Les signes d'un site piraté, et que faire dans la première heure

Un site piraté a rarement l'air piraté. Pas de tête de mort sur la page d'accueil, pas de message de l'attaquant. Le site fonctionne, le formulaire de contact envoie des e-mails, et quand vous y jetez un œil de temps en temps, rien ne semble anormal.

C'est voulu. Celui qui a pris le contrôle du site veut s'en servir le plus longtemps possible : pour envoyer du spam, pour faire monter d'autres sites dans Google ou pour envoyer vos clients vers des arnaques. Plus vous le remarquez tard, mieux c'est pour lui.

Voici les signes que vous pouvez repérer vous-même, puis un plan pour la première heure après un doute.

Des redirections que seuls les autres voient

Un client vous dit qu'en ouvrant votre site, il a atterri sur un tirage au sort, une fausse boutique ou une page prétendant que son téléphone est infecté. Vous vérifiez sur votre ordinateur et tout paraît normal.

C'est un schéma très classique. Le code malveillant ne redirige souvent qu'une partie des visiteurs : seulement sur téléphone, seulement ceux qui arrivent depuis les résultats de recherche Google, et seulement de temps en temps, ce qui le rend plus difficile à reproduire. Un administrateur connecté ne voit généralement rien du tout.

Comment vérifier : prenez votre téléphone, coupez le Wi-Fi pour passer en données mobiles, ouvrez un onglet de navigation privée, cherchez votre entreprise dans Google et touchez le résultat. Ne saisissez pas vous-même l'adresse. Et si un client signale une redirection, prenez-le au sérieux même si vous n'arrivez pas à la reproduire.

Des pages étranges dans Google

Cherchez site:votredomaine.fr dans Google et parcourez les résultats. Vous cherchez des pages que personne dans votre entreprise n'a créées : du texte en japonais, des publicités pour des médicaments, des casinos, de fausses baskets de marque. Parfois, le titre ou la description de votre page d'accueil change dans les résultats de recherche alors que la page elle-même est identique à d'habitude.

Google peut aussi ajouter à votre fiche une mention indiquant que le site a peut-être été piraté, et Chrome peut afficher aux visiteurs un écran d'avertissement rouge avant l'entrée. Si vous avez Google Search Console, ouvrez le rapport Problèmes de sécurité. Google y décrit ce qu'il a trouvé et donne souvent des exemples d'adresses. Search Console envoie aussi un e-mail aux propriétaires du site dans ce cas, vérifiez donc que rien n'est arrivé dans vos courriers indésirables.

Des signes dans l'administration, chez l'hébergeur et dans votre messagerie

Dans l'administration WordPress, ouvrez Utilisateurs et filtrez la liste sur le rôle Administrateur. Un nouveau compte dont vous ne reconnaissez pas le nom est un signe sérieux. Il arrive aussi que le code malveillant masque ce compte dans la liste. Dans ce cas, le nombre affiché à côté de « Administrateur » au-dessus du tableau ne correspond pas au nombre de personnes que vous voyez en dessous.

Autres signes qui justifient d'agir :

• un e-mail de votre hébergeur annonçant un compte suspendu, des fichiers malveillants trouvés ou une charge anormalement forte sur le serveur,
• vos e-mails qui reviennent avec la mention d'une liste noire, ou des clients qui retrouvent vos messages dans leurs spams, parce que quelqu'un envoie du spam depuis votre serveur,
• une extension présente dans l'administration que personne n'a installée,
• Google Ads qui refuse vos annonces à cause d'un logiciel malveillant ou d'une page de destination compromise,
• un site qui devient brusquement lent alors que personne n'a rien modifié.

Un signe isolé ne tranche pas. Deux en même temps, c'est une raison de s'en occuper aujourd'hui.

La première heure, étape par étape et sans panique

Quand vous savez, ou soupçonnez fortement, qu'il y a eu intrusion, le plus important est de ne pas se précipiter. La plupart des dégâts à ce stade viennent de bonnes intentions : supprimer la moitié des fichiers, tout réinstaller et considérer l'affaire close. Une semaine plus tard, l'attaquant revient par le même chemin, parce que personne n'a cherché comment il était entré.

1. Notez ce que vous voyez. Faites des captures d'écran, relevez l'adresse vers laquelle le site redirige, l'heure, et qui a signalé quoi. Conservez les e-mails de votre hébergeur et de Search Console.
2. Ne supprimez rien. Laissez les fichiers et les comptes suspects en place jusqu'à ce que quelqu'un les ait examinés. Ce sont les preuves qui montrent comment l'intrusion s'est produite.
3. Changez les mots de passe. Ceux du panneau de contrôle de l'hébergeur, des comptes administrateurs WordPress, du FTP et des comptes de messagerie de votre domaine. Faites-le depuis un ordinateur de confiance et activez la connexion en deux étapes partout où c'est possible. Laissez le mot de passe de la base de données à votre développeur, car il faut aussi le modifier dans la configuration du site.
4. Contactez votre développeur et votre hébergeur. Demandez à l'hébergeur de conserver les journaux du serveur et de faire une copie du site en l'état, avant tout nettoyage. Les journaux ne sont souvent gardés que peu de temps, et sans eux il est difficile de comprendre ce qui s'est passé.
5. Pensez à vos visiteurs. Si le site envoie des gens vers des arnaques, demandez qu'il soit mis hors ligne pour l'instant, ou remplacé par une page de maintenance. Un jour hors ligne vaut mieux que d'envoyer vos clients chez des fraudeurs.

Restaurer à partir d'une sauvegarde saine

Le moyen le plus rapide d'avoir un site sain est en général une sauvegarde antérieure à l'intrusion. Tout tient dans le mot « antérieure ». Une infection reste souvent des semaines sur un site avant que quelqu'un la remarque, donc la sauvegarde d'hier peut déjà être infectée. Votre développeur doit déterminer à quelle date les premiers fichiers étrangers sont apparus et remonter à une copie plus ancienne. C'est précisément là que les sauvegardes conservées en plusieurs versions anciennes, hors du serveur, prouvent leur utilité.

Juste après la restauration :

• mettez à jour WordPress, le thème et toutes les extensions, car le site restauré présente la même faille qu'avant l'intrusion (plus de détails dans l'article sur les extensions obsolètes),
• supprimez les comptes administrateurs que vous ne reconnaissez pas et changez de nouveau les mots de passe,
• dans Search Console, demandez un réexamen pour que Google retire l'avertissement.

S'il n'y a pas de sauvegarde, ou si toutes les copies sont infectées, il reste le nettoyage manuel du site. C'est un travail pour quelqu'un qui le fait régulièrement, et il prend généralement plus de temps.

RGPD et les 72 heures

Si le site contenait des données personnelles, comme des commandes, des comptes clients ou des messages d'un formulaire de contact, l'intrusion peut constituer une violation de données à caractère personnel. En vertu de l'article 33 du RGPD, vous la notifiez à votre autorité de protection des données dans les 72 heures suivant le moment où vous en avez eu connaissance, sauf si elle n'est pas susceptible d'engendrer un risque pour les personnes concernées. Au Royaume-Uni, cette autorité est l'ICO, et en Pologne l'UODO. Que vous la notifiiez ou non, vous devez consigner ce qui s'est passé et ce que vous avez fait.

C'est là que vos notes de la première heure servent. L'heure, les captures d'écran et la liste des étapes sont exactement ce que demandera toute personne qui vous aide à préparer la notification.