Votre marque usurpée sur une page d'hameçonnage (chez vous ou ailleurs)

Chez vous ou ailleurs

L'URL décide de l'ordre. `votre-domaine.fr/wp-login-bank.html` : c'est votre incident d'hébergement, exception où l'on coupe tout de suite. `quelquechose-votremarque.xyz` : c'est une usurpation chez un tiers. Les clients, eux, voient « votre » logo dans les deux cas. Votre comm' doit dire clairement si *votre* site sert encore la page.

Les deux peuvent coexister : kit chez vous + copies ailleurs. Traitez le vôtre en premier (vous en êtes l'hébergeur de fait), puis les copies.

Un email usurpateur avec SPF ouvert sans page chez vous : chantier phishing domaine, pas forcément un fichier sur le FTP. Notez l'heure de chaque URL découverte : les listes et les banques demandent souvent « depuis quand ». Une spreadsheet de dix lignes suffit.

Sur votre domaine : couper d'abord

Maintenance sur *cette* URL, retrait du fichier, ou coupure courte du vhost. Chaque minute en 200 alimente les listes et les victimes. Puis on cherche comment le fichier est arrivé (upload, extension, FTP) et la porte. Une nouvelle page apparaît le soir sous un autre nom si l'entrée reste.

Prévenez l'hébergeur : ils ont souvent déjà l'abus. Interdisez PHP dans les uploads, 755/644. Ticket factuel, archive demandée.

Safe Browsing et antivirus : réexamens après page introuvable, pas avant. Même logique que le réexamen trop tôt côté mail.

• URL frauduleuse plus en 200.
• Entrée fermée, pas seulement le HTML.
• Réexamens ensuite.

Ailleurs : qui signaler

Hébergeur du site pirate (whois, pages d'abus). Registrar du nom menteur. Certificat (parfois un formulaire). Google Safe Browsing / signalement phishing. La marque usurpée si ce n'est pas vous — et si c'est vous, vos propres canaux + les banques si on imite un paiement.

Les banques et les grandes webmails ont des adresses `abuse@` et des portails. Un signalement clair : URL, capture, date, « usurpe telle marque ». Relancer vingt fois le même formulaire le même jour n'accélère pas.

Vous n'avez pas de levier FTP chez eux. N'achetez pas un « service de takedown » opaque le soir même sans savoir ce qu'ils font. Les canaux officiels d'abord.

Marque, logo, modèle d'email

Votre charte dans un kit : INPI / avocat si campagne durable. En urgence, les signalements techniques retirent plus de victimes qu'une assignation. Les deux peuvent se suivre.

Un modèle d'email recopié (même fautes) : gardez les originaux. Utile pour expliquer aux clients comment distinguer. Ne publiez pas le modèle complet (kit prêt à l'emploi pour d'autres).

Les salariés : rappel, on ne « teste » pas le kit avec de vrais identifiants.

Clients qui ont cliqué

S'ils ont saisi un mot de passe *de votre* espace : reset, sessions, phrase de réutilisation. S'ils ont saisi une carte sur un faux PSP : banque, opposition, pas seulement « changez votre mot de passe site ».

Si le kit était *chez vous*, le volet données s'ouvre : vous avez hébergé la collecte. Constat, risque, 72 h selon les champs. Ce n'est plus « juste du SEO ».

Un email d'alerte : nous n'avons pas cette page, ne cliquez pas, voici l'URL officielle à taper. Sans lien bizarre.

Listes noires et moteurs

Votre domaine listé parce que le kit y était : nettoyage + recours après 200 disparu. Un domaine tiers listé : pas votre Safe Browsing, mais vos clients voient encore le logo. La comm' compte.

Annonces pub qui mènent au kit : signalement Ads / Meta. Vos campagnes peuvent être pause si Google croit que *vous* êtes la destination. Distinguez dans le ticket.

Emails : les URL du kit dans les corps de mail brûlent aussi le From.

Empêcher la récidive chez vous

Un domaine déjà servi au phishing est réattaqué. Surveillance des nouveaux fichiers à la racine, uploads sans exécution, comptes. Voir interdire PHP et journalisation 30 jours.

Noms de fichiers « random » : un listing de répertoire ouvert aide l'attaquant. Fermez les index.

Sous-domaines oubliés (`old.`, `test.`) : même chasse. Ils portent votre marque autant que le www.

Dossier : URL et captures

Liste d'URL, dates de découverte, dates de 404, tickets abus, captures. Pièces plainte et assurance. Ne recyclez pas les URL en lien cliquable dans un PDF largement diffusé : texte brut, espace dans le domaine, capture jointe.

Créer un compte si le kit est chez vous. Si seulement ailleurs, le nettoyage CMS n'est peut-être pas le sujet — sauf site déjà compromis par ailleurs. Dans le doute (clients qui voient *votre* logo partout), vérifiez quand même la racine et les uploads : un kit chez vous et une copie ailleurs, c'est le couple le plus fréquent.

• Géographie de l'URL d'abord.
• Couper chez vous, signaler ailleurs.
• Garder les URL, ne pas les republier en 200.