Comment un site web se fait-il pirater ?

Un site web se fait pirater principalement par l'exploitation de failles connues dans son CMS, ses extensions ou ses thèmes laissés sans mise à jour, par des mots de passe faibles devinés automatiquement, et par des attaques robotisées qui scannent le web en permanence. La grande majorité des intrusions exploite des vulnérabilités déjà corrigées, mais dont le correctif n'a jamais été appliqué.

Les principaux vecteurs d'attaque sont :

• Composants obsolètes : un plugin, un module ou un thème non mis à jour ouvre une porte documentée publiquement.
• Attaques par force brute : des robots testent des milliers de combinaisons identifiant / mot de passe sur la page d'administration.
• Injections : formulaires ou URL mal protégés permettant d'injecter du code (SQL, XSS).
• Identifiants volés : hameçonnage, poste infecté ou mot de passe réutilisé et déjà fuité ailleurs.
• Hébergement mal configuré : droits de fichiers trop permissifs, version de PHP dépassée.

La parade est moins spectaculaire que l'attaque : appliquer les correctifs sans délai, imposer des mots de passe forts et la double authentification, limiter les accès et surveiller les journaux. C'est précisément le rôle d'un contrat de maintenance de site web, qui referme ces portes avant qu'un robot ne les trouve.