Un botnet, c’est une armée d’appareils piratés (box internet, caméras IP, routeurs, serveurs cloud détournés) qu’un opérateur pilote à distance pour saturer un site, voler des identifiants ou diffuser du spam. Pour que cette armée obéisse, elle doit recevoir ses ordres de quelque part. Ce « quelque part » repose presque toujours sur un nom de domaine et une adresse IP. Et c’est précisément là que le WHOIS entre en scène : derrière chaque domaine, il reste des traces d’enregistrement qu’un enquêteur peut exploiter.
En 2026, la méthode a profondément changé. Depuis le 28 janvier 2025, l’ICANN a mis fin à l’obligation de proposer un service WHOIS pour les extensions génériques et a fait du RDAP la source de référence. Les données personnelles des titulaires sont masquées par défaut. Pourtant, l’investigation reste possible, car les indices les plus utiles sont techniques : date de création, bureau d’enregistrement, serveurs de noms, statut du domaine.
Les enjeux sont concrets. Les infrastructures de commande se renouvellent vite, parfois en quelques heures, et savoir lire un enregistrement de domaine permet de gagner un temps précieux.
Les chiffres qui alertent
Cloudflare a bloqué 47,1 millions d’attaques DDoS en 2025, soit 121 % de plus que l’année précédente, avec un record de 31,4 Tbps pour une attaque de seulement 35 secondes, attribuée au botnet Aisuru-Kimwolf.
Selon Qrator Labs, le plus grand botnet DDoS suivi au premier trimestre 2026 réunissait 13,5 millions d’appareils. Au deuxième trimestre, il n’en comptait plus que 2,09 millions, après une opération des forces de l’ordre.
Le rapport européen de Link11 pour le premier semestre 2026 note une baisse de 42 % du nombre d’attaques, mais un pic à 2,3 Tbit/s. Seules 44 % des cibles restent tranquilles pendant 30 jours après une vague, contre 54 % un an plus tôt.
Pourquoi ça vous concerne directement
Vous n’avez pas besoin d’être une grande banque pour être concerné. Votre caméra connectée ou votre routeur oublié peut devenir un maillon du réseau sans que vous ne remarquiez rien. Côté entreprise, le secteur financier a concentré 44,2 % des attaques DDoS au premier trimestre 2026, mais les médias, les éditeurs de logiciels et le e-commerce sont aussi dans la ligne de mire. Savoir qualifier un domaine suspect en cinq minutes change la manière de réagir à un incident.
Qu’est-ce que le whois pour détecter les botnets exactement ?
Le WHOIS est un protocole de consultation né dans les années 1980, qui permet d’interroger les informations d’enregistrement d’un nom de domaine ou d’un bloc d’adresses IP. Utilisé pour détecter les botnets, il devient une méthode d’investigation : on étudie les données d’enregistrement des domaines et des IP liés à une activité suspecte pour repérer les serveurs de commande et les relier entre eux.
L’histoire récente tient en quelques jalons. Le RGPD, en 2018, a poussé l’ICANN à masquer les données personnelles. Le RDAP, protocole moderne qui renvoie des données structurées au format JSON, a ensuite pris le relais. Sa fréquence d’usage a dépassé celle du WHOIS dès juin 2025. Enfin, la politique de données d’enregistrement de l’ICANN, appliquée depuis le 21 août 2025, fixe un cadre commun : les noms, e-mails et téléphones des titulaires ne sont plus publics par défaut.
Les mécanismes cachés
Les opérateurs de botnets cherchent à rendre leur infrastructure difficile à fermer. Plusieurs techniques reviennent régulièrement :
les algorithmes de génération de domaines (DGA), qui fabriquent des centaines de noms par jour, dont un seul servira de point de contact ;
le fast flux, qui fait tourner très vite les adresses IP derrière un même nom ;
les domaines jetables, enregistrés par lots chez des bureaux d’enregistrement peu regardants ;
les services de confidentialité, qui cachent le véritable titulaire ;
les canaux sans domaine : le botnet Aeternum, signalé par Qrator Labs, utilise par exemple la blockchain Polygon pour communiquer, ce qui échappe totalement au WHOIS.
Les acteurs principaux
L’ICANN, qui fixe les règles des extensions génériques et propose l’outil lookup.icann.org ainsi que le service RDRS pour demander des données masquées.
Les registres, comme Verisign pour le .com ou l’Afnic pour le .fr, qui tiennent les bases officielles.
Les bureaux d’enregistrement, qui vendent les noms de domaine et sont le premier interlocuteur en cas d’abus.
Les registres régionaux d’adresses IP, dont le RIPE NCC pour l’Europe.
Le CERT-FR, Europol et les équipes de réponse à incident des hébergeurs.
Les éditeurs de renseignement sur les menaces, qui archivent des milliards d’enregistrements historiques.
Les impacts concrets en 2026
Les exemples marquants ne manquent pas. En septembre 2016, l’hébergeur français OVH avait encaissé une attaque d’environ 1 Tbps orchestrée par un botnet de type Mirai, composé de caméras et d’enregistreurs vidéo. En janvier 2021, le réseau Emotet a été démantelé lors d’une opération coordonnée par Europol, avec une participation française. Plus près de nous, en mars 2026, les autorités américaines, canadiennes et allemandes ont fermé les serveurs de commande de quatre botnets d’objets connectés qui contrôlaient plus de trois millions d’appareils.
Ces opérations passent par l’identification de l’infrastructure : quels domaines, quels hébergeurs, quels bureaux d’enregistrement. Les données d’enregistrement en sont une pièce du puzzle, jamais la seule.
Pour les particuliers
Un appareil recruté dans un botnet ralentit parfois votre connexion, mais le plus souvent il ne montre aucun signe. Le réflexe utile, c’est de vérifier ce qui sort de chez vous : un lien reçu par SMS ou e-mail pointe vers un domaine créé il y a trois jours ? C’est un signal d’alerte sérieux. Un simple passage sur lookup.icann.org vous donne la date de création en quelques secondes. En cas de doute, la plateforme Cybermalveillance.gouv.fr oriente les victimes françaises.
Pour les entreprises
Pour une équipe sécurité, le whois sert à trier. Un domaine contacté par un poste interne, créé la semaine dernière, hébergé chez un acteur obscur : il passe en haut de la pile. L’investigation permet aussi de constituer un dossier de preuves avant un signalement à l’hébergeur ou un dépôt de plainte. Dans un contexte où une attaque en entraîne souvent une autre, documenter précisément l’infrastructure adverse fait gagner du temps lors de la deuxième vague.
Les risques juridiques
Consulter des données publiques est légal. En revanche, plusieurs limites s’imposent :
le RGPD s’applique à toute donnée personnelle que vous collectez et conservez, même issue d’un enregistrement public ;
l’accès aux données masquées nécessite une base légitime, par exemple via la demande RDRS ;
pénétrer ou perturber un serveur de commande, même pour « aider », relève de l’accès frauduleux à un système informatique, puni par le Code pénal ;
accuser publiquement une personne à partir d’un simple enregistrement expose à des poursuites pour diffamation.
Pour tout cas sensible, rapprochez-vous d’un juriste spécialisé : ce guide ne remplace pas un avis juridique.
Comment ça fonctionne techniquement
Pensez au WHOIS comme à une carte grise croisée avec le cadastre. La plaque d’immatriculation seule ne vous dit pas qui conduit, mais elle indique le modèle, la date de mise en circulation et le lieu d’enregistrement. Si dix véhicules suspects partagent le même garage et ont tous été immatriculés le même jour, vous tenez une piste.
Étape 1 : collecter et trier les indicateurs
Rassemblez les journaux du pare-feu, du résolveur DNS et de la messagerie pour la période concernée.
Extrayez les domaines et les adresses IP contactés par les machines suspectes.
Supprimez les doublons et écartez les services connus (CDN, mises à jour système).
Classez le reste par fréquence de contact et par heure : les appels réguliers, à intervalles fixes, trahissent souvent une machine pilotée à distance.
Étape 2 : interroger le whois, le RDAP et croiser les sources
Interrogez chaque domaine via lookup.icann.org et notez la date de création, le bureau d’enregistrement, les serveurs de noms et les statuts.
Pour les adresses IP, consultez la base du registre régional (RIPE pour l’Europe) afin d’identifier le bloc, l’opérateur et le système autonome.
Cherchez les points communs : mêmes serveurs de noms, même bureau d’enregistrement, créations groupées sur quelques heures.
Complétez avec l’historique d’enregistrements et le DNS passif, qui conservent des données antérieures au masquage.
Confrontez vos résultats à des bases de menaces avant de conclure.
Les failles de sécurité
La méthode a des limites, et mieux vaut les connaître :
le masquage des données de contact rend l’identification d’une personne quasi impossible en accès public ;
des identités falsifiées ou des services de confidentialité brouillent les pistes ;
un domaine légitime piraté peut servir de relais et paraître irréprochable ;
les extensions nationales suivent leurs propres règles : mi-2026, moins d’un tiers adoptent le RDAP, avec des absents notables comme .de, .jp, .io, .co et .us ;
les canaux sans nom de domaine, comme la blockchain, passent entièrement à côté.
Solutions et bonnes pratiques
Protection immédiate (3 étapes)
Mettez à jour les équipements connectés, changez les mots de passe par défaut et désactivez l’accès à distance inutile sur vos routeurs, caméras et NAS.
Activez un filtrage DNS qui bloque les domaines récemment créés et les adresses signalées comme malveillantes.
Mettez en place une alerte sur les connexions sortantes inhabituelles, en particulier les appels réguliers vers un domaine inconnu.
Outils et services pros
lookup.icann.org, l’outil officiel de consultation RDAP, gratuit.
La base du RIPE NCC pour les adresses IP européennes.
WhoisXML API et DomainTools pour les historiques et les recherches inversées (services payants).
VirusTotal, URLhaus et AbuseIPDB pour la réputation des domaines et des adresses.
Shodan et Censys pour observer ce qu’expose un serveur suspect.
Cybermalveillance.gouv.fr et le CERT-FR pour les signalements et l’assistance en France.
Checklist de vérification
Le domaine a-t-il été créé il y a moins de 30 jours ?
Le bureau d’enregistrement est-il connu pour ses abus ?
D’autres domaines partagent-ils les mêmes serveurs de noms ?
L’adresse IP appartient-elle à un hébergeur déjà signalé ?
Le comportement réseau est-il régulier, comme un battement de cœur ?
Les preuves sont-elles horodatées et archivées ?
Le signalement a-t-il été envoyé à l’hébergeur et au bureau d’enregistrement ?
FAQ : toutes vos questions
Le WHOIS est-il toujours utilisable en 2026 ? Oui, dans le langage courant et via des outils qui interrogent désormais le RDAP. Pour les extensions génériques, le service WHOIS historique n’est plus obligatoire depuis le 28 janvier 2025.
Peut-on identifier le propriétaire d’un botnet avec un WHOIS ? Rarement. Les coordonnées sont masquées et souvent falsifiées. En revanche, les dates, les serveurs de noms et les regroupements d’enregistrements permettent de relier des domaines entre eux.
Comment obtenir des données masquées ? Par le service de demande de données d’enregistrement de l’ICANN (RDRS) ou directement auprès du bureau d’enregistrement, avec une justification légitime comme un abus avéré.
Un domaine récent est-il forcément malveillant ? Non. C’est un indice, pas une preuve. Il faut le recouper avec d’autres signaux : réputation, comportement réseau, hébergeur.
Que faire si j’identifie un serveur de commande ? Conservez les preuves, signalez-le à l’hébergeur, au bureau d’enregistrement et aux autorités compétentes (CERT-FR, plateformes de signalement). N’essayez jamais de le neutraliser vous-même.
Agissez maintenant
Trois points à garder en tête :
Le WHOIS ne démasque plus les personnes, mais il révèle encore des schémas techniques très utiles.
Une investigation efficace croise plusieurs sources : registres, IP, historique, réputation.
Respectez toujours le cadre légal : collecte mesurée, signalement plutôt qu’action offensive.
Commencez dès aujourd’hui : prenez un domaine que vous avez croisé récemment dans vos journaux et analysez-le sur lookup.icann.org. Cinq minutes suffisent pour vous faire une première idée.
En 2027, la généralisation du RDAP, y compris sur davantage d’extensions nationales, devrait rendre les recherches plus homogènes. Les botnets, eux, continueront de se déplacer vers des canaux plus discrets. Ceux qui sauront croiser les indices techniques garderont une longueur d’avance.
