Elle rachète un domaine oublié pour 5 euros et voit passer les appels vers des bases militaires

Récit

Une chercheuse en sécurité a payé 5 euros pour un nom de domaine tombé dans l’oubli. Après le domaine acheté « pour rire » que l’armée américaine a fini par solliciter, c’est la deuxième fois en deux jours qu’un domaine négligé se révèle une pièce d’infrastructure sensible. Pendant six mois, son serveur a journalisé 209 205 demandes d’acheminement d’appels vers trois territoires britanniques isolés, dont deux accueillent des bases militaires. Elle n’a forcé aucune porte : le domaine était libre, et elle a publié son récit le 30 juillet 2026.

Ce que son serveur a vu passer

Concrètement, la chercheuse n’a entendu aucune conversation. Elle a reçu des questions posées par des machines, du type « où faut-il envoyer un appel destiné à ce numéro ? », émises par les réseaux qui cherchaient à joindre ces territoires.

Chaque question portait le numéro composé, l’horodatage et l’adresse du résolveur qui la posait, le plus souvent américaine, écrit-elle dans son billet. Son serveur a répondu qu’il ne connaissait pas ces numéros, et les appels sont partis par le réseau classique.

Le volume se lit mieux ramené au temps. Les 209 205 requêtes journalisées par la chercheuse, rapportées aux six mois d’observation décrits dans son billet du 30 juillet 2026, représentent selon nos calculs 1 143 numéros appelés exposés par jour, soit un toutes les 76 secondes.

Voici la répartition par territoire et sa conversion en rythme quotidien.

Ce décompte ne couvre qu’une partie de son installation : elle estime le trafic réel autour de 400 000 requêtes, soit 2 200 par jour.

Pourquoi une branche abandonnée répond encore

Le mécanisme date du début des années 2000. Pour éviter de payer le réseau téléphonique quand une liaison internet suffirait, les opérateurs ont convenu de transformer un numéro en nom de domaine, puis d’interroger l’annuaire d’internet pour savoir si une adresse moins chère existe. La règle est publiée dans une norme ouverte.

Chaque pays administre la branche de son indicatif et la confie à des serveurs de noms. Ces serveurs portent eux-mêmes des noms de domaine ordinaires, qui s’achètent, se renouvellent et finissent parfois par expirer.

C’est ce qui s’est produit ici. Trois branches pointaient encore vers un domaine britannique que plus personne ne renouvelait, et le racheter suffisait à hériter de la fonction.

Ce qui aurait pu fuir, et pourquoi personne ne voit rien

La chercheuse a répondu « je ne connais pas ce numéro » à chaque demande. Quelqu’un d’autre aurait pu répondre l’inverse, rappeler le vrai destinataire en affichant le numéro d’origine, et rester en écoute au milieu de la conversation.

Rien ne casse pendant ce temps. La sonnerie retentit, le correspondant décroche, aucune alarme ne se déclenche du côté des opérateurs.

Le cas n’a rien d’isolé. Le RIPE NCC, qui coordonne ces délégations, a publié le 12 mai 2026 un état des lieux : sur les 46 branches nationales encore déléguées, 17 sont totalement hors service et 6 partiellement, soit une sur deux en défaut.

La France a fermé la sienne dès 2006

La France a eu sa propre branche, et elle l’a refermée. Le rapport du groupe de travail réuni par le régulateur des télécoms, arrêté fin septembre 2002, proposait d’en confier la gestion technique à l’AFNIC.

L’essai a tourné court. Le 27 avril 2006, le ministère de l’Économie écrivait au RIPE NCC pour faire modifier les enregistrements de la zone française, après la fermeture de l’essai NUMEROBIS. Vingt ans séparent cette décision de l’inventaire du RIPE.

Côté britannique, l’affaire s’est débloquée d’un coup. Après la frappe iranienne du 20 mars 2026 sur la base de Diego Garcia, condamnée par Londres le lendemain, le centre national de cybersécurité a accepté le transfert du domaine que la chercheuse lui signalait en vain.

Pour un particulier, il n’y a rien à corriger sur son téléphone. La leçon vaut pour les organisations : un nom de domaine oublié reste une clé qui traîne, comme un réglage laissé ouvert quand on désactive l’IA de sa messagerie, ou un vieux compte jamais fermé quand on reprend la main sur ses données.

Article créé en collaboration avec l’IA.