Urgence en période de soldes

Site piraté ou redirigé pendant les soldes : que vérifier, que faire

Soldes, Black Friday, fêtes : c’est le moment où une boutique vend le plus, change le plus de choses en peu de temps, et où une page de paiement modifiée touche le plus de clients. Voici quoi regarder, dans quel ordre agir, ce que votre hébergeur attendra de vous, et comment garder la preuve de ce qui s’est passé.

Les signes à vérifier

Un seul de ces signes justifie de regarder de près. Vérifiez depuis un téléphone sur le réseau mobile, et en arrivant depuis un moteur de recherche : une redirection conditionnelle se cache précisément de l’administrateur.

Des visiteurs arrivent sur un autre site — souvent seulement depuis un téléphone, ou seulement en venant de Google : depuis votre poste, tout semble normal.
Le tunnel de commande a changé : un champ en plus, une page de paiement qui ne ressemble plus à celle de votre prestataire, un script chargé depuis une adresse que vous ne reconnaissez pas.
Des clients signalent un débit frauduleux sur la carte utilisée chez vous, ou une page de paiement « bizarre ».
Des pages que vous n’avez jamais écrites apparaissent dans les résultats de recherche sur votre domaine, ou dans le rapport « Problèmes de sécurité » de la Search Console.
Le navigateur affiche un avertissement avant votre page, ou votre hébergeur vous écrit, voire suspend le site.
Un compte administrateur que vous ne connaissez pas, une extension installée sans vous, des fichiers modifiés à une date où personne n’a travaillé sur le site.

Les premiers gestes, dans l’ordre

Chaque geste protège le suivant : copier avant de nettoyer, protéger les clients avant de chercher, reprendre les accès avant de rétablir.

Copiez tout, avant de toucher à quoi que ce soit

Les fichiers, la base de données et les journaux d’accès de l’hébergeur, sur un support à part. En pleine vente, la tentation est de nettoyer vite pour rouvrir : c’est cette copie qui permettra ensuite de dater l’intrusion, de savoir quelles commandes sont concernées et de répondre à votre hébergeur, à votre banque ou à vos clients.

Protégez d’abord les clients qui paient

Si le tunnel de commande ou la page de paiement a pu être modifié, coupez la prise de commande ou passez la boutique en maintenance le temps de vérifier. Une journée de soldes perdue se rattrape ; des cartes de clients copiées, non. Si le reste du site est seul en cause, une page d’attente honnête suffit souvent.

Reprenez les accès, dans l’ordre

L’hébergement d’abord, puis le FTP ou le SSH, la base de données, l’administration de la boutique et les comptes des prestataires (paiement, transporteurs, outils marketing). Activez la double authentification partout où elle existe, et retirez les comptes que vous ne reconnaissez pas.

Prévenez votre prestataire de paiement

Dès que des données de carte ont pu être exposées, dites-le à votre prestataire de paiement ou à votre banque : ils savent quoi surveiller, et la norme PCI DSS encadre ces situations. Depuis sa version 4.0, elle demande d’ailleurs de tenir l’inventaire des scripts chargés par la page de paiement et de détecter leurs modifications (exigences 6.4.3 et 11.6.1).

Notifiez dans les 72 heures si des données personnelles sont touchées

Noms, adresses, courriels, historiques de commande : si une violation de données personnelles présente un risque pour les personnes, le RGPD (article 33) impose de la notifier à l’autorité de protection des données dans les 72 heures après en avoir pris connaissance — en France, la CNIL, par son téléservice. Si le risque est élevé, les clients concernés doivent aussi être informés (article 34).

Faites-vous aider, et portez plainte

En France, cybermalveillance.gouv.fr oriente gratuitement vers des prestataires de proximité et explique comment porter plainte ; en Allemagne, le BSI publie les premiers gestes pour les entreprises. La plainte se dépose au commissariat ou à la gendarmerie, avec les copies du geste 01.

Rétablissez, puis demandez le réexamen

Remettez les fichiers du système et des extensions à leur version d’éditeur, relisez ce qui vous appartient en propre, mettez tout à jour. Si Google signale le site, demandez l’examen depuis le rapport « Problèmes de sécurité » de la Search Console une fois le site rétabli, et seulement alors : l’examen porte sur l’état du site au moment où il est fait.

Ce dont l’hébergeur a besoin

Pour rouvrir un site suspendu, ou lever un signalement, l’hébergeur veut comprendre et constater. Préparez :

La fenêtre de temps : depuis quand le comportement est observé, et la date probable de l’intrusion d’après les journaux.
La liste des fichiers ajoutés ou modifiés, avec leur chemin et leur date, et ce que vous en avez fait (retiré, rétabli, mis en quarantaine).
Les extraits de journaux qui montrent l’entrée : adresses, requêtes, envois de fichiers.
Ce qui a été corrigé : versions mises à jour, extensions retirées, mots de passe changés, comptes supprimés.
L’état obtenu après le nettoyage, établi par une analyse que l’hébergeur peut relire ou vérifier.

Comment prouver ce qui s’est passé

La preuve se constitue au moment même, ou se perd :

Gardez les copies intactes, et notez leur empreinte (SHA-256) au moment où vous les faites : une empreinte relevée le jour même montre ensuite que la copie n’a pas bougé.
Faites des captures d’écran qui montrent l’adresse complète, la date et l’heure — y compris depuis un téléphone, si la redirection ne vise que les mobiles.
Exportez les journaux d’accès et les relevés de votre prestataire de paiement avant qu’ils ne soient effacés par la rotation.
Pour une valeur probante forte devant un juge, un commissaire de justice peut dresser un constat sur internet.
Pour l’hébergeur, la banque ou l’assureur, un constat signé et daté, vérifiable par un tiers, raccourcit l’échange : c’est ce que produit notre analyse Record.

Avant le prochain pic de ventes

Gelez les changements quelques jours avant l’ouverture, gardez une sauvegarde datée de l’état sain, et faites attester cet état : le jour où quelque chose bouge, vous saurez quoi, et depuis quand. C’est le travail de la veille Watch, chaque nuit, pendant un an.

Les 24 premières heures Quand votre site en ouvre un autre Quand l’hébergeur suspend le site Toutes les urgences

Sources officielles et normatives

Combien de fichiers de votre site savent justifier leur présence ?

Vous aurez le nombre exact, chaque fichier nommé, la date probable, et trois documents signés que quelqu’un d’autre peut vérifier.

Analyser mon site — 99 €Voir les tarifs