier à l’affichage seul et vérifier via un canal distinct.
Pour l’ip spoofing, la marge d’action d’un utilisateur final est limitée. Si vous recevez des réponses non sollicitées ou si votre service subit un trafic anormal, les éléments utiles sont les journaux, les captures de paquets, l’heure précise en UTC, les volumes, les ports et les adresses observées. Le traitement se fait ensuite chez l’hébergeur, l’opérateur ou le prestataire anti-DDoS, car le filtrage efficace de l’adresse source falsifiée n’est pas à la portée du simple terminal.
Si la question est spoofing que faire, la réponse la plus honnête est donc la suivante : vérifier l’identité technique adaptée au cas, conserver les traces, et faire remonter au bon niveau réseau quand l’adresse IP source est usurpée.
Questions fréquentes
C’est quoi le spoofing ?
Le spoofing est une usurpation d’identité technique. Un attaquant fait croire qu’il est une autre source, par exemple une adresse IP, une adresse e-mail, un numéro d’appel ou un nom de domaine. Le but peut être de tromper un utilisateur, de détourner une réponse réseau ou de masquer l’origine apparente d’un trafic. Le terme ne désigne pas ici la triche GPS ni la manipulation d’ordres en bourse.
Quels sont les différents types de spoofing ?
Les cinq formes les plus courantes sont l’usurpation d’adresse IP, l’usurpation d’adresse e-mail, l’usurpation de numéro d’appel, le faux site par typosquattage, et l’usurpation d’identifiant réseau comme ARP ou DNS. Chaque forme vise une identité différente. Les indices de détection changent donc selon le protocole ou le support utilisé. C’est pour cela qu’un même mot regroupe des situations techniques assez variées.
Comment se protéger du spoofing ?
La protection dépend du type d’usurpation. Pour l’e-mail, SPF, DKIM et DMARC permettent de vérifier l’authenticité de l’envoi au niveau du domaine. Pour les faux sites, il faut contrôler précisément le nom de domaine et la résolution DNS. Pour l’usurpation d’IP, le filtrage efficace se fait surtout chez l’opérateur via BCP 38, pas chez le particulier.
Le spoofing est-il illégal ?
Le spoofing n’est pas une catégorie juridique unique, mais son usage frauduleux peut tomber sous plusieurs infractions selon le pays et le contexte. Usurper une identité technique pour tromper, nuire ou détourner un service expose à des sanctions. Certaines présentations techniques peuvent avoir des usages d’administration ou de test en environnement autorisé, mais l’usage contre un tiers sans droit ne l’est pas. L’analyse se fait donc selon l’intention, l’autorisation et les effets produits.
