5 400 sites WordPress piratés : quand la blockchain devient une arme contre vos équipes

Des milliers de sites légitimes, dont WordPress et PrestaShop, distribuent des malwares via des contrats intelligents sur la Binance Smart Chain. L'attaque cible vos collaborateurs avec des techniques d'ingénierie sociale redoutables.

Votre plus grand risque cyber ne vient pas d'un email douteux en anglais. Il vient du site web d'un fournisseur, d'un partenaire ou d'un prestataire que vos équipes visitent chaque semaine.

Netskope, spécialiste de la sécurité cloud, a identifié plus de 5 400 sites web compromis servant de vecteurs de distribution pour des logiciels malveillants. La majorité tourne sous WordPress, mais des sites PrestaShop figurent aussi dans la liste. Le mécanisme est sophistiqué : les attaquants ne créent pas de faux sites. Ils infectent des sites existants, ceux auxquels vous faites déjà confiance.

Le point technique qui distingue cette campagne des attaques classiques, c'est l'utilisation de la blockchain Binance Smart Chain (BSC) pour héberger et mettre à jour les charges malveillantes. Les cybercriminels exploitent des contrats intelligents sur le réseau de test BNB pour stocker leur code. Concrètement, cela signifie qu'un seul point de mise à jour suffit pour modifier le malware distribué sur des milliers de sites simultanément, sans que les hébergeurs puissent intervenir sur la source.

Pour une PME, cette information change la donne. Le réflexe de ne pas cliquer sur des liens suspects dans les emails ne suffit plus. La menace se loge désormais sur des pages que vos collaborateurs consultent dans le cadre normal de leur travail.

ClickFix : la technique qui transforme l'utilisateur en complice

La première méthode d'attaque identifiée par Netskope s'appelle ClickFix. Son principe est simple et terriblement efficace : tromper l'utilisateur pour qu'il exécute lui-même la commande malveillante.

En pratique, le site compromis affiche une fenêtre qui ressemble à un message système ou à une alerte de sécurité. Le message demande à l'utilisateur de copier-coller une commande dans PowerShell (l'outil en ligne de commande de Windows) pour résoudre un supposé problème. L'utilisateur, pensant suivre une procédure légitime, exécute lui-même le code qui installe le malware sur sa machine.

Cette approche contourne la plupart des protections automatisées. Les antivirus et les pare-feu surveillent les téléchargements et les exécutions automatiques. Mais quand c'est l'utilisateur qui tape la commande manuellement, le système considère souvent l'action comme intentionnelle.

La seconde variante exploite le protocole WebRTC, normalement utilisé pour les communications audio et vidéo dans le navigateur. Les attaquants détournent cette technologie pour exécuter du code JavaScript directement, sans passer par un serveur de signalisation classique. Cette méthode est plus discrète et plus difficile à détecter par les outils de surveillance réseau.

Mon conseil direct : si un de vos collaborateurs voit apparaitre un message lui demandant de copier-coller quoi que ce soit dans un terminal ou une invite de commande, la consigne doit être claire. On ferme l'onglet, on ne touche à rien, et on prévient le responsable informatique.

La blockchain comme infrastructure d'attaque : pourquoi c'est un problème majeur

Traditionnellement, quand un malware est hébergé sur un serveur, les équipes de sécurité peuvent demander à l'hébergeur de couper l'accès. Le site malveillant est signalé, le domaine est bloqué, et la menace est neutralisée en quelques heures ou quelques jours.

Avec la Binance Smart Chain, cette logique ne fonctionne plus. Les contrats intelligents déployés sur une blockchain sont immuables par conception. Personne ne peut les supprimer, pas même Binance. Les chercheurs de Guardio Labs avaient déjà documenté cette technique sous le nom d'EtherHiding : les attaquants stockent leurs scripts malveillants dans des contrats intelligents sur le réseau BNB, puis les sites piratés récupèrent ces scripts en interrogeant la blockchain.

Le résultat est une infrastructure de commande et contrôle (C2) quasiment indestructible. Les cybercriminels peuvent mettre à jour le code malveillant distribué à des milliers de sites en modifiant un seul contrat. Et les méthodes classiques de blocage par nom de domaine ou par adresse IP sont inefficaces, puisque la source est un réseau décentralisé.

Ce détournement de la blockchain illustre un principe que je martèle régulièrement : une technologie n'est ni bonne ni mauvaise en soi. La blockchain offre de la transparence et de la résilience. Ces mêmes propriétés deviennent des avantages pour les attaquants quand elles sont utilisées à des fins malveillantes. La décentralisation qui protège les transactions légitimes protège aussi les malwares.

WordPress : la surface d'attaque préférée des cybercriminels

Que WordPress soit au centre de cette campagne n'est pas un hasard. Avec environ 43 % des sites web mondiaux qui tournent sur ce CMS, c'est la cible la plus rentable pour un attaquant. Un seul exploit applicable à un plugin populaire peut compromettre des centaines de milliers de sites d'un coup.

Le problème ne vient pas du coeur de WordPress en lui-même, mais de son écosystème de plugins et de thèmes. Chaque extension ajoutée est un point d'entrée potentiel. L'affaire OptinMonster, qui a exposé plus d'un million de sites à cause d'une faille dans un seul plugin, en est un exemple parlant. Les sites compromis dans la campagne détectée par Netskope suivent le même schéma : des installations WordPress avec des extensions non mises à jour ou mal configurées.

Pour les PME qui utilisent WordPress, la question n'est pas de savoir si ce CMS est mauvais. C'est de comprendre que le coût réel de WordPress inclut sa maintenance sécuritaire. Un site WordPress laissé sans mises à jour régulières, sans surveillance des vulnérabilités connues et sans politique de restriction des plugins devient un risque actif, pas seulement pour son propriétaire, mais pour tous ses visiteurs.

C'est un constat que je développe en détail dans mon analyse WordPress en 2026 : quand la popularité masque les vrais coûts. Les chiffres y confirment que le modèle "gratuit" de WordPress a un prix caché que beaucoup de dirigeants sous-estiment.

Il faut aussi rester honnête : WordPress reste un outil fonctionnel pour de nombreux usages. Mais cette fonctionnalité repose sur un engagement de maintenance continue que beaucoup de TPE/PME n'ont ni le temps ni les ressources d'assumer.

Ce que cette attaque change pour la sécurité de votre PME

La principale leçon de cette campagne, c'est que le périmètre de sécurité de votre entreprise ne se limite pas à vos propres outils. Vos collaborateurs naviguent quotidiennement sur des sites tiers : fournisseurs, outils SaaS, sites d'information professionnelle. Si l'un de ces sites est compromis, votre réseau interne est exposé.

Concrètement, voici ce que cela implique :

• La navigation web est un vecteur d'attaque à part entière. Les politiques de sécurité qui se concentrent uniquement sur les emails et les pièces jointes sont incomplètes.
• Les techniques d'ingénierie sociale évoluent. ClickFix ne repose pas sur une faille logicielle. Il exploite la confiance de l'utilisateur et sa méconnaissance des outils système. La formation des équipes est un levier de défense concret.
• Le blocage par domaine ou par IP devient insuffisant. Quand la source du malware est une blockchain publique, les listes noires classiques ne fonctionnent pas. Les solutions de sécurité doivent analyser le comportement des scripts, pas seulement leur provenance.

Je constate régulièrement que les PME investissent dans un antivirus et un pare-feu, puis considèrent le sujet clos. Cette campagne montre qu'il faut aller plus loin. La question de la posture de sécurité globale, que j'aborde dans Cybersécurité : pourquoi le "ça n'arrive qu'aux autres" est le plus grand risque pour votre PME, est centrale.

Un site web obsolète ou mal maintenu constitue d'ailleurs un risque similaire pour vos propres visiteurs. Si votre site tourne sur un CMS avec des plugins non surveillés, vous pourriez devenir, sans le savoir, un maillon de ce type de chaine d'attaque. La robustesse d'une architecture web face à ces menaces est un pilier central lors d'un Audit & Sécurité.

Les mesures concrètes à mettre en place dès maintenant

Face à ce type de menace, l'attentisme est la pire stratégie. Voici les actions prioritaires, classées par niveau d'effort.

Niveau 1 : immédiat, sans budget

• Diffusez une consigne claire à toutes les équipes : ne jamais copier-coller une commande trouvée sur un site web dans un terminal, PowerShell ou une invite de commande, quelle que soit la raison affichée.
• Vérifiez que les mises à jour automatiques de Windows et de vos navigateurs sont activées. Les correctifs de sécurité pour WebRTC et PowerShell sont publiés régulièrement.

Niveau 2 : rapide, effort modéré

• Si vous gérez un site WordPress ou PrestaShop, auditez immédiatement vos plugins. Supprimez ceux qui ne sont plus maintenus. Mettez à jour les autres. Vérifiez que votre version de PHP et de WordPress est à jour.
• Activez une solution de filtrage DNS (comme Quad9 ou Cloudflare Gateway) qui bloque les domaines malveillants connus. Ce n'est pas suffisant contre les attaques blockchain, mais cela couvre une partie du spectre.

Niveau 3 : structurel

• Mettez en place une politique de moindre privilège sur les postes de travail. Un collaborateur standard ne devrait pas avoir les droits administrateurs nécessaires pour exécuter des commandes PowerShell arbitraires.
• Envisagez une solution de détection comportementale (EDR) qui analyse ce que font les scripts, pas seulement d'où ils viennent.

Ces mesures ne garantissent pas une immunité totale. Aucune solution ne le peut. Mais elles réduisent significativement la surface d'exposition et transforment votre organisation en une cible moins facile.

Le vrai coût de l'inaction

Cette campagne touchant 5 400 sites n'est pas un incident isolé. C'est une évolution structurelle des méthodes d'attaque. L'utilisation de la blockchain comme infrastructure malveillante rend les techniques de défense traditionnelles partiellement obsolètes. Les attaques par ingénierie sociale comme ClickFix ciblent le maillon humain, celui qu'aucun pare-feu ne peut protéger seul.

Pour un dirigeant de PME, le calcul est simple. Le coût d'une sensibilisation des équipes et d'un audit de sécurité régulier est mesurable et prévisible. Le coût d'une compromission (arrêt d'activité, perte de données clients, atteinte à la réputation, obligations RGPD) est imprévisible et souvent disproportionné par rapport à la taille de l'entreprise.

Le risque ne vient plus seulement de ce que vous faites en ligne. Il vient de ce que les autres font de leurs propres sites. Un partenaire qui néglige la sécurité de son WordPress met potentiellement vos équipes en danger à chaque visite.

Votre site web, les sites que vos équipes visitent, les outils SaaS que vous utilisez : chaque point de contact numérique est un vecteur potentiel. La question n'est plus de savoir si votre entreprise sera ciblée, mais si elle est prête quand cela arrivera.

Avez-vous une visibilité claire sur les outils et les sites auxquels vos équipes se connectent chaque jour, et sur le niveau de sécurité réel de chacun d'entre eux ?

Sources : IT-Connect Developpez.com 01net Clubic