Le vendredi 6 novembre, le site officiel d’une commune de notre province affichait une publicité pour un casino en ligne à la place des informations communales (article de La Meuse). Ce n’était pas une première : le site avait déjà été piraté en juin, puis nettoyé. Cette page d’accueil détournée, tout le monde l’a vue. Ce qui est passé inaperçu pendant des mois, ce sont les dizaines de fausses pages de jeux d’argent que le site hébergeait déjà, invisibles pour les visiteurs mais lues par Google.
Ce piratage porte un nom, le SEO parasite, et il ne vise pas que les communes. Tout site qui inspire confiance à Google intéresse les pirates : celui d’une PME installée depuis des années, d’une association, d’un cabinet ou d’une école. Il se repère pourtant en quelques minutes, à condition de savoir où regarder.
Le SEO parasite : un pirate qui profite de votre réputation
Pour qu’une page apparaisse en bonne position dans Google, il faut du temps et de la confiance : un nom de domaine ancien, des liens venant d’autres sites, un contenu sérieux. Les plateformes de jeux d’argent illégales n’ont rien de tout cela. Les pirates empruntent donc la réputation d’un site existant : ils y déposent des centaines de pages qui vantent leurs casinos, souvent en indonésien ou en anglais, et profitent de la crédibilité du domaine pour remonter dans les résultats.
Les mots « slot gacor », « togel » ou « judi » que l’on retrouve dans ces pages désignent des jeux d’argent en ligne indonésiens, très présents dans ce type de piratage. D’autres campagnes utilisent des pages de médicaments, de contrefaçons ou de textes en japonais. Le principe reste le même : votre site sert de vitrine à quelqu’un d’autre.
Pourquoi personne ne s’en aperçoit
Ces pages sont conçues pour rester cachées. Le code ajouté par le pirate regarde qui demande la page : si c’est le robot de Google, il sert le contenu de casino ; si c’est un visiteur ou l’administrateur connecté, il affiche le site normal ou une simple erreur 404. Cette technique s’appelle le cloaking.
Vous pouvez donc consulter votre site tous les jours sans rien remarquer, pendant que Google indexe des pages de jeux d’argent à votre nom. Dans le cas de cette commune, les premières traces de l’intrusion remontaient à mai-juin.
Pendant ce temps, les dégâts s’accumulent. Google peut considérer tout le site comme du spam et le faire reculer dans ses résultats. L’avertissement « Ce site a peut-être été piraté » peut apparaître sous votre nom. Et un pirate capable de créer des pages a souvent pu faire bien plus, comme consulter les comptes utilisateurs ou les messages reçus par formulaire.
5 vérifications à faire en 10 minutes
- Interrogez Google avec les mots des pirates. Tapez dans Google site:votre-site.be casino, puis la même recherche avec slot, gacor, togel ou viagra. Sur un site sain, ces recherches ne renvoient rien, ou seulement des pages que vous connaissez.
- Lisez les requêtes dans la Search Console. Dans le rapport « Performances », la liste des requêtes montre les recherches qui ont fait apparaître votre site. Des requêtes de casino, de jeux ou dans une langue que vos clients ne parlent pas sont un signal d’alerte, même avec très peu de clics. Si vous n’avez pas encore de Search Console, créez-la : elle est gratuite et c’est souvent elle qui donne l’alerte en premier.
- Surveillez le nombre de pages indexées. Le rapport « Pages » de la Search Console indique combien de pages de votre site Google connaît. Un site vitrine de 30 pages qui en compte soudain 2 000 a un problème. Regardez aussi les sitemaps déclarés : les pirates en ajoutent parfois un pour faire indexer leurs pages plus vite.
- Regardez votre site avec les yeux de Google. L’outil « Inspection de l’URL » de la Search Console, puis « Tester l’URL en ligne », affiche la page telle que le robot de Google la reçoit. Si le code ou la capture montrent un contenu que vous ne voyez pas dans votre navigateur, votre site pratique le cloaking à votre insu.
- Passez les administrateurs en revue. Dans WordPress, menu « Utilisateurs », filtrez sur le rôle Administrateur. Un compte que personne ne reconnaît, au nom générique ou avec une adresse e-mail fantaisiste, doit être traité comme une intrusion, même si le site semble fonctionner normalement.
Si l’une de ces vérifications vous inquiète, ne supprimez rien dans la précipitation. Les fichiers et les comptes ajoutés par le pirate sont des indices précieux pour retrouver la porte d’entrée.
La porte d’entrée qu’on oublie : les extensions livrées avec le thème
Quand un site est piraté, on entend souvent « pourtant, WordPress est à jour ». C’est souvent vrai, et cela ne suffit pas. Sur le site de cette commune, WordPress était bien à jour, mais pas les extensions livrées avec son thème. Beaucoup de thèmes achetés en ligne embarquent des extensions payantes : un constructeur de pages, un module de diaporama, un formulaire avancé. Elles sont installées avec le thème, mais elles ne se mettent pas à jour avec les autres. Leur mise à jour dépend du thème, d’une licence ou d’une manipulation manuelle que personne ne fait.
Des années plus tard, le site tourne avec une version vulnérable sans que le tableau de bord signale quoi que ce soit. Certaines failles de ces extensions sont notées 9,8 sur 10 sur l’échelle de gravité utilisée par les spécialistes : elles permettent à un pirate de se connecter comme administrateur sans connaître le mot de passe. C’est une porte blindée neuve avec une fenêtre restée ouverte.
Pour le vérifier, ouvrez le menu « Extensions » et repérez celles qui n’affichent jamais de mise à jour, qui ne renvoient vers aucune page officielle ou dont la version date de plusieurs années. Comparez leur version avec celle publiée par l’éditeur. Une extension que vous n’utilisez plus doit être supprimée, et pas seulement désactivée.
Supprimer la page de casino ne suffit pas
Quand le piratage devient visible, la tentation est grande d’effacer la page en cause et de passer à autre chose. Le pirate a généralement pris ses précautions : un compte administrateur discret, un fichier caché parmi les images, une tâche planifiée qui recrée les pages au bout de quelques jours. Tant que la faille d’origine et ces accès dérobés restent en place, le site sera de nouveau piraté, parfois dans les semaines qui suivent.
Deux solutions sérieuses existent. La première consiste à restaurer une sauvegarde antérieure à l’intrusion, puis à corriger toutes les failles et à vérifier qu’aucun accès clandestin n’a été conservé. La seconde, plus radicale, consiste à reconstruire le site sur une base saine. Elle se justifie quand il repose sur un thème abandonné ou sur des extensions qui ne sont plus maintenues. Dans les deux cas, il faut ensuite demander à Google, depuis la Search Console, de réexaminer le site et de retirer les pages de spam de ses résultats.
Si votre site contient des comptes utilisateurs, une boutique ou des formulaires, vérifiez aussi si des données ont pu être consultées. Le RGPD impose de prévenir l’Autorité de protection des données dans les 72 heures lorsqu’une fuite présente un risque pour les personnes concernées.
Éviter que cela vous arrive
- Un inventaire complet : toutes les extensions, y compris celles fournies avec le thème, avec leur origine et leur version. Ce qui ne sert plus disparaît.
- Des mises à jour suivies : appliquées et testées chaque semaine, et pas seulement quand quelqu’un y pense.
- La Search Console activée, avec ses alertes par e-mail : Google vous prévient lorsqu’il détecte un problème de sécurité.
- La double authentification sur tous les comptes administrateurs, et un compte par personne, jamais de compte partagé.
- Des sauvegardes conservées hors du serveur, sur plusieurs semaines. Quand une intrusion remonte à des mois, seule une sauvegarde ancienne permet de revenir à un site sain.
C’est exactement ce que couvre notre maintenance WordPress, sur un hébergement surveillé. Pour comprendre pourquoi les mises à jour comptent autant, lisez aussi Maintenance de site web : pourquoi délaisser les mises à jour met en péril votre entreprise.
Un doute sur votre site ?
Appelez-nous au +32 498 12 06 91. Nous vérifions les sites WordPress, y compris ceux que nous n’avons pas créés, et intervenons en cas de piratage : diagnostic, nettoyage, fermeture de la faille et demande de réexamen auprès de Google. Tout le détail de notre intervention se trouve sur notre page site WordPress piraté.
Cet article a été rédigé par Erwan Nicolay (R1-Company), interrogé par La Meuse sur ce piratage et titulaire des certificats professionnels Google Cybersecurity, Google IT Support et Generative AI Leader.
