Site WordPress piraté ? Que faire dans les 24 premières heures

Définition

Une compromission WordPress signifie généralement que quelqu'un a obtenu la possibilité de modifier les fichiers, la base de données ou les comptes utilisateurs. Les signes courants incluent des administrateurs inconnus, des extensions ou fichiers inhabituels, du JavaScript injecté, des pages de spam indexées par les moteurs de recherche, des redirections qui ne touchent que certains visiteurs, des envois de spam par e-mail ou des avertissements d'un navigateur ou d'un moteur de recherche. Les points d'entrée fréquents sont les extensions et thèmes obsolètes ou abandonnés, les mots de passe réutilisés ou faibles, les identifiants d'hébergement ou FTP compromis et les permissions de fichiers non sécurisées. Les 24 premières heures servent à confirmer ce qui se passe, à limiter les dommages supplémentaires, à garder une trace et à préparer un nettoyage en bonne et due forme. Le nettoyage détaillé, fichier par fichier, suit ensuite comme une étape à part entière.

Public concerné

Cette liste de contrôle s'adresse :

• Aux dirigeants et aux équipes marketing qui gèrent un site WordPress sans équipe de sécurité dédiée
• Aux agences qui accompagnent un client dont le site vient d'être signalé comme compromis
• Au personnel informatique interne qui a reçu un avis de suspension de l'hébergeur ou un avertissement du navigateur
• À toute personne qui doit informer clairement un prestataire avant le début des travaux de nettoyage

Ce qu'il aide à clarifier

Suivre la liste de contrôle permet de clarifier :

• Si le site est réellement compromis ou s'il présente un défaut de configuration ou d'extension
• Ce qui a changé, quand, et quels comptes peuvent être concernés
• Qui détient l'hébergement, le domaine, le DNS et les sauvegardes, et qui peut autoriser des modifications
• Si des données clients ou des flux de paiement pourraient être touchés et nécessitent une attention particulière

Ce qui est inclus

• Heure 0-2 : noter ce qui a été remarqué, quand et par qui ; faire des captures d'écran des avertissements, des redirections et des pages inhabituelles
• Heure 0-2 : identifier qui contrôle l'hébergement, le bureau d'enregistrement du domaine, le DNS, le CDN et l'administration WordPress
• Heure 1-4 : faire une copie complète des fichiers et de la base de données dans leur état actuel et la stocker séparément ; ne pas écraser les sauvegardes plus anciennes
• Heure 1-4 : envisager de passer le site en mode maintenance ou de demander à votre hébergeur d'en restreindre l'accès si des visiteurs subissent un préjudice
• Heure 2-6 : depuis un appareil sain, changer les mots de passe de l'hébergement, du FTP/SFTP, de la base de données et des administrateurs WordPress ; activer la MFA lorsque c'est possible
• Heure 2-6 : passer en revue les utilisateurs WordPress et supprimer ou désactiver les comptes que vous ne reconnaissez pas, en notant ce que vous avez supprimé
• Heure 4-12 : collecter les journaux d'accès au serveur disponibles et les avis de sécurité de l'hébergeur
• Heure 6-24 : informer un prestataire qualifié en lui transmettant vos notes, les journaux et la copie de sauvegarde, et convenir d'un périmètre de nettoyage

Ce qui n'est pas inclus

• Des commandes de suppression de logiciels malveillants ou des instructions pour modifier les fichiers du cœur sans sauvegarde
• Un conseil juridique sur la nécessité de notifier une violation de données
• L'affirmation que changer les mots de passe suffit à résoudre la compromission
• Le conseil de contacter l'attaquant ou d'exercer des représailles

Quand le choisir

Utilisez cette liste de contrôle dès que vous soupçonnez une compromission, avant de commencer à supprimer des fichiers ou à restaurer des sauvegardes. Si le site traite des paiements ou stocke des données personnelles de clients, impliquez tôt la personne responsable des obligations en matière de confidentialité et des obligations légales ; les obligations de notification dépendent des faits et de la juridiction, et cet article ne constitue pas un conseil juridique. Si l'hébergeur a suspendu le compte, demandez-lui ce dont il a besoin de votre part pour rétablir l'accès et s'il détient des journaux que vous pouvez utiliser.

Notre approche

Donnez la priorité au confinement et à la tenue d'un registre plutôt qu'à la rapidité d'un nettoyage visuel. Un site qui semble de nouveau normal peut encore contenir une porte dérobée permettant à l'attaquant de revenir en quelques jours. Restaurer une ancienne sauvegarde sans fermer le point d'entrée conduit souvent à une réinfection. Une fois les premières étapes terminées, le nettoyage doit couvrir les fichiers, la base de données, les utilisateurs, les tâches planifiées et la configuration du serveur, puis la fermeture du point d'entrée et le durcissement. Notre service Incident Recovery comprend un examen initial et une classification d'un problème convenu touchant un site web ou WordPress, un confinement concret, le nettoyage du code malveillant, des portes dérobées et des utilisateurs non autorisés, une restauration sécurisée, la fermeture du point d'entrée identifié et un rapport écrit avec des recommandations de durcissement. Il s'agit d'une prestation au périmètre défini pour le site web confirmé, les qualifications juridiques relevant de votre conseiller juridique. Quelle que soit la personne qui vous aide, demandez-lui d'expliquer ce qu'elle a trouvé et modifié, et conservez ce rapport avec vos notes.

Incident Recovery

Foire aux questions

Articles connexes