Les principales méthodes utilisées pour pirater un site web, un blog ou un serveur web

La sécurité des sites et des serveurs n’est pas juste un problème pour les grandes entreprises. Même un petit blog peut se faire pirater, surtout s’il commence à avoir de la visibilité. Les attaques sont de plus en plus nombreuses et les pirates deviennent meilleurs à chaque fois. Pour éviter qu’ils ne vous atteignent, il faut d’abord comprendre comment ils s’y prennent.

Pourquoi les pirates s’attaquent-ils à votre site ?

Les pirates s’introduisent sur les sites pour plusieurs raisons, mais la plus courante est le vol de données (adresses e-mail, mots de passe, informations bancaires ou contacts clients). Ils peuvent ensuite revendre ces données, les utiliser pour usurper des identités ou pour vider des comptes.

Leur objectif peut aussi être de prendre le contrôle de votre site et d’en modifier l’apparence afin d’y promouvoir leurs propres produits ou idées. Sinon, ils peuvent simplement y glisser des liens qui mènent les visiteurs de votre site vers le leur, généralement parce que votre site est bien référencé et qu’ils souhaitent profiter de votre visibilité.

Enfin, certains piratages peuvent avoir pour objectif de nuire à l’image de votre entreprise.

Dans tous les cas, la cybersécurité des entreprises est directement menacée par ces attaques, car un seul piratage peut suffire à faire fuir les clients, semer la panique en interne et perturber tout le fonctionnement d’une structure.

Les techniques de piratage les plus fréquentes

Avant de pirater un site, les hackers cherchent la moindre faille à exploiter. Voici les techniques qu’ils utilisent le plus souvent.

Attaques par injection SQL

Cette méthode vise surtout les sites ou blogs qui utilisent une base de données mal sécurisée. Le pirate insère du code SQL¹ malveillant dans un champ de formulaire ou une barre de recherche, là où seules des données simples devraient être saisies. Si la base de données exécute tout ce qu’elle reçoit sans vérification, alors elle obéit aussi à ce code ajouté. Ainsi, le pirate peut copier, modifier ou supprimer des données sensibles.

Cross-Site Scripting (XSS)

Avec cette méthode, le pirate insère un script ou code malveillant dans une page web. Quand quelqu’un visite cette page, le script s’exécute automatiquement dans son navigateur, sans qu’il s’en rende compte. Selon le but de l’attaque, ce script peut servir à dérober des informations sensibles comme les cookies, les identifiants ou les mots de passe de l’utilisateur. Il peut aussi rediriger la personne vers un faux site (de banque en ligne ou d’e-commerce par exemple) afin de lui soutirer de l’argent. Ce type d’attaque, même s’il passe par votre site, ce sont surtout vos visiteurs qui en subissent les conséquences.

Attaque par force brute et attaque par dictionnaire

Ici, le pirate teste, avec des robots, des milliers de combinaisons pour deviner vos identifiants d’accès. En général, il s’attaque à l’interface d’administration des sites, des blogs ou au panneau de gestion des serveurs. S’il trouve le bon mot de passe, il peut tout contrôler.

L’attaque par dictionnaire utilise une liste de mots de passe courants (123456, admin, password). Il convient donc de rendre les identifiants d’accès à vos sites aussi complexes que possible pour les rendre difficiles à deviner.

Quant à l’attaque par force brute, elle consiste à tester automatiquement toutes les combinaisons possibles d’identifiants ou de mots de passe jusqu’à trouver la bonne. Elle s’appuie sur la puissance de calcul d’un programme pour répéter ces essais sans pause, dans le but de contourner un système de sécurité et accéder à des données protégées. Cette technique ne repose pas sur une faille, mais sur l’épuisement des possibilités, ce qui la rend lente, mais potentiellement efficace si aucune protection ne l’arrête.

Intrusion FTP

Le protocole FTP permet de transférer les fichiers (programmes, images, etc.) entre votre ordinateur et le serveur qui héberge votre site. Concrètement, vous pouvez vous en servir pour ajouter de nouvelles pages, remplacer des images, ajouter un fichier PDF à télécharger, changer le design complet du site, ajouter des virus ou des programmes malveillants et plus encore. Mais pour y accéder, il faut connaître les identifiants FTP (un identifiant et un mot de passe), qui sont normalement fournis par l’hébergeur.

Le problème, c’est que si un pirate met la main sur ces identifiants, il peut entrer comme s’il était vous. Il peut alors modifier le site, le dupliquer ou y faire tout ce qu’il veut.

Comment savoir si votre site a été piraté ?

Certains signes sont faciles à détecter. Le site devient très lent, affiche des erreurs ou son apparence a changé sans que vous ayez modifié quoi que ce soit. Vous pouvez aussi recevoir des alertes via la Google Search Console indiquant qu’un logiciel malveillant a été détecté.

Parfois, ce sont vos visiteurs ou clients qui vous préviennent qu’il y a un bug ou une redirection inhabituelle. Pour en avoir le cœur net, vous pouvez scanner votre site avec des outils gratuits comme Sucuri ou Detectify.

En outre, il est aussi possible de limiter les risques de piratage en adoptant de meilleures pratiques de gestion et protection de mots de passe, en installant des logiciels destinés à détecter toute action jugée suspecte et protéger votre site, en sauvegardant régulièrement vos données sur des serveurs sécurisés et en limitant les droits d’accès à vos sites et serveurs. Moins il y a d’administrateurs, plus vous gardez le contrôle.

1. SQL (Structured Query Language : langage de requêtes structuré) : langage informatique qui permet de communiquer avec une base de données pour y organiser, retrouver, ajouter, modifier ou supprimer des informations. Il fonctionne comme un ensemble d’instructions précises que l’on donne à un système pour qu’il gère les données de manière fiable et ordonnée. Ce langage sert à poser des questions à la base de données (requêtes), à définir sa structure (tables, colonnes) et à contrôler qui peut y accéder ou la modifier. Il est conçu pour manipuler des données sous forme de tableaux ↩︎