Le risque caché dans vos enregistrements DMARC : quand votre domaine de rapport expire

Voici un scénario qui empêche de dormir les professionnels de la sécurité email : votre organisation a passé des mois à déployer DMARC, à configurer vos politiques avec soin, et à surveiller les rapports pour vous assurer que tout fonctionne. Mais dans vos enregistrements DNS, un petit détail a miné silencieusement toute votre posture de sécurité email pendant des années.

Un incident récent impliquant Eden Park, le plus grand stade de rugby de Nouvelle-Zélande, a mis en lumière cette vulnérabilité souvent négligée. Des chercheurs en sécurité ont découvert que la configuration DMARC du lieu envoyait ses rapports agrégés et forensiques vers un domaine abandonné et expiré depuis plus de trois ans.

Ce que révèlent vraiment les rapports DMARC

Avant de nous plonger dans l'incident lui-même, comprenons ce que contiennent les rapports DMARC et pourquoi la protection des domaines de destination est si importante.

Quand vous publiez un enregistrement DMARC pour votre domaine, vous demandez essentiellement aux serveurs de réception du monde entier de vous envoyer des résumés quotidiens de tout email prétendant provenir de votre domaine. Ces rapports agrégés (envoyés via le tag rua) contiennent des informations précieuses : quelles adresses IP envoient des emails en votre nom, si les vérifications SPF et DKIM passent, et surtout, si quelqu'un tente d'usurper votre domaine.

Certains rapports incluent aussi les données envelope-to — les véritables destinataires de ces messages. Ces informations créent en quelque sorte une carte vivante de vos relations professionnelles, montrant avec qui votre organisation échange des emails, quels fournisseurs vous utilisez, quelles agences gouvernementales vous contactent, et potentiellement quels sous-traitants gèrent des projets sensibles.

Pendant la période où les chercheurs ont détenu le domaine expiré, ils ont reçu plus de 12 000 rapports pour edenpark.co.nz, révélant environ 600 organisations distinctes avec lesquelles le stade correspondait — des entrepreneurs du BTP aux traiteurs, en passant par les fédérations sportives et les agences gouvernementales.

Les dangers d'une destination de rapport non sécurisée

Les implications de cette vulnérabilité dépassent largement le simple fait de manquer vos propres rapports de sécurité. Quand vos rapports DMARC vont vers un domaine expiré ou mal sécurisé, plusieurs scénarios préoccupants deviennent possibles :

1. Collecte de renseignements : Comme le démontre ce cas, toute personne qui enregistre un domaine de rapport abandonné peut accumuler une connaissance détaillée des schémas d'emailing d'une organisation, de ses relations commerciales et de ses prestataires email tiers.

2. Défaillance du système d'alerte précoce : Votre organisation perd toute visibilité sur les tentatives d'usurpation de domaine, les campagnes de phishing utilisant votre marque, ou l'utilisation non autorisée de votre domaine.

3. Zones d'ombre conformité : De nombreuses industries exigent que les organisations maintiennent une surveillance sur les échecs d'authentification email. Un domaine de rapport expiré crée des failles de conformité qui ne peuvent être découvertes que lors d'audits.

Comment cela se produit en pratique

Le cas Eden Park révèle un écueil courant : référencer des services tiers dans vos enregistrements DNS sans surveiller leur cycle de vie. Dans ce cas précis, le domaine de rapport (spamcontrol.co.nz) appartenait à un service de filtrage email opéré par Fujitsu qui a été mis hors service en 2021. La référence dans l'enregistrement DMARC d'Eden Park a tout simplement survécu au service lui-même.

Ce scénario est plus fréquent qu'on ne le pense. Les organisations ont tendance à :

• Configurer les rapports DMARC vers une adresse sur le domaine d'un prestataire
• Later switch vendors or discontinue services
• Ne jamais nettoyer les anciens enregistrements DNS
• Perdre la mémoire institutionnelle quand le personnel informatique part

Le résultat : des enregistrements DNS qui pointent vers des domaines disponibles pour n'importe qui à register.

Protéger votre organisation

Alors que pouvez-vous faire pour éviter de retrouver vos rapports DMARC dans la boîte email de quelqu'un d'autre ?

1. Auditez vos enregistrements DMARC régulièrement : Passez en revue tous les enregistrements DNS d'authentification email au moins trimestriellement. Vérifiez que chaque domaine référencé dans vos tags rua et ruf est activement maintenu et sécurisé.

2. Utilisez votre propre domaine pour les rapports : Configurez les rapports DMARC pour être envoyés vers des adresses sur votre propre domaine ou un domaine que vous contrôlez directement. Cela vous donne un contrôle total sur qui y accède.

3. Surveillez les dates d'expiration des domaines : Si vous devez utiliser des domaines externes pour les rapports, tenez un calendrier des dates d'expiration et assurez-vous que les renouvellements sont traités de manière proactive.

4. Mettez en place une surveillance de la livraison des rapports : Implémentez des alertes ou tableaux de bord qui vous notifient quand les rapports DMARC cessent d'arriver. Une chute soudaine du volume de rapports pourrait indiquer un problème avec le domaine de rapport.

5. Passez à p=quarantine ou p=reject : Bien que cela ne traite pas directement le problème de la destination des rapports, dépasser p=none réduit significativement le risque que votre domaine soit utilisé dans des attaques d'usurpation, limitant ainsi la valeur des renseignements collectés depuis vos rapports.

La leçon plus large

L'incident Eden Park rappelle que la sécurité email n'est pas une question de configurer puis oublier. L'infrastructure DNS qui supporte votre authentification email nécessite une attention continue, au même titre que les politiques d'authentification elles-mêmes.

À une époque où l'email reste le vecteur principal des compromissions d'entreprises et des attaques de phishing, maintenir l'intégrité de votre infrastructure d'authentification email n'est pas seulement une bonne pratique technique — c'est un impératif business. Prenez un moment aujourd'hui pour examiner vos enregistrements DMARC et vérifier que vos destinations de rapport sont sécurisées, à jour, et sous votre contrôle.

Parce que la dernière chose que vous voulez, c'est que votre configuration de sécurité devienne la source de renseignements de quelqu'un d'autre.

Chez NameOcean, nous aidons les entreprises à sécuriser leur présence en ligne, de l'enregistrement de domaine jusqu'à la configuration DNS. Notre équipe peut vous accompagner dans la mise en place de DMARC, les audits de sécurité DNS, et garantir que votre infrastructure d'authentification email est correctement configurée.