Un site piraté est un site dont quelqu'un d'autre que vous a pris le contrôle, le plus souvent sans que rien ne se voie en surface. Cet article explique comment nous le constatons, pourquoi nous mettons parfois votre site hors ligne, et ce qu'il faut faire pour le remettre en service proprement.
En résumé
Nous mettons le site hors ligne pour protéger vos visiteurs, pas pour vous pénaliser. Il reste hors ligne tant qu'il n'a pas été nettoyé, et une simple restauration ne suffit pas toujours. Vos boîtes e-mail ne sont pas concernées par la mise hors ligne.
Ce que fait un pirate d'un site
Sur un hébergement PHP/MySQL, un site piraté sert presque toujours à autre chose qu'à vous nuire directement :
- publier des pages publicitaires frauduleuses (pharmacie, casinos, contrefaçons) que seuls les moteurs de recherche voient ;
- rediriger vos visiteurs vers des sites d'arnaque ou de logiciels malveillants ;
- envoyer du spam ou héberger des pages d'hameçonnage (fausses pages de banque, de livraison) ;
- installer ses propres outils pour revenir plus tard, même après un changement de mot de passe.
Votre site peut donc sembler normal pour vous tout en étant signalé comme dangereux par Google ou par les navigateurs.
Comment nous le constatons
Nous surveillons les serveurs d'hébergement. Nous intervenons notamment quand nous voyons :
- des fichiers dont le contenu correspond à des outils de piratage connus ;
- des comptes administrateurs créés récemment, sans lien apparent avec vous ;
- un envoi massif de courriels ou de requêtes depuis votre site ;
- un signalement d'un organisme de sécurité ou d'une liste noire.
Nous vous prévenons par un ticket dans lequel nous décrivons ce que nous avons trouvé.
Pourquoi nous mettons le site hors ligne
Quand l'attaque est toujours en cours, nous désactivons le site. Il affiche alors une page d'erreur. Cette mesure sert à :
- protéger vos visiteurs, qui ne doivent pas être redirigés ou infectés ;
- protéger la réputation de votre domaine : un site qui diffuse du contenu malveillant finit sur des listes noires, et en sortir prend du temps ;
- protéger les autres sites hébergés sur le même serveur, qui partagent ses ressources et son adresse IP.
La mise hors ligne concerne le site web uniquement. Votre messagerie continue de fonctionner normalement.
Domaine en .ch ou .li : l'alerte de SWITCH
SWITCH, le registre des noms de domaine en .ch et en .li, vérifie les signalements de sites piratés. Quand il constate qu'un site sert à de l'hameçonnage ou diffuse un logiciel malveillant (par exemple un code « Drive-By », qui tente d'infecter les ordinateurs des visiteurs sans même qu'ils cliquent), il envoie un courriel intitulé « Misuse of your website », depuis l'adresse saferinternet@switch.ch, au détenteur du domaine, au contact technique, au registrar et à nous, l'hébergeur. Ce courriel est authentique : il faut agir tout de suite.
La procédure de SWITCH, qui repose sur l'ordonnance sur les domaines Internet (ODI, art. 15) et vaut aussi pour les .li, est la suivante :
- Un jour ouvrable pour nettoyer le site. Le courriel contient un lien vers le détail de l'incident et les adresses concernées.
- Sans nettoyage dans ce délai, SWITCH désactive le nom de domaine, pendant 5 jours ouvrables au plus. Un domaine désactivé ne coupe pas seulement le site : toutes les adresses e-mail du domaine cessent aussi de fonctionner.
- À la réactivation, SWITCH demande au détenteur de prouver son identité et d'indiquer une adresse en Suisse, dans un délai de 10 jours.
- Sans réponse dans ce délai, et si le site est toujours infecté, SWITCH efface définitivement le nom de domaine.
Comment nous procédons
- Nous vous transmettons l'alerte sans attendre, avec l'échéance fixée par SWITCH et le lien vers le statut de l'incident.
- Vous choisissez : soit nous suspendons le site tout de suite, soit vous nous confirmez que votre webmaster le nettoie avant l'échéance, et le site reste en ligne sous surveillance. Vous pouvez aussi nous confier le nettoyage : c'est une prestation payante, qui fait l'objet d'une offre, et le site reste suspendu jusqu'à la fin des travaux.
- Sans réponse de votre part avant l'échéance, nous suspendons le site nous-mêmes. Le site devient inaccessible, mais le nom de domaine reste actif et vos e-mails continuent de fonctionner. Pour SWITCH, un site suspendu ne présente plus de danger : le domaine n'est pas désactivé.
- Une fois le site nettoyé, prévenez-nous. Nous demandons à SWITCH une nouvelle vérification (le bouton « Contrôler le site web à nouveau » de leur page de statut), puis nous réactivons le site.
La procédure complète est décrite par SWITCH sur nic.ch.
Comment l'intrusion a eu lieu
Dans la très grande majorité des cas, l'entrée se fait par :
- un logiciel qui n'est plus à jour : WordPress, Joomla, une extension ou un thème pour lequel une faille est connue depuis des mois ;
- un mot de passe trop faible ou réutilisé, pour l'administration du site ou pour l'accès FTP ;
- un ancien site oublié laissé en ligne dans un sous-dossier (
old, test, backup…), que plus personne ne met à jour ;
- un ordinateur infecté qui a transmis vos identifiants FTP.
Pourquoi une restauration ne suffit pas toujours
Une intrusion est souvent découverte plusieurs semaines après avoir eu lieu. Si toutes nos sauvegardes datent d'après l'intrusion, restaurer le site remettrait en place les outils du pirate en même temps que vos pages.
Dans ce cas, il faut réinstaller le site proprement : un logiciel neuf et à jour, puis vos contenus (textes, images, base de données) repris un par un après vérification. C'est plus long qu'une restauration, mais c'est la seule façon d'être sûr que le pirate ne revienne pas le lendemain.
Quand une sauvegarde antérieure à l'intrusion existe, nous vous le disons : la remise en état est alors plus simple. Voir aussi Comment restaurer des données.
Vos options
Vous avez le choix :
- Nous confier la remise en état. Nous réinstallons le site, reprenons vos contenus, supprimons les accès du pirate, changeons les mots de passe et remettons le site en ligne. Cette prestation est payante : nous vous envoyons une offre avant de commencer.
- Faire appel à votre webmaster ou à votre prestataire. Dites-le-nous dans le ticket : nous lui donnons l'accès nécessaire et le site reste hors ligne jusqu'à ce qu'il ait terminé.
- Le faire vous-même, si vous en avez les compétences. Pour un site WordPress, la marche à suivre est décrite dans Nettoyage après un piratage.
Dans tous les cas, le site n'est remis en ligne qu'une fois nettoyé.
Ce que nous vous demanderons
Pour avancer, nous avons souvent besoin de votre réponse sur quelques points :
- Les comptes administrateurs : reconnaissez-vous chacun d'eux ? Un compte que personne ne reconnaît est supprimé.
- Les anciens dossiers : une ancienne version du site encore présente sur l'hébergement peut-elle être supprimée ?
- Vos accès : qui d'autre que vous (agence, ancien prestataire) possède les mots de passe du site ou du FTP ?
Répondez simplement au ticket : votre réponse arrive directement à l'équipe qui traite votre dossier.
À faire de votre côté, dès maintenant
- Changez les mots de passe que vous utilisez pour ce site ailleurs, s'ils sont identiques.
- Analysez votre ordinateur avec un antivirus à jour, surtout si vous vous connectez au site en FTP.
- Si votre site collectait des données personnelles (formulaires de contact, inscriptions, boutique), elles ont pu être consultées. Vérifiez vos obligations au titre de la loi sur la protection des données : une violation qui présente un risque élevé pour les personnes concernées doit être annoncée au Préposé fédéral à la protection des données (PFPDT).
Éviter que cela se reproduise
Après la remise en ligne, quelques habitudes suffisent à écarter la plupart des attaques :
- mettre à jour le logiciel du site, ses extensions et ses thèmes, ou activer les mises à jour automatiques ;
- supprimer ce qui ne sert plus : extensions désactivées, thèmes inutilisés, anciennes copies du site ;
- utiliser un mot de passe long et unique par accès, et l'authentification à deux facteurs pour l'administration ;
- garder une version de PHP supportée, qui reçoit encore des correctifs de sécurité.
Pour WordPress, le détail est dans Sécuriser son site WordPress.
Une question ?
Répondez au ticket que nous vous avons envoyé, ou ouvrez une nouvelle demande en précisant le nom de domaine du site concerné.