Fraude aux adresses IP : comment reprendre la main ?

Un incident est en cours ? Commencez par le qualifier

Relevez les préfixes, l’ASN, les horaires et les services touchés. Faites distinguer par vos équipes un équipement compromis, une annonce de route non autorisée, une modification du registre et une fraude à la location ou au transfert. Une anomalie n’établit pas, à elle seule, une fraude.

Conservez les journaux, les observations de routage et les pièces de transaction sans retarder les mesures urgentes de confinement. Isolez ce qui doit l’être et protégez la continuité du service. Redémarrer tous les équipements, couper tous les services ou changer d’adresses n’est pas une réponse universelle.

Contactez les opérateurs concernés pour le routage, le RIR compétent pour les inscriptions et, selon les faits, le service de signalement des infractions applicable. Vous ne pouvez pas retirer directement l’annonce BGP d’un tiers. La remise en état précède la demande de réexamen d’un blocage.

Quand une adresse menace toute une activité

Des courriels refusés, des clients privés d’accès ou un bloc utilisé à votre insu peuvent rapidement affecter recettes et confiance. Une réponse sérieuse relie l’analyse technique, les droits sur les ressources et la conservation des preuves.

L’article suit l’ensemble du parcours : reconnaître les signaux, contenir l’incident, le signaler, rétablir la réputation et éviter sa répétition. Les décisions opérationnelles doivent tenir compte du réseau et des services réellement touchés.

Des incidents différents derrière le mot « fraude »

L’usurpation d’adresse source falsifie l’origine d’un paquet. Un détournement BGP touche les annonces de routes et peut dévier le trafic. Des blocs utilisés sans autorisation peuvent aussi servir au spam ou à l’hameçonnage. Ces mécanismes n’exigent pas tous la même réponse.

La rareté d’IPv4 et les transactions secondaires favorisent aussi les fausses locations, les vendeurs sans droits et la revente de blocs au passé problématique. Il faut vérifier les parties et la chaîne d’autorisation, pas seulement une offre commerciale.

Pour un hébergeur, un opérateur ou un commerçant en ligne, les conséquences possibles sont l’indisponibilité, l’exposition de données et la perte de clients.

Repérer les signaux sans tirer de conclusion hâtive

Une route inhabituelle, un ASN inconnu, une hausse des plaintes ou une nouvelle inscription sur une liste de blocage méritent une enquête. Latence, pertes de paquets et changement de géolocalisation restent des indices, non des preuves de détournement.

Croisez BGPStream ou les observations de routage de RIPE avec les traceroutes, journaux de service et activités des comptes. Comparez les préfixes, les origines et les horaires avec un état connu. Un message malveillant qui semble venir de votre adresse ne prouve pas que votre machine l’a émis.

Les scans préparatoires, l’affaire Micfo et les irrégularités découvertes seulement à la revente enseignent la même chose : contrôlez vos ressources régulièrement, avant qu’un client ou un acheteur ne découvre le problème.

Contenir sans aggraver la panne

Réunissez les responsables réseau, sécurité et métier. Isolez les systèmes compromis selon le diagnostic, tout en conservant les éléments utiles. Les correctifs, règles de pare-feu et analyses de trafic, notamment avec Wireshark, doivent s’inscrire dans cette réponse coordonnée.

Obtenir une nouvelle IP dynamique sur une connexion domestique ne restitue pas un bloc d’entreprise détourné. Vous ne maîtrisez que vos propres configurations et annonces autorisées. Pour une annonce externe fautive, documentez le préfixe et l’ASN puis travaillez avec l’opérateur et son transit.

Décidez d’une suspension d’API, de messagerie ou d’autres services selon le risque constaté et les possibilités de continuité. Couper tout le réseau par défaut peut créer une seconde panne. Vérifiez ensuite le rétablissement depuis les parcours réels des utilisateurs.

S’adresser au bon interlocuteur

Une fausse demande de ressources, une inscription modifiée sans autorisation ou un transfert contesté relève du RIR concerné. Le dispositif d’ARIN pour la fraude aux ressources n’est pas le guichet général du spam, de l’hameçonnage ou des intrusions.

Le routage nécessite la coopération des réseaux ; les infractions présumées suivent les voies de signalement compétentes. IC3 reçoit des signalements de cybercriminalité. Au Royaume-Uni, Report Fraud a remplacé Action Fraud en Angleterre, au pays de Galles et en Irlande du Nord ; l’Écosse relève de Police Scotland. L’assistance du NCSC ne remplace pas un dépôt auprès de la police.

Constituez une chronologie avec préfixes, ASN, journaux, captures de listes, traceroutes, changements de comptes, contrats, paiements et échanges. Gardez les originaux en sécurité et tracez leur collecte et leur transmission. Signalement pénal, correction du registre et restauration du service sont des démarches distinctes.

Rétablir la réputation après avoir corrigé la cause

Identifiez d’abord le service qui bloque et le motif de son inscription. Traitez le trafic abusif, le compte compromis ou la configuration en cause ; conservez la preuve des corrections. Demandez ensuite un réexamen par le canal propre à chaque liste, par exemple celui de Spamhaus.

Vérifiez les paramètres d’envoi, dont SPF et DKIM, puis surveillez les rejets et les plaintes. Les données de réputation de Talos ou d’autres services apportent un éclairage, sans constituer une vérité unique. Pour un bloc loué, examinez aussi l’historique du fournisseur et ses engagements contractuels.

Changer de bloc ne supprime pas une compromission persistante. Les délais de rétablissement dépendent de la cause et des acteurs impliqués.

Ce que NRS peut apporter aux opérateurs

Un inventaire fiable, les documents justifiant les droits et des preuves datées permettent à une organisation d’exposer son problème. Les ressources de NRS et l’entrée NRS Shield donnent accès à une démarche de compréhension des risques et de recherche de soutien.

Locations équitables, notifications aux pairs, audits et droits traçables ont chacun leur rôle, comme RPKI : la validation de l’origine dépend des ROA et des politiques appliquées par les réseaux, et ne bloque pas toutes les attaques.

Ce que NRS offre aujourd’hui à ses membres est présenté sur NRS Shield. Quand vous voulez que NRS agisse pour vous en matière de politique ou d’élection, une procuration (POA) lui en donne le mandat.

Transformer l’incident en prévention durable

Tenez à jour l’inventaire, les contacts RIR et les domaines utilisés par les adresses de contact. Maîtrisez les accès administratifs et formez les équipes aux faux interlocuteurs, à l’hameçonnage et aux autorisations falsifiées.

Faites vérifier les ROA, filtres de routes et politiques de peering par l’équipe réseau, puis surveillez les annonces.

Réévaluez les contrats et fournisseurs, prévoyez la continuité et répétez les audits. Diversifier les blocs peut réduire certaines dépendances, mais complique la gestion. Un registre distribué peut aider la traçabilité ; il ne rend pas vraie une identité fausse ni valide une autorisation inexistante.

Vigilance, vérification et réaction rapide

Vigilance, vérification et réaction rapide : ce sont les trois réflexes de base face à la fraude aux adresses.

La leçon pratique demeure : la valeur des adresses attire la fraude, et leur récupération peut mêler opérations réseau, contrats et procédures juridiques. Les preuves et les compétences utiles comptent davantage qu’une garantie attribuée sans source à un expert.

Ce que les affaires permettent réellement de conclure

Le dossier Micfo dispose d’une communication du ministère américain de la Justice de 2021, décrivant des sociétés fictives, l’obtention et la vente de droits sur des adresses ainsi que des plaider-coupable. Il justifie la vigilance sur les dossiers et les contreparties, pas une présomption applicable à tout litige.

Pour évaluer un risque, appuyez-vous sur des affaires documentées publiquement, comme le dossier Micfo ci-dessus.

Pour chaque incident réel, les questions restent concrètes : depuis quand, quel réseau, quels droits, quel interlocuteur et quelle solution de continuité ? L’accompagnement ne remplace pas la décision d’une autorité compétente.

La technologie aide ; elle ne tranche pas les droits

L’automatisation peut signaler des variations de routes, de localisation ou de comportement. Elle requiert une validation humaine : une géolocalisation ne prouve pas la titularité, un score ne démontre pas une fraude.

RPKI pour l’origine des routes, DNSSEC pour l’authenticité des données DNS et les outils de traçabilité des transactions répondent à des problèmes distincts ; aucun ne suffit à établir la validité d’un transfert.

Questions fréquentes

Qu’appelle-t-on fraude aux adresses IP ?

Cela peut viser une fausse qualité de titulaire, une location trompeuse, une inscription modifiée sans autorisation ou une fraude liée à un détournement. Il faut distinguer usurpation de source, registre et routage avant de choisir la réponse.

Comment savoir si mes ressources sont touchées ?

Comparez annonces BGP, trafic, rejets et listes de blocage à votre situation habituelle, puis aux journaux des comptes. Les outils d’observation apportent des indices ; éliminez aussi les erreurs de configuration et incidents de transit.

À qui faire un signalement ?

Aux réseaux pour le routage, au RIR pour les inscriptions et aux autorités compétentes pour une infraction présumée. IC3 et les dispositifs britanniques ont leurs champs propres. Une seule démarche ne réalise pas toutes les corrections.

Peut-on récupérer un bloc détourné ?

C’est parfois possible, mais rétablir une route, reprendre un compte, résoudre des droits contestés et réparer une réputation sont des tâches différentes. Les preuves et les pouvoirs d’intervention déterminent la suite, sans délai garanti.

Comment NRS contribue-t-il à la prévention ?

Par la compréhension des risques, la défense des droits des opérateurs et un accès au soutien dont le périmètre doit être précisé. Demander de l’aide ne donne pas à NRS le pouvoir de voter ou de décider en votre nom.

Sources

Article d’Ann Yong, publié en anglais le 18 novembre 2025 et mis à jour le 5 mars 2026.

NRS : qu’est-ce que le RIPE · NRS : les transferts chez ARIN · ARIN : signaler une fraude aux ressources · IC3 : signalement et preuves · Report Fraud : nouveau service britannique · RIPE NCC : validation de l’origine BGP · Spamhaus : réagir à un détournement · Justice américaine : dossier Micfo de 2021 · RFC 4033 : DNSSEC · Spamhaus : réexamen des inscriptions

Faire entendre les opérateurs dans les règles qui les concernent

NRS Shield est l’endroit où les opérateurs transforment un risque individuel en force collective, et la procuration est le moyen de donner à NRS l’autorité d’agir pour votre réseau.

Découvrir NRS Shield · Mandat POA et représentation · Actions en cours