Infoblox observe 65 000 domaines expirés réenregistrés chaque jour. Un marché légal en apparence, mais devenu une machine à récupérer trafic et confiance.
En bref
- 65 000 domaines expirés rachetés chaque jour
- Les criminels récupèrent trafic, liens et crédibilité
- La défense reste plus lente que l’attaque
On parle souvent d’infrastructure détournée. Là, c’est plus fin. Les attaquants rachètent de la confiance déjà installée, celle d’un ancien site légitime, de ses backlinks, de son trafic et parfois de sa bonne réputation SEO. C’est le point le plus dérangeant de l’enquête publiée par Infoblox.
Le vieux nom de domaine est devenu un actif offensif
Au premier semestre 2026, Infoblox Threat Intel a observé environ 65 000 noms de domaine réenregistrés chaque jour après expiration. Ce marché du dropcatching pèse près de 20 % de l’ensemble des domaines enregistrés quotidiennement. Pas un coin obscur du Web, donc, mais une mécanique déjà massive.
Le ressort est simple. Quand un domaine expire puis est racheté, son nouveau propriétaire hérite d’une partie de son historique, liens entrants, visiteurs résiduels, références disséminées sur le Web. Pour un cybercriminel, c’est bien plus efficace qu’un domaine neuf. Dre Renée Burton, vice-présidente de Infoblox Threat Intel, résume d’ailleurs que le volume observé est stupéfiant et que ces domaines offrent un accès immédiat à la confiance des internautes, avec un risque supérieur à la plupart des nouveaux enregistrements.
Des acteurs identifiés, avec des moyens déjà industriels
Le cas le plus parlant, c’est Sable Squirrel. L’acteur aurait dépensé plus de 6 034 000 euros (7 millions de dollars) pour racheter plus de 10 000 domaines expirés. Derrière, on trouve un écosystème mêlant diffusion de logiciels malveillants, jeux d’argent en ligne et streaming illégal.
Et ce n’est pas tout. Infoblox relie aussi cet acteur à des serveurs de commande et de contrôle, des C2, utilisés par plusieurs RAT. Même logique chez d’autres profils suivis par les chercheurs, Stuffy Squirrel, Shady Squirrel et Swiping Squirrel, avec des milliers de domaines dropcatchés retrouvés sur des dizaines de milliers de sites déjà compromis.
Pourquoi l’écosystème réagit plus lentement que les attaquants
Le paradoxe, il est là. Racheter un domaine expiré reste légal. Le registrar ne peut pas bloquer quelqu’un juste parce qu’il achète 500 ou 5 000 anciens domaines. Il faut ensuite prouver un abus, phishing, malware, botnet, pharming ou certains spams au sens du DNS Abuse défini par ICANN.
En face, les attaquants automatisent tout, surveillance des expirations, évaluation du trafic, achat dès la remise en disponibilité. La défense, elle, passe encore souvent par une chaîne plus lente, détection, qualification, signalement, analyse, puis éventuelle suspension. Depuis avril 2024, les registrars et registres gTLD ont bien des obligations renforcées. Mais le DNS reste mondial, fragmenté, et un État ne contrôle pas à lui seul cette tuyauterie.
Le point que l’enquête met brutalement sur la table
Le vrai sujet n’est pas seulement le rachat des domaines expirés. C’est le fait qu’un changement complet de propriétaire ne remette pas à zéro le capital de confiance du domaine. Un nom abandonné peut garder des traces partout, moteurs de recherche, PDF, forums, sites institutionnels ou sites compromis. Résultat, le nouveau propriétaire récupère une crédibilité qu’il n’a jamais construite.
Infoblox présente ses travaux en trois volets, d’abord le détournement de confiance, puis l’enquête sur Sable Squirrel, enfin celle sur trois autres acteurs. Et franchement, pour l’écosystème mobile et numérique, l’alerte est nette, les cybercriminels n’achètent plus seulement des domaines. Ils achètent de la réputation numérique.
