Website hacked : les signes à re­con­naitre, les mesures à prendre

Les signes indiquant que votre site Web a été piraté peuvent varier. Il s’agit notamment des aver­tis­se­ments du na­vi­ga­teur et de l’analyse antivirus, d’une adresse Web inac­ces­sible, de spam, de problèmes de char­ge­ment ou de re­di­rec­tions in­dé­si­rables. Il faut alors agir sans attendre, par exemple en notifiant l’hébergeur, en modifiant les iden­ti­fiants de connexion et en cor­ri­geant les vul­né­ra­bi­li­tés du site Web.

Mon site Web a-t-il été piraté ?

Le piratage d’un site Web est une menace très réaliste auxquels les pro­prié­taires doivent se préparer. Malgré des mesures de sécurité in­ten­sives, les pirates peuvent exploiter les vul­né­ra­bi­li­tés de sécurité des sites Web, ap­pli­ca­tions ou comptes de mes­sa­ge­rie pour déployer leurs cy­be­rat­taques. Les vul­né­ra­bi­li­tés possibles fa­vo­rables aux logiciels mal­veil­lants ou au vol de données sont les suivantes :

• Sécurité du Cloud in­suf­fi­sante
• Attaque zero day
• Attaques DoS et DDoS
• Phishing

Si le risque menaçait surtout les grandes en­tre­prises, les petites et moyennes en­tre­prises sont désormais exposées à de nom­breuses cy­ber­me­naces devant les progrès de la nu­mé­ri­sa­tion. Le piratage de WordPress est également de plus en plus courant, car de nombreux sites Web sont basés sur ce CMS. Dès que vous remarquez un com­por­te­ment in­ha­bi­tuel lors de l’uti­li­sa­tion de votre site Web, il est important d’évaluer la situation et d’agir avec dis­cer­ne­ment.

Il convient tout d’abord de se demander comment re­con­naitre les signes d’un piratage de site Web. S’il existe des méthodes dif­fi­ciles à iden­ti­fier comme les attaques Man in the Middle, les piratages peuvent gé­né­ra­le­ment être détectés au travers de certains signes.

Soyez attentif aux signes suivants qui per­met­tent de détecter les logiciels mal­veil­lants et de vérifier si votre site Internet a été piraté :

Aver­tis­se­ments du na­vi­ga­teur

Un na­vi­ga­teur actuel tel que Microsoft Edge, Google Chrome ou Mozilla Firefox fournit des fonctions de sécurité qui détectent les sites Web dangereux. Cela inclut la fonction « HTTPS uni­que­ment », qui bloque ou affiche au­to­ma­ti­que­ment un aver­tis­se­ment pour les pages sans SSL ou TLS. Les fonctions de na­vi­ga­tion sécurisée empêchent à leur tour de té­lé­char­ger des fichiers ou des codes mal­veil­lants. Si le na­vi­ga­teur émet un aver­tis­se­ment lorsque vous visitez votre site Web, c’est qu’il existe un problème de sécurité qui pourrait être lié à un piratage ou à des cer­ti­fi­cats expirés.

Les pro­grammes antivirus sonnent l’alarme.

Utilisez des logiciels antivirus actuels. Les aver­tis­se­ments émis par un logiciel antivirus sont l’une des in­di­ca­tions les plus claires indiquant que votre or­di­na­teur ou votre site Web est en danger ou infecté.

Site Web inac­ces­sible

Vous pouvez aussi remarquer la présence d’attaques si votre hébergeur Web désactive votre site Web. Dans ce cas, les four­nis­seurs d’hé­ber­ge­ment réa­gis­sent face aux aver­tis­se­ments de leur propre service de sécurité in­for­ma­tique ou aux in­for­ma­tions des visiteurs de votre site Web. Dans ce cas, vous ne recevrez pas toujours de no­ti­fi­ca­tion avant la dé­sac­ti­va­tion de la page.

Les iden­ti­fiants ne fonc­tion­nent pas.

Si vos iden­ti­fiants de connexion ne fonc­tion­nent plus, cela indique que quelqu’un a pris le contrôle de votre compte ou supprimé des comptes d’uti­li­sa­teur.

Aver­tis­se­ments con­cer­nant des ten­ta­tives de connexion

Au cours des attaques par force brute, les at­ta­quants tentent de trouver les iden­ti­fiants de connexion. Si vous recevez des aver­tis­se­ments au sujet de ten­ta­tives de connexion non au­to­ri­sées, l’accès à votre site Web est clai­re­ment en danger.

Dé­fa­ce­ment

Dans le cas du dé­fa­ce­ment, les cy­ber­cri­mi­nels rem­pla­cent votre site Web ou fichier index.html par un site Web affichant une dé­cla­ra­tion du groupe de pirates. Ce faisant, les at­ta­quants bloquent l’accès à votre site Web. Leurs mo­ti­va­tions sont souvent d’ordre politique ou activiste, c’est pourquoi ils visent prin­ci­pa­le­ment des sites Web com­mer­ciaux.

Dé­tour­ne­ment

Lors d’un dé­tour­ne­ment, les criminels intègrent une page d’arrière-plan avec du code mal­veil­lant dans votre site Web. Elle déclenche le té­lé­char­ge­ment de logiciels mal­veil­lants lors de l’ouverture de votre site Web. Même si les antivirus ou les na­vi­ga­teurs actuels les re­con­nais­sent, il peut arriver que ce type d’infection soit détecté trop tard. Les vul­né­ra­bi­li­tés sont gé­né­ra­le­ment des mots de passe FTP non sécurisés ou une injection PHP.

Attaques de ran­som­ware

Une attaque de ran­som­ware peut être l’un des pires scénarios pour les en­tre­prises. Selon le degré de nocivité du logiciel mal­veil­lant, toutes les données de l’en­tre­prise et du site Web peuvent être chiffrées et rendues ainsi inu­ti­li­sables. Le but des criminels est d’extorquer une rançon en échange des codes de dé­chif­fre­ment. Par con­sé­quent, il convient d’accorder une attention par­ti­cu­lière à la pro­tec­tion contre les ran­som­wares.

Alertes Google

La Google Search Console est un outil d’analyse gratuit de Google, avec lequel vous pouvez vérifier l’op­ti­mi­sa­tion du ré­fé­ren­ce­ment de votre site Web auprès du moteur de recherche. Si vous remarquez des aver­tis­se­ments con­cer­nant des logiciels mal­veil­lants ou des backlinks suspects, vérifiez la sécurité de votre site.

Le site Web apparaît sur la liste de blocage Google.

Si Google considère votre site comme suspect ou dangereux, vous pouvez vous retrouver sur la liste de blocage de Google. Votre site Web n’ap­pa­raî­tra plus dans les résultats de la recherche. Vous pouvez vérifier si votre site Web figure sur la liste de blocage à l’aide de la Google Search Console.

Temps de char­ge­ment in­ha­bi­tuel­le­ment longs

Si votre page se charge beaucoup plus lentement, ceci peut signaler une attaque. Les in­fec­tions de sites Web telles que le cryp­to­ja­cking peuvent entraîner une hausse ar­ti­fi­cielle de la charge CPU. Lors d’une attaque de cryp­to­ja­cking, les cy­ber­cri­mi­nels peuvent infecter des or­di­na­teurs avec des logiciels mal­veil­lants ou implanter des pro­grammes miniers comme Coinhive dans des sites Web officiels. Cela leur permet d’exploiter la puissance de calcul des or­di­na­teurs affectés ou des visiteurs de site Web pour des activités illégales de cryp­to­mi­ning.

Spam, re­di­rec­tions ou fenêtres pop-up

Si vos abonnés se plaignent de spam en masse provenant de l’une de vos adresses email, cela peut indiquer une infection par un logiciel mal­veil­lant. De plus, les re­di­rec­tions in­dé­si­rables lors de l’accès à des sites Web, des fenêtres con­tex­tuelles inconnues et de la publicité sont également des signes de piratage.

Site Internet piraté : comment procéder main­te­nant

Dans le pire des cas, une seule con­clu­sion s’impose : les cy­ber­cri­mi­nels ont exploité les vul­né­ra­bi­li­tés de sécurité de votre site Web pour le pirater. Suivez ces sept étapes pour résoudre le problème et rétablir la sécurité de votre en­tre­prise et de vos clients :

Étape 1 : garder son calme

La règle pri­mor­diale est de d’abord garder son calme. Les actions ir­ré­flé­chies peuvent faire encore plus de dégâts. Si vos terminaux sont également touchés par le piratage, ne vous connectez pas à vos comptes de mes­sa­ge­rie externes ou à vos comptes pro­fes­sion­nels. En cas d’attaque, utilisez uni­que­ment des or­di­na­teurs et des comptes externes pour votre com­mu­ni­ca­tion. En cas de doute, faites appel à des experts en in­for­ma­tique. Les en­tre­prises doivent im­mé­dia­te­ment alerter leur service de sécurité in­for­ma­tique.

Étape 2 : modifier les iden­ti­fiants de connexion et les droits d’accès

Si vous recevez des aver­tis­se­ments con­cer­nant des ten­ta­tives de connexion non au­to­ri­sées ou si vous constatez la présence d’un accès non autorisé dans vos journaux, modifiez vos iden­ti­fiants de connexion. Veillez à n’utiliser que de nouveaux mots de passe sécurisés, qui se composent de ma­jus­cules et de mi­nus­cules, de chiffres, de ca­rac­tères spéciaux et, si possible, de 12 ca­rac­tères. Modifiez les in­for­ma­tions d’accès suivantes et les comptes :

• Iden­ti­fiants de connexion pour les ad­mi­nis­tra­teurs ou les uti­li­sa­teurs autorisés
• Mots de passe de compte pour l’hé­ber­ge­ment
• Comptes FTP prin­ci­paux et se­con­daires
• Mots de passe et données d’accès aux bases de données
• Comptes de mes­sa­ge­rie reliés

Si né­ces­saire, vérifiez et modifiez les droits d’accès et l’af­fec­ta­tion des rôles pour toutes les personnes disposant de droits d’ad­mi­nis­tra­teur. Cette opération est gé­né­ra­le­ment effectuée dans la console d’ad­mi­nis­tra­tion ou en utilisant des comptes FTP. Ce faisant, pensez également à vérifier les droits d’accès et de mo­di­fi­ca­tion pour les fichiers du ré­per­toire racine.

Étape 3 : placer le site Web en mode de main­te­nance

Si cette option est dis­po­nible, il est re­com­mandé de placer le site Web en mode de main­te­nance jusqu’à ce que le problème soit résolu. De cette façon, vous n’exposez pas les uti­li­sa­teurs à des risques inutiles et protégez l’image de votre en­tre­prise.

Étape 4 : créer une sau­ve­garde du site

Si votre site Web est piraté, vous devez créer une sau­ve­garde des données de votre site Web à l’avance. Elle peut être utilisée pour restaurer votre site Web dans un état antérieur. Ce faisant, veillez à créer plusieurs sau­ve­gardes et à en­re­gis­trer au moins deux sau­ve­gardes sur dif­fé­rents supports de stockage.

Étape 5 : vérifier les fichiers journaux du site Web

Si vous avez accès à votre console de gestion, vérifiez le contenu des fichiers journaux de votre site Web. Vous devriez pouvoir iden­ti­fier l’heure et le point d’attaque à l’aide des messages d’erreur et des journaux d’accès dans ces fichiers. Ce point de départ vous permet d’éliminer les vul­né­ra­bi­li­tés de sécurité et de supprimer les malware, les codes mal­veil­lants, les plugins, les thèmes ou d’autres logiciels tiers. Si vous n’avez pas accès à vos fichiers journaux, veuillez contacter votre four­nis­seur d’hé­ber­ge­ment.

Étape 6 : réi­ni­tia­li­ser le fichier .htaccess

Le fichier .htaccess est une cible souvent visée par les cy­be­rat­taques car il contient des con­fi­gu­ra­tions im­por­tantes pour les sites Web sur les serveurs Web Apache. Les attaques visant les fichiers .htaccess peuvent se traduire par des re­di­rec­tions vers des logiciels mal­veil­lants, des fichiers PHP mal­veil­lants, le vol de données, le browser fin­ger­prin­ting ou des attaques dites « par point d’eau » (Watering hole). La réi­ni­tia­li­sa­tion du fichier .htaccess et la res­tric­tion des droits d’accès peuvent combler des lacunes de sécurité.

Étape 7 : re­cher­cher les pro­grammes ou codes mal­veil­lants sur le site Web

Si vous avez un site WordPress, vous pouvez utiliser des ex­ten­sions de sécurité pour WordPress. Ils per­met­tent d’analyser les fichiers du site Web, les ap­pli­ca­tions et les plugins afin d’y détecter la présence de logiciels ou codes mal­veil­lants. Les plugins de sécurité connus et po­pu­laires sont par exemple :

• WPScan
• Jetpack
• Sucuri Security
• Bul­let­Proof Security

Pour les sites Web créés et gérés avec d’autres CMS et des al­ter­na­tives à WordPress, des outils d’analyse de sécurité, de sur­veil­lance et de sécurité optimisée de site Web et de réseau sont également dis­po­nibles :

• Si­te­Guar­ding
• Intruder
• Hos­ted­Scan Security
• Detectify
• ImmuniWeb

Si vous ne souhaitez pas utiliser d’outils sup­plé­men­taires provenant de four­nis­seurs tiers, vous pouvez également scanner ma­nuel­le­ment les fichiers de votre site Web à l’aide de votre programme antivirus actuel.

Pourquoi pirater un site Web ?

Beaucoup de raisons ex­pli­quent les piratages de site Web. Dans la plupart des cas, les pirates tentent de s’enrichir en in­ter­cep­tant les données sensibles de banques, d’en­tre­prises et d’uti­li­sa­teurs. Ils utilisent ensuite les données sub­ti­li­sées di­rec­te­ment ou les revendent à d’autres criminels. D’autres modes d’en­ri­chis­se­ment financier sont les attaques par ran­som­ware, qui sont ha­bi­tuel­le­ment associées à une demande de rançon pour les données d’en­tre­prise chiffrées. Les pirates peuvent également avoir une mo­ti­va­tion d’ordre politique et rendre inac­ces­sibles les sites Web d’en­tre­prises, de partis po­li­tiques, de personnes publiques ou d’ins­ti­tu­tions ciblés.

D’autres mo­ti­va­tions sont les cy­be­rat­taques mi­li­taires. Dans ce contexte, les groupes de piratage gou­ver­ne­men­taux com­met­tent des attaques sys­té­ma­tiques sur les in­fras­truc­tures nu­mé­riques, volent des données, exercent de l’es­pion­nage ou amènent des systèmes à planter. L’ambition et la renommée jouent également un rôle lorsque des groupes de hackers ou des individus con­si­dè­rent les actes de piratage de grandes en­tre­prises ou de cé­lé­bri­tés comme des trophées.

Comment prévenir le piratage de site Web ?

Les mesures et règles de sécurité suivantes con­tri­buent à protéger votre site Web contre les malwares :

• N’utilisez que des mots de passe forts conformes aux re­com­man­da­tions actuelles en matière de sécurité des mots de passe.
• Utilisez un ges­tion­naire de mots de passe pour garder la maîtrise de la sécurité en présence de nombreux mots de passe.
• Modifiez ré­gu­liè­re­ment vos mots de passe et iden­ti­fiants et ne les stockez pas dans votre espace d’ad­mi­nis­tra­tion ou sur votre or­di­na­teur.
• Utilisez les versions actuelles de PHP, la plus récente étant PHP 8.
• Mettez à jour les plugins, les ap­pli­ca­tions et les autres logiciels reliés.
• Utilisez un logiciel antivirus à jour.
• Veillez à utiliser les services d’un four­nis­seur d’hé­ber­ge­ment fiable et sûr offrant un niveau élevé de pro­tec­tion des données.
• Utilisez des plugins de sécurité assurant la sur­veil­lance de sites Web.
• Veillez à l’actualité des cer­ti­fi­cats SSL.
• Assurez-vous de trans­fé­rer des fichiers en toute sécurité entre votre espace Web et les or­di­na­teurs connectés disposant de droits d’accès via FTP ou SFTP.
• Activez les alertes con­cer­nant les con­nexions non au­to­ri­sées et une au­then­ti­fi­ca­tion à deux facteurs.
• Créez des sau­ve­gardes des fichiers de votre site Web.
• Analysez les vul­né­ra­bi­li­tés de votre site Web avec l’aide d’outils de sécurité pro­fes­sion­nels ou d’experts en in­for­ma­tique.
• Contrôlez les accès, les au­to­ri­sa­tions de page et les rôles d’uti­li­sa­teur.
• Utilisez un pare-feu sécurisé pour le site Web (par exemple via Sucuri ou Cloud­flare).
• Les grandes en­tre­prises devraient toujours disposer d’un service de sécurité in­for­ma­tique dédié.

Site Web piraté ? Mettre en place la bonne com­mu­ni­ca­tion

Si votre site Internet a été piraté, il ne suffit pas de restaurer la sécurité de votre site Web. Les uti­li­sa­teurs qui se sont abonnés ou ont déposé des données sur le site Web doivent également être tenus informés des cy­be­rat­taques possibles et des données volées. Des in­for­ma­tions tardives, peu claires, voire cachées, con­cer­nant une attaque peuvent même nuire à votre image de marque. Ainsi, Facebook a attendu deux ans avant d’annoncer le vol de plus de 530 millions de données uti­li­sa­teur en 2019. Qui est soumis au Règlement général sur la pro­tec­tion des données (RGPD) de l’Union eu­ro­péenne est également tenu d’informer les uti­li­sa­teurs des vols de données et des lacunes en matière de sécurité.

Veillez à mettre en place une com­mu­ni­ca­tion client active et trans­pa­rente en cas de piratage de votre site Web. Le cas de figure idéal consiste à annoncer cet événement par une dé­cla­ra­tion publique ou un email. Décrivez la situation clai­re­ment et de manière com­pré­hen­sible. Spécifiez les impacts possibles et les données affectées. N’hésitez pas non plus à fournir des conseils sur les mesures que les clients doivent mettre en place pour restaurer la sécurité et la pro­tec­tion des données. Par exemple, attirez l’attention sur la nécessité de modifier les mots de passe, de sur­veil­ler les ten­ta­tives de connexion suspectes ou d’utiliser une au­then­ti­fi­ca­tion à deux facteurs.