Site piraté : pourquoi les petits sites sont visés

Votre site sera-t-il piraté ? Il sera très probablement sondé, car les attaquants utilisent des outils automatisés qui passent au crible un nombre énorme de sites à la recherche de failles connues, quelle que soit leur taille. Qu’un sondage devienne une intrusion dépend de votre propre configuration : extensions obsolètes, mots de passe réutilisés, comptes inutilisés. La bonne nouvelle, c’est que vous maîtrisez la plupart de ces facteurs de risque.

Pourquoi quelqu’un piraterait-il un petit site web ?

Parce que personne ne choisit. Les attaquants font tourner des logiciels qui testent des milliers d’adresses à la recherche de la même faille connue, et votre site n’est qu’une adresse parmi d’autres. Un petit site piraté leur reste utile : il peut héberger des pages de spam, envoyer des courriers indésirables, rediriger les visiteurs vers des arnaques ou servir de marchepied pour en attaquer d’autres.

Pensez à un voleur qui essaie les portières dans un long parking. Il ne vise pas votre voiture en particulier. Il veut celle qui n’est pas verrouillée.

Votre réputation est aussi en jeu. Un site qui envoie du spam ou diffuse un logiciel malveillant peut finir sur des listes de blocage, et vos e-mails habituels peuvent se retrouver dans les dossiers de courrier indésirable. Réparer cela prend bien plus de temps que l’intrusion elle-même.

C’est pourquoi « nous n’avons rien qui vaille la peine d’être volé » passe à côté du sujet. Les attaquants veulent votre serveur, la bonne réputation de votre nom de domaine et la confiance de vos visiteurs, et une seule extension non corrigée leur donne les trois. Une boutique en ligne détient en plus des données clients, ce qui ajoute des obligations légales en cas de fuite.

Comment les petits sites sont-ils réellement compromis ?

Les intrusions réelles sont rarement ingénieuses. Quatre voies en expliquent la plupart.

• Scan automatisé de failles connues. Quand une vulnérabilité d’une extension ou d’un thème devient publique, des robots la testent en quelques heures ou quelques jours. Les sites non mis à jour se font prendre.
• Bourrage d’identifiants (credential stuffing). Des mots de passe divulgués par un service sont essayés sur des milliers d’autres. Si vous utilisez le même mot de passe pour votre boutique et un vieux forum, un robot peut entrer.
• Attaque par force brute. Des robots testent des mots de passe courants sur les pages de connexion jour et nuit. Les mots de passe faibles tombent ; les longs et uniques résistent.
• Comptes compromis. L’hameçonnage, un ordinateur infecté ou la messagerie piratée d’un ancien prestataire donnent accès sans casser le site.

Les logiciels obsolètes sont à l’origine d’une grande part des cas, ce que nous traitons dans mises à jour WordPress : peut-on les ignorer ?. L’hameçonnage a son propre article : hameçonnage (phishing) : comment il mène à un site compromis.

Quelle est l’exposition de votre site web ? Une autoévaluation

Parcourez ce tableau honnêtement. Chaque ligne est un facteur de risque courant avec l’action qui le réduit. Si vous vous reconnaissez dans la colonne du milieu, c’est par cette ligne qu’il faut commencer.

Plus il y a de lignes qui vous décrivent, plus il est probable qu’un scan devienne une intrusion. Une seule ligne, comme un ancien compte administrateur, peut suffire.

Quels signes indiquent qu’un site est déjà piraté ?

De nombreux sites piratés paraissent normaux à leur propriétaire, d’où l’intérêt de vérifier de l’extérieur. Parmi les signes d’alerte : des redirections vers des pages inconnues quand vous arrivez depuis Google, un avertissement du navigateur, de nouveaux utilisateurs administrateurs que vous n’avez pas créés, des fichiers étranges dans votre compte d’hébergement ou un afflux soudain d’e-mails rejetés.

Si l’un de ces signes vous parle, n’attendez pas. Lisez site WordPress piraté : que faire dans la première heure et, si vous souhaitez de l’aide, voyez comment nous traitons un site piraté.

À quoi ressemble une autoévaluation rapide ?

Bloquez quinze minutes et cochez ce que vous pouvez confirmer aujourd’hui. Soyez strict : si vous n’êtes pas sûr, ne cochez pas.

• Mon CMS, mes extensions et mon thème ont été mis à jour le mois dernier.
• J’ai supprimé les extensions et les thèmes que je n’utilise pas.
• Chaque personne qui a un accès a son propre compte.
• L’hébergement, la messagerie et l’administration du CMS utilisent tous la 2FA.
• J’utilise un gestionnaire de mots de passe et aucun mot de passe n’est réutilisé.
• Une sauvegarde d’hier existe en dehors de mon serveur web.
• Je sais qui reçoit l’alerte si le site tombe.

Cinq cases cochées ou plus vous placent en bonne position. Avec trois ou quatre, il reste des failles à combler. Moins de trois, et vous êtes une cible facile pour les outils automatisés décrits plus haut : corrigez le premier point non coché cette semaine.

Les mises à jour empêchent-elles vraiment la plupart des attaques ?

Elles en empêchent beaucoup, mais les mises à jour comportent leur propre risque : la mise à jour d’une extension peut casser une mise en page ou une validation de commande. C’est pourquoi de nombreux propriétaires la repoussent, et c’est ce report qui est le vrai danger.

Si une mise à jour a déjà cassé votre site, notre guide site cassé après mise à jour montre quoi vérifier.

Et si le pire arrive ?

Aucun prestataire honnête ne peut promettre que vous ne serez jamais piraté. Ce que vous pouvez maîtriser, c’est la rapidité avec laquelle vous le remarquez et l’étendue des dégâts que l’attaquant peut causer. Des sauvegardes hors site, des identifiants uniques et une courte liste d’accès évitent qu’une mauvaise journée tourne au désastre.

Comment pouvons-nous vous aider à réduire le risque ?

Nous réparons et sécurisons les sites web à distance : WordPress, Laravel/PHP et boutiques en ligne. Le premier diagnostic est gratuit, le prix est fixe et annoncé avant tout travail (à partir de 295 € HT, et à partir de 450 € HT pour les sites piratés), et nous faisons une sauvegarde avant chaque modification. Vous ne savez pas à quel point vous êtes exposé ? Envoyez-nous votre question et nous l’examinerons.

Pour que le travail de routine ne soit pas négligé, nos forfaits de maintenance de site web (à partir de 99 € HT par mois) comprennent des sauvegardes quotidiennes hors site avec vérification, des contrôles de disponibilité avec alertes, des analyses de sécurité et des mises à jour avec retour arrière, ainsi qu’un rapport mensuel. Pour d’autres habitudes du quotidien, lisez sécurité d’un site web de TPE : 7 gestes simples.