Les 5 catégories de sites malveillants à connaître pour protéger vos données

Les catégories de sites malveillants : bien plus qu'une histoire de virus

Vous tapez une URL. Vous appuyez sur Entrée. Et là, pendant les 300 millisecondes que met votre navigateur à charger la page, il se passe des choses que vous ne verrez jamais.

Moi, je les vois. Parce que depuis que je tiens ce blog sur la sécurité web, j'ai configuré des dizaines de filtres DNS pour des TPE et des indépendants. Et franchement, quand on m'a demandé pour la première fois de classer les sites dangereux, j'ai cru que c'était simple : les sites malveillants, c'est ceux qui infectent votre machine, point.

Quelle naïveté.

Un site malveillant, ce n'est pas juste un site qui vous refile un virus. C'est un outil. Un outil qui sert à tromper, à voler, à rançonner, à espionner, ou à transformer votre ordinateur en zombie. Et selon l'objectif du pirate, le site n'aura pas du tout la même tête ni le même fonctionnement.

Les sites de phishing : l'usurpation industrielle

J'ai failli me faire avoir. Moi. Quelqu'un qui écrit sur la sécurité depuis des années.

C'était un email de ma banque — enfin, une copie quasi parfaite. Même logo, même mise en page, même ton. Le lien pointait vers un site dont l'URL commençait par banque-credit-fr.secure-login.com. Et c'est là que ça coince : ma banque n'utilise pas de sous-domaine avec "secure-login". J'ai cliqué par réflexe, puis j'ai regardé la barre d'adresse. Ouf.

Le phishing (ou hameçonnage) fonctionne sur un principe implacable : imiter une entité de confiance pour vous soutirer des identifiants. Ces sites sont rarement hébergés longtemps — quelques heures à quelques jours — parce qu'ils sont vite blacklistés.

Le problème ? Les pirates en créent des milliers par jour. Ils changent de domaine, d'hébergement, de certificat SSL. Et comme ces sites imitent des marques connues, votre cerveau relâche sa vigilance.

Quelle différence entre phishing classique et spear phishing ?

Le phishing classique, c'est une campagne de masse : on envoie 100 000 emails en espérant que quelques victimes mordent à l'hameçon. Le spear phishing, c'est du sur-mesure. Le pirate a étudié votre profil — souvent via les réseaux sociaux — et concocte un message qui vous concerne personnellement.

"Bonjour, votre facture de décembre pour le projet X est en pièce jointe." Si vous attendez la facture du projet X, vous ouvrez. C'est humain.

Les sites de téléchargement : le piège du gratuit

Qui n'a jamais cherché un logiciel gratuit sur un site au nom improbable ? Vous savez, ces plateformes remplies de bannières clignotantes et de boutons verts "Télécharger maintenant" (qui ne téléchargent rien, d'ailleurs).

Les sites de téléchargement illégitime ou compromis sont une catégorie à part entière. Ils proposent souvent des versions crackées de logiciels payants. Et devinez quoi ? Le crack n'est pas un crack.

En 2024, j'ai aidé un artisan à nettoyer son ordinateur professionnel. Il avait téléchargé un "Photoshop gratuit" depuis un site qui semblait propre. Résultat : un cheval de Troie qui exfiltrat ses devis clients depuis trois semaines. Franchement, le temps que j'ai passé à expliquer à son assurance que la fuite venait de là… Disons que je ne le souhaite à personne.

Pourquoi les sites de logiciels piratés sont-ils si dangereux ?

Parce qu'ils ont un public captif. Les personnes qui cherchent des logiciels piratés savent qu'elles sont dans l'illégalité — elles ne vont pas porter plainte si leur machine est infectée. Les pirates le savent aussi. C'est un terrain de chasse sans risque.

Souvent, ces sites servent de vecteurs de ransomware. Vous téléchargez un logiciel, vous l'installez, et une semaine plus tard vos fichiers sont chiffrés avec une demande de rançon en cryptomonnaie.

Les sites à téléchargement furtif (drive-by download)

Celui-là, c'est le plus sournois de tous. Parce qu'il ne demande absolument rien.

Un site piégé exploite une vulnérabilité de votre navigateur, de votre lecteur PDF ou de vos plugins pour installer un malware en arrière-plan. Pas de clic requis. Pas de téléchargement visible. Vous visitez la page, et le logiciel espion s'installe.

J'ai eu le cas avec le site d'une association locale — un petit site WordPress pas mis à jour depuis deux ans. Un pirate y avait injecté un script malveillant dans un fichier de thème. Tous les visiteurs dont le navigateur n'était pas à jour étaient infectés par un mineur de cryptomonnaie.

Le pire ? L'association n'a rien vu pendant six mois. Le site avait l'air parfaitement normal. Parce qu'un site compromis n'a pas besoin d'avoir l'air louche pour être dangereux.

Comment un site légitime devient-il malveillant ?

C'est l'angle que les gens oublient. Un site malveillant n'est pas toujours un site créé par des pirates. Dans environ un tiers des cas que je traite, il s'agit d'un site légitime — une boutique, un blog, le site d'une mairie — qui a été compromis.

Le pirate y injecte du code invisible : une redirection vers une page de phishing, un script de minage, un iframe cachée pointant vers un site de vente de faux médicaments. Le propriétaire du site n'est au courant de rien.

Les sites d'arnaque : quand le contenu est le piège

Tout n'est pas technique. Une bonne partie des sites malveillants n'exploitent aucune faille informatique. Ils exploitent votre confiance.

Je parle des sites de fausses boutiques en ligne qui vendent des articles à -80%, des sites de faux support technique qui vous affirment que votre ordinateur est infecté (et vous vendent une "réparation" à 200 €), des sites de crypto-investissement aux rendements mirobolants.

Le point commun ? Le mécanisme d'attaque est psychologique, pas technique. Le site lui-même est souvent parfaitement programmé. C'est le contenu qui est l'arme.

Comment reconnaître une fausse boutique en ligne ?

Quelques indices qui ne trompent pas, d'après mon expérience :

• Le prix est trop beau pour être vrai — et il l'est.
• Le site n'existe que depuis quelques semaines (vérifiez sur un outil d'historique de domaine).
• Les moyens de paiement se limitent au virement bancaire ou à la carte prépayée.
• Les avis clients sont tous datés du même jour et rédigés dans un français approximatif.

Si vous voyez deux de ces signaux, fermez l'onglet.

Malvertising et typosquatting : les détournements discrets

Il existe deux catégories de sites malveillants qui méritent une mention spéciale, parce qu'elles détournent des mécanismes que vous croyez fiables.

Le malvertising (publicité malveillante) injecte du code malveillant dans des encarts publicitaires diffusés sur des sites parfaitement respectables. Vous êtes sur un site d'actualités, vous cliquez sur une pub pour des chaussures, et vous arrivez sur un site qui tente d'installer un logiciel indésirable. Le réseau publicitaire a été infiltré, pas le site d'actualités.

Le typosquatting, lui, exploite vos erreurs de frappe. Vous tapez "faccebook.com" au lieu de "facebook.com" — et vous arrivez sur un site qui imite la page de connexion. Votre mot de passe part directement chez le pirate.

C'est pour ça que je recommande toujours d'avoir ses sites importants en favoris plutôt que de taper l'URL à la main.

Comment bloquer les sites malveillants par catégorie ?

C'est la question que je reçois le plus, et c'est celle qui a le moins de réponses satisfaisantes, car la plupart des logiciels antivirus grand public ne classent pas les sites par "type de menace". Ils bloquent ce qu'ils détectent, souvent trop tard.

L'approche la plus efficace reste le filtrage DNS au niveau du routeur. Les solutions comme les DNS filtrants (dont je tairai les marques pour ne pas faire de pub déguisée) comparent chaque requête à des listes de catégories : "phishing", "malware", "jeux d'argent", "contenu piraté". Vous choisissez les catégories à bloquer.

Quelle catégorie faut-il bloquer en priorité pour une entreprise ?

Pour une TPE, je conseille généralement de bloquer par défaut les catégories suivantes :

• Les sites de contenu piraté (logiciels, médias)
• Les sites de jeux d'argent
• Les sites de phishing et de malware (évidemment)
• Les sites de rencontre et les réseaux sociaux pendant les heures de travail (c'est un choix RH, pas technique)

Et surtout, ne négligez pas la mise à jour des navigateurs. Le drive-by download prospère sur les logiciels obsolètes. Un navigateur à jour, c'est 80% du travail de prévention.

Ce que j'ai appris à vos dépens — et aux miens

Il y a une réalité que les éditeurs de sécurité ne vous diront pas : aucune solution ne classe parfaitement les sites malveillants. Les listes se mettent à jour avec un retard de quelques heures à quelques jours. Pendant ce temps, les sites dangereux continuent d'opérer.

La vraie protection, c'est votre comportement. Un site qui vous demande des informations personnelles sans raison, une URL légèrement différente de l'habituelle, une offre trop alléchante : votre instinct vous avertit. Écoutez-le.

Et si vous êtes une entreprise, formez vos équipes. J'ai vu des installations de filtres DNS parfaitement configurées tomber à cause d'un salarié qui a donné son mot de passe au téléphone. Le maillon faible, ce n'est jamais la technologie. C'est l'humain.

Mais l'humain, ça s'éduque. Et c'est bien plus rapide que de nettoyer une machine infectée par une catégorie de site malveillant qu'on aurait pu éviter de visiter.