Des attaquants ont pris le contrôle des DNS de trois extensions nationales (.gh, .sl et .as) et en ont profité pour obtenir de vrais certificats HTTPS au nom de Google et de YouTube. Ni Google ni les autorités de certification n’ont commis d’erreur : c’est un maillon en amont qui a cédé. Une attaque rare, qui rappelle qu’aucune entreprise ne maîtrise toute la chaîne qui fait fonctionner son nom de domaine.
Mis à jour le 12 octobre 2026 : en recoupant les journaux publics de certificats avec la liste de blocage de Chrome, le média australien iTnews a compté 32 certificats émis au profit des attaquants entre le 22 et le 27 septembre, pour plusieurs grandes marques et pas seulement Google. Les opérateurs des trois extensions n’ont pas répondu à ses questions (iTnews, 8 octobre 2026).
Ce qui s’est passé
Le 6 octobre 2026, Google a annoncé que trois extensions nationales de noms de domaine avaient été détournées : .gh (Ghana), .sl (Sierra Leone) et .as (Samoa américaines). Les attaquants ont modifié les enregistrements DNS de référence de ces extensions, c’est-à-dire l’annuaire officiel qui indique où se trouve chaque site qui se termine par .gh, .sl ou .as (The Hacker News, 7 octobre 2026).
En fouillant les journaux Certificate Transparency (un registre public où tout certificat reconnu par les navigateurs doit être inscrit), The Hacker News a retrouvé au moins 12 certificats pour des noms Google et YouTube, comme google.com.gh ou google.sl. Ils ont été émis entre le 22 et le 27 septembre, 11 par Let’s Encrypt et 1 par ZeroSSL, puis révoqués entre le 26 septembre et le 1er octobre. Google indique que d’autres organisations, dont de grandes marques internationales, ont aussi été touchées, sans les nommer. Ses propres systèmes, eux, n’ont pas été piratés (BleepingComputer, 7 octobre 2026).
Comment l’attaque a fonctionné
Un certificat HTTPS, c’est ce qui affiche le cadenas dans la barre d’adresse du navigateur. Avant d’en délivrer un, une autorité de certification vérifie que le demandeur contrôle bien le nom de domaine, le plus souvent en lui demandant d’ajouter une information dans le DNS.
Ici, les attaquants contrôlaient le DNS en amont, au niveau du registre de l’extension ou d’un prestataire technique de ce registre (les sources ne sont pas d’accord sur ce point). Ils ont donc passé la vérification sans difficulté. Les autorités de certification ont appliqué leur procédure correctement : c’est l’information sur laquelle elles s’appuyaient qui était fausse.
Les attaquants ont procédé une extension après l’autre : le Ghana d’abord, puis la Sierra Leone, puis les Samoa américaines. Ils ont continué même après la révocation des premiers certificats.
Avec un tel certificat, un pirate qui parvient à détourner le trafic peut se faire passer pour le vrai site, sans aucune alerte du navigateur, et lire ce que l’utilisateur envoie. Google a bloqué ces certificats dans Chrome, mais prévient que cette protection ne couvre pas les autres navigateurs.
Ce qu’on ne sait pas encore
- Qui est derrière l’attaque.
- Comment les registres (ou leurs prestataires) ont été compromis, et s’ils sont aujourd’hui sécurisés.
- Si les certificats ont réellement servi à intercepter des données : Google ne le dit pas.
- Si toutes les victimes ont été identifiées : Google reconnaît ne pas pouvoir le garantir.
Ce que ça change pour une PME
Votre nom de domaine dépend d’une chaîne de tiers : le registre de l’extension, le bureau d’enregistrement, l’hébergeur DNS, les autorités de certification. Quelques mesures simples permettent de repérer ce type d’attaque, même quand le maillon faible n’est pas chez vous.
- Faites la liste de vos noms de domaine, y compris ceux que vous n’utilisez plus ou que vous avez réservés « par précaution », et notez pour chacun qui gère l’enregistrement et le DNS (souvent votre hébergeur ou votre agence web).
- Surveillez les certificats émis à votre nom. Des services, dont certains gratuits, envoient une alerte dès qu’un nouveau certificat apparaît pour vos domaines dans les journaux publics. Demandez à votre prestataire de mettre cette alerte en place.
- Publiez un enregistrement CAA (une ligne dans votre DNS qui indique quelles autorités ont le droit de délivrer des certificats pour votre domaine). Il ne bloque pas une attaque en cours, mais il empêche l’attaquant de réutiliser plus tard une validation obtenue frauduleusement.
- Sachez à qui signaler un certificat que vous n’avez pas demandé : l’autorité qui l’a émis doit enquêter sous 24 heures, selon les règles communes du secteur.
Dossier : Fournisseurs et sous-traitants
Cet article prolonge notre bulletin de veille du 8 octobre 2026.
Analyse préparée avec l’aide d’une intelligence artificielle à partir de sources publiques, sous la responsabilité de KyNeo. Malgré nos contrôles, des erreurs peuvent subsister : en cas de doute, référez-vous aux sources citées. Les informations non confirmées sont signalées comme telles.