Boutique piratée : les signes qui doivent alerter

Sur un site vitrine, un piratage se voit : la page d’accueil est remplacée. Sur une boutique, c’est exactement l’inverse. L’attaquant a tout intérêt à ce que rien ne change, puisque ce qu’il vient chercher passe par les commandes elles‑mêmes.

Que cherche‑t‑on sur une boutique ?

Trois choses, par ordre de fréquence : les numéros de carte saisis au paiement, le fichier clients, et la possibilité d’envoyer des courriels depuis un domaine qui a bonne réputation.

Aucune de ces trois ne nécessite de modifier l’apparence du site. Une boutique compromise peut fonctionner normalement pendant des mois.

Sur une boutique, un piratage réussi est un piratage qu’on ne voit pas.

Les six signes qui doivent alerter

• Des comptes administrateurs que vous ne reconnaissez pas, ou un compte connu dont la date de dernière connexion ne correspond à rien.
• Des fichiers modifiés récemment dans le dossier du site alors que personne n’est intervenu.
• Une hausse anormale des paiements refusés : c’est souvent le test de numéros de carte volés ailleurs.
• Des courriels de votre domaine signalés en indésirable par des gens à qui vous n’avez rien envoyé.
• Un module inconnu, ou un module connu dont la date de fichier a changé.
• Une lenteur nouvelle sans cause identifiée, le serveur travaillant pour quelqu’un d’autre.

Que faire en premier ?

Pas fermer la boutique dans la panique, et surtout pas restaurer immédiatement une sauvegarde. Une restauration efface les traces sans supprimer la porte d’entrée : trois jours plus tard, le site est de nouveau compromis, et vous avez perdu les éléments qui auraient permis de comprendre par où.

L’ordre qui fonctionne :

• Copier l’état actuel, tel quel, y compris ce qui est infecté. C’est la pièce à conviction.
• Couper les accès : mots de passe administrateurs, base de données, transfert de fichiers, clés de services externes.
• Identifier la porte d’entrée avant de nettoyer. Sans cela, le nettoyage ne sert à rien.
• Nettoyer puis remettre à niveau le cœur, les modules et la version du langage.
• Surveiller pendant plusieurs semaines : une réinfection survient en général dans le mois.

Faut‑il prévenir les clients ?

Si des données personnelles ont pu être atteintes, oui, et l’autorité de protection des données doit être informée dans un délai court. Ce n’est pas facultatif, et ce n’est pas non plus une catastrophe commerciale : c’est la dissimulation qui l’est.

Le point à établir en priorité est donc factuel : quelles données étaient accessibles, et pendant combien de temps. C’est ce que doit répondre l’analyse, avant même le nettoyage.

Comment éviter le prochain ?

La grande majorité des compromissions que je constate passent par un module tiers non mis à jour, dont la faille était publiée depuis des mois. Ce n’est pas une attaque ciblée : c’est un balayage automatique qui trouve les versions vulnérables.

Tenir les modules à jour et supprimer ceux qui ne servent plus règle l’essentiel du risque. Un module désactivé reste sur le serveur avec sa faille : il est inerte pour vous, pas pour un robot.

Sur le même sujet : Combien de références une boutique peut‑elle tenir ? · Comment configurer ses zones de livraison ?