Le site Web moyen a été attaqué 44 fois par jour au cours du dernier trimestre de 2017, selon une nouvelle étude du spécialiste de la sécurité SiteLock. Pour les besoins de son étude, la société a analysé six millions de sites pour identifier les tendances dans le comportement et les tactiques des attaquants. Bien que le nombre d’attaques représente une baisse de 25 % par rapport au trimestre précédent, cela signifie toujours qu’un site pourrait être attaqué 16 000 fois par an.
« Une diminution des attaques ne signifie pas que les sites web sont plus sûrs, en fait, c’est peut-être même le contraire », explique Neill Feather, président de SiteLock sur le blog de l’entreprise. « Les pirates informatiques tentent constamment de nouvelles voies et mettent même à profit des tactiques plus anciennes qui continuent d’être couronnées de succès. Comme notre recherche le montre, les cybercriminels sont désormais en mesure de violer l’intégrité d’un site avec moins d’attaques, mais des attaques plus ciblées. Maintenant, plus que jamais, les entreprises se doivent d’évaluer leur sécurité actuelle et de s’assurer qu’elles disposent à la fois de la bonne technologie, mais également d’un bon plan d’intervention mis en place en cas de piratage. »
Comme mesure basique, le spécialiste recommande par exemple de prendre des précautions comme les mises à jour pour colmater les vulnérabilités. En outre, un scanner de site Web peut détecter les logiciels malveillants sur votre site, ce qui permet d’atténuer les menaces en temps réel.
Le spécialiste rappelle qu’il existe une méthode de détection des logiciels malveillants sur laquelle vous ne devriez jamais compter : un moteur de recherche.
Pourquoi ? Selon le spécialiste, les moteurs de recherche effectuent des analyses de sites Web de base afin de protéger les utilisateurs contre les sites Web nuisibles. Cela est fait à titre gracieux pour les propriétaires de sites Web, mais ce n’est pas l’objectif prévu d’un moteur de recherche. Pourtant, de nombreux propriétaires de sites Web supposent qu’un moteur de recherche les alertera si des logiciels malveillants figurent sur leur site. Malheureusement, au moment où ils le découvrent, il est généralement trop tard et leur site Web a été mis sur la liste noire.
La mise sur liste noire signifie plus qu’une simple infection par un logiciel malveillant. Vos classements de recherche, votre trafic et votre réputation pourraient également en pâtir. Comme cela peut être dévastateur pour une petite entreprise, les moteurs de recherche vont toujours pécher par excès de prudence avant de mettre un site sur la liste noire. Le spécialiste assure qu’en fait, les moteurs de recherche sont si prudents, qu’ils ont seulement notifié et mis sur liste noire 19 % des sites Web infectés au quatrième trimestre de 2017, en baisse de trois pour cent par rapport au trimestre précédent.
« Beaucoup de propriétaires de sites Web ignorent que la sécurité des sites Web est leur responsabilité et dépendent trop des moteurs de recherche populaires et d’autres tiers pour les avertir lorsqu’ils ont été compromis », a regretté Jessica Ortega, analyste de sécurité chez SiteLock. « Il est important de se rappeler que la sécurité n’est pas le rôle principal d’un moteur de recherche. En plus de tirer parti de la technologie de numérisation de sites Web, la surveillance proactive de votre site à la recherche d’activités suspectes devrait être une pratique de base pour tous les propriétaires de sites Web. »
Mais les opérations à effectuer suivant le contexte (par exemple type de CMS utilisé) peuvent être différentes. Se prémunir des vulnérabilités sur WordPress et d’autres CMS populaires a demandé plus qu’une simple mise à jour de l’outil. En effet, l’étude assure qu’au quatrième trimestre 2017, 46 % de tous les sites WordPress infectés par des logiciels malveillants tournaient sur la dernière version.
Mais d’où vient le problème ?
Bien que les mises à jour de base corrigent des problèmes de sécurité critiques avec les fichiers de base, elles ne traitent pas des vulnérabilités spécifiques trouvées dans les plugins individuels, les thèmes ou d’autres modules complémentaires facultatifs.
« Une seule vulnérabilité non corrigée pourrait laisser toutes les pages de votre site vulnérables à une attaque », explique Ortega. « Cependant, la plupart des propriétaires de petites entreprises n’ont généralement pas le temps ou les ressources nécessaires pour rester au courant de toutes les mises à jour de sécurité. Étant donné que les plateformes open source restent une cible importante pour les pirates, il est essentiel que les mises à jour du plugin et du core soient systématiquement appliquées afin de corriger les vulnérabilités et de se prémunir contre les logiciels malveillants. Tirer parti des solutions de sécurité proactives qui peuvent automatiquement garder le logiciel à jour est une bonne option. »
Et pour ceux qui pensent que leur site web génère trop peu de trafic pour susciter l’intérêt de pirate, les spécialistes rappellent « qu’il vaut la peine de répéter qu’aucun site Web n’est trop petit pour être piraté. Même le plus petit site Web peut être ciblé pour son trafic, ses données ou ses ressources informatiques. Afin de devancer les menaces en constante évolution d’aujourd’hui, les propriétaires de sites Web doivent être proactifs pour comprendre les tenants et les aboutissants de leur site Web pour s’assurer qu’ils ont la protection appropriée en place. »
— Quelles sont les mesures que vous prenez pour protéger votre site Web ?
— Avez-vous préparé un plan de secours en cas d’attaque par un logiciel malveillant ?
