Site web piratée ? Reconnaître les signes et réagir correctement

Une site web piratée se reconnaît souvent à de nouveaux fichiers ou à des fichiers modifiés, à des comptes utilisateurs inconnus, à des redirections vers des pages externes ou à des pages de spam dans les résultats Google. En cas de suspicion d’attaque, il faut agir dans cet ordre : sécuriser les traces, mettre le site hors ligne, modifier les accès, identifier et corriger la cause, puis restaurer proprement. Si des données à caractère personnel sont concernées, l’autorité de protection des données doit en règle générale être informée dans les 72 heures.

Après des failles critiques comme PHP2Shell, les attaquants tentent massivement et de manière automatisée de prendre le contrôle de serveurs non corrigés. Ils déposent souvent à cette occasion une soi-disant Webshell à partir de : un petit fichier grâce auquel ils peuvent ensuite contrôler le serveur à distance – même après une mise à jour.

Signes d’une attaque

• Nouveaux fichiers PHP ou fichiers PHP récemment modifiés que personne n’a créés, en particulier dans les dossiers d’upload ou de cache.
• Administrateurs ou utilisateurs inconnus dans le CMS.
• Redirections vers des sites de publicité, de casino ou de pharmacie, souvent uniquement pour les visiteurs venant de Google ou utilisant des appareils mobiles.
• Pages étrangères dans les résultats Google sous votre domaine (recherche « site:ihre-domain.de »).
• Avertissements de Google, de votre hébergeur ou de votre navigateur.
• Messages d’erreur fréquents ou plantages, charge serveur soudainement élevée.
• Sur le serveur : shells, outils de téléchargement comme curl ou wget, ou d’autres processus lancés par le serveur web.

Le BSI cite pour PHP2Shell בדיוק ces indicateurs généraux : processus suspects du serveur web, nouveaux fichiers PHP ou fichiers PHP modifiés et possibles webshells, ainsi que des requêtes d’upload remarquables dans les logs, suivies d’erreurs de mémoire ou d’erreurs répétées avec le code 500.

Ce que vous devez faire immédiatement

1. Rester calme et documenter : Qu’est-ce qui a été remarqué, quand, par qui ?
2. Conserver les traces : Sauvegarder les fichiers journaux et une copie des fichiers avant toute suppression. Ils seront nécessaires pour rechercher la cause.
3. Mettre le site hors ligne ou le passer en mode maintenance afin d’éviter tout dommage supplémentaire.
4. Modifier tous les accès : administrateurs CMS, hébergement, FTP/SFTP, base de données, e-mail. Idéalement depuis un appareil sain.
5. Identifier et corriger la cause : PHP, plugin ou thème obsolète ? Sans cela, l’attaquant reviendra.
6. Restaurer proprement : à partir d’une sauvegarde d’avant l’attaque, puis installer toutes les mises à jour. Supprimer uniquement le code malveillant ne suffit que rarement.
7. Observer : Dans les semaines qui suivent, surveiller les logs et les fichiers.

Obligation de notification selon le RGPD

Des attaquants ont-ils pu accéder à des données à caractère personnel — par exemple des données clients dans la boutique, des formulaires de contact ou des candidatures —, il peut s’agir d’une violation de données. Selon l’art. 33 RGPD , elle doit être notifiée sans délai et, dans la mesure du possible, dans les 72 heures à l’autorité de contrôle compétente, sauf s’il est probable qu’elle n’entraîne pas de risque pour les personnes concernées. Impliquez votre délégué à la protection des données dès le début. Cet article ne remplace pas un conseil juridique.

Prévenir est moins coûteux

La plupart des attaques contre les sites web des PME exploitent des failles connues dans des logiciels obsolètes. Des mises à jour régulières, des sauvegardes séparées et quelques accès bien protégés permettent d’éviter la majorité des incidents. Les mesures les plus importantes figurent dans Sécurité des sites web pour les PME : 10 mesures.

Vous ne savez pas si votre site web, votre boutique en ligne ou vos appareils sont concernés ? Contactez-nous. Nous examinons vos systèmes, installons les mises à jour et vous disons honnêtement ce qu’il faut faire – même s’il s’avère que tout est en ordre. Pour commencer, il suffit d’un court entretien.

Questions fréquemment posées

Comment puis-je reconnaître que mon site web a été piraté ?

À des fichiers ou utilisateurs inconnus, des redirections vers des pages externes, des pages de spam dans les résultats Google, des avertissements de Google ou de l’hébergeur et des processus inhabituels sur le serveur.

Est-il suffisant de supprimer le code malveillant ?

Rarement. Les attaquants laissent souvent plusieurs portes dérobées. Il est plus sûr de restaurer à partir d’une sauvegarde saine, de corriger la cause et de modifier tous les accès.

Dois-je signaler une cyberattaque ?

Si des données à caractère personnel peuvent être concernées, en règle générale oui : auprès de l’autorité de contrôle compétente en matière de protection des données, sans délai et si possible dans les 72 heures suivant la prise de connaissance (art. 33 RGPD). En cas d’infraction pénale, un dépôt de plainte auprès de la police peut également être utile.

État : octobre 2026. Pas de conseil juridique. Source des indicateurs : Alerte de sécurité du BSI sur PHP2Shell.