Les 7 catégories de sites malveillants à connaître pour se protéger

Un client m'appelle un mardi soir, paniqué. Sa boutique en ligne affiche un bandeau rouge « Votre site est piraté, payez 0,05 BTC ». Sauf que son site n'a jamais été piraté. Le bandeau, c'est un faux site qui imite le sien à s'y méprendre, hébergé sur un domaine qui ne diffère que d'une lettre : un « rn » à la place du « m ». Ses clients reçoivent des mails de relance avec ce lien. Deux d'entre eux ont saisi leurs identifiants bancaires. Voilà le genre de scène que les listes de malwares classiques ne racontent jamais.

Et c'est précisément le problème quand on cherche des informations sur les catégories de sites malveillants. La plupart des pages vous expliquent ce qu'est un cheval de Troie, un ransomware ou un keylogger. Utile, mais à côté du sujet. Un site malveillant n'est pas un fichier qu'on télécharge : c'est une adresse qui vous attend, souvent sans que rien ne se voie. Je vais vous décrire comment ces sites se répartissent réellement, et pourquoi cette distinction change votre manière de vous protéger.

Pourquoi les catégories de sites malveillants sont mal comprises

Il faut lever une ambiguïté tout de suite, parce qu'elle pollue la moitié des résultats qu'on trouve sur le sujet. Un logiciel malveillant (ou malware) est un programme : virus, ver, cheval de Troie, rançongiciel, logiciel espion, mineur de cryptomonnaie. Un site malveillant est une page web dont le seul but est de vous piéger. Les deux se croisent, mais ce ne sont pas les mêmes catégories.

Pourquoi le mélange persiste ? Parce que la plupart des sites de sécurité vendent des antivirus. Leur angle naturel, c'est le logiciel : plus facile à illustrer, plus rassurant à neutraliser. Le site web, lui, est un terrain mouvant. Il apparaît, il disparaît, il change d'adresse. Beaucoup plus dur à mettre dans un tableau.

Ce qui distingue vraiment un site dangereux

Un site malveillant ne se reconnaît pas à son code, mais à trois traits :

• Son intention — voler des identifiants, extorquer de l'argent, infecter la machine du visiteur, ou simplement rediriger le trafic.
• Son vecteur d'arrivée — lien dans un mail, publicité achetée, résultat de recherche empoisonné, ou faille dans un site légitime qui vous renvoie ailleurs.
• Sa durée de vie. Là, tout change. Un site de phishing vit rarement plus de quelques jours, le temps d'attraper sa proie.

Cette dernière caractéristique est celle que les internautes sous-estiment le plus. Vous pouvez tomber sur une page parfaitement propre aujourd'hui et sur la même adresse piégée demain. Le nom de domaine n'a pas bougé, le contenu si.

L'usurpation d'identité : la famille numéro un

C'est le cas de mon client du début. On appelle ça le typosquatting : enregistrer un domaine qui ressemble à s'y méprendre à celui d'une marque connue, en pariant sur une faute de frappe. « amaz0n », « paypa1 », « microsft ». Franchement, ça paraît grossier. Et pourtant ça marche, parce qu'à 23h on tape une adresse de mémoire sans la relire.

Dans cette famille, on trouve aussi :

1. Les faux sites de e-commerce, qui proposent des articles à -70 % et encaissent sans jamais livrer.
2. Les faux supports techniques, qui affichent un numéro de téléphone « officiel » et vous poussent à payer une intervention bidon.
3. Les copies de pages de connexion bancaire, identiques à l'original jusqu'au logo.

Le point commun : rien ne s'installe sur votre machine. C'est vous qui tapez vos informations. Aucun antivirus ne vous alertera, parce qu'il n'y a aucun fichier suspect à détecter.

Comment repérer une usurpation en trois secondes

Regardez le nom de domaine lui-même, pas la mise en page. Le logo et le design se copient en cinq minutes. L'adresse, non. Un « .shop » ou un « .top » collé à une marque connue doit allumer un voyant. Un tiret bizarre (« banque-verification-securite.com ») aussi.

Et un réflexe qui sauve : si un lien vous a été envoyé par mail ou par SMS, ne cliquez pas. Tapez l'adresse vous-même dans la barre. C'est bête. C'est efficace.

Les sites qui attaquent sans rien vous demander

Ici, on change de registre. Vous n'avez rien à faire, à part ouvrir la page. C'est ce qu'on appelle le drive-by download : le site exploite une faille de votre navigateur ou d'une extension pour installer un programme à votre insu. Le terme date, la technique beaucoup moins. Elle reste discrète parce qu'elle ne se voit pas.

Dans cette famille, on croise :

• Les sites qui diffusent un rançongiciel via une fausse mise à jour de lecteur vidéo.
• Les pages truffées d'iframes invisibles ou de redirections en cascade, qui vous emmènent sur un domaine hostile sans que l'URL change visiblement.
• Les fermes de publicités compromises, où une bannière légitime sur un site légitime sert de porte d'entrée.

C'est là que mon avis va vous déplaire : la protection par liste noire ne suffit plus. Ces domaines se créent et meurent trop vite pour qu'une liste les rattrape. J'ai vu des sites dangereux rester en ligne moins de six heures. Le temps qu'un signalement soit traité, la page n'existe plus.

Le cas le plus vicieux : le site légitime compromis

Un site que vous connaissez, que vous visitez depuis des années, dont l'administrateur n'a pas mis à jour son CMS. Un attaquant s'y introduit et injecte du code dans une seule page. La page d'accueil reste propre. Une rubrique secondaire, non.

C'est ce type de site qui fait le plus de dégâts, parce que votre méfiance naturelle ne s'active pas. Vous connaissez l'adresse. Vous lui faites confiance. Et c'est exactement sur quoi le pirate compte.

Comparer les familles de sites malveillants

Famille	Ce que le site veut	Signe révélateur	Antivirus suffit ?
Usurpation / typosquatting	Vos identifiants ou votre paiement	Domaine presque identique à une marque	Non
Site infectieux (drive-by)	Installer un programme à votre insu	Redirections, fausses mises à jour	Partiellement
Faux e-commerce	Encaisser sans livrer	Prix anormalement bas, mention légale absente	Non
Site légitime piraté	Variable, selon l'injection	Aucun signe visible sur la page d'accueil	Partiellement
Site de désinformation médicale ou financière	Vendre un produit dangereux ou une arnaque	Ton alarmiste, compte à rebours, appel à l'urgence	Non

Ce tableau, je l'ai construit après avoir passé des mois à décortiquer des signalements de clients. Une chose m'a frappé : sur cinq familles, l'antivirus n'est vraiment utile que sur une ou deux. Le reste repose sur votre attention, pas sur un logiciel.

Comment appelle-t-on un logiciel capable de détecter et stopper des logiciels malveillants ?

On l'appelle un antivirus, ou plus largement un logiciel de sécurité (ou « anti-malware »). Son rôle : analyser les fichiers présents sur votre machine et bloquer ceux qui correspondent à des signatures connues ou à des comportements suspects.

Mais attention, parce que c'est là que la confusion revient : un antivirus protège surtout contre les fichiers. Face à un site d'usurpation qui ne fait que vous demander vos identifiants, il ne verra rien à signaler. C'est le navigateur et votre jugement qui font le travail. J'ai vu trop de gens installer une suite de sécurité et se croire intouchables. La suite ne lira pas l'URL à votre place.

Citer deux catégories de logiciels malveillants

Si la question porte sur les logiciels et non sur les sites, deux exemples suffisent à illustrer l'éventail. Le rançongiciel : il chiffre vos fichiers et réclame une rançon pour les débloquer. Le logiciel espion : il enregistre discrètement votre activité, vos frappes clavier, vos identifiants.

Le premier se remarque immédiatement. Le second peut rester des mois sans être détecté. C'est toute la difficulté du sujet.

Se protéger : ce qui marche vraiment au quotidien

Après avoir vu défiler des cas concrets, voilà ce que je conseille, dans l'ordre d'efficacité réelle :

1. Activez la double authentification partout où c'est possible. Même si vos identifiants fuient via un faux site, le pirate ne pourra rien faire sans le second facteur.
2. Vérifiez l'adresse avant de saisir quoi que ce soit. Une seconde d'attention vaut mieux qu'une heure de nettoyage.
3. Mettez votre navigateur et votre CMS à jour. La majorité des attaques par site compromis jouent sur des failles déjà corrigées ailleurs.
4. N'installez jamais une « mise à jour » proposée par une page web. Les vraies passent par le système ou l'éditeur.
5. Pour les sites que vous gérez, surveillez les modifications de fichiers et les injections. Un site piraté se repère souvent en regardant les journaux, pas la page d'accueil.

Le point numéro un est, selon moi, le seul qui change vraiment la donne. J'insiste lourdement là-dessus à chaque fois qu'on me pose la question, et je continuerai. Parce qu'un mot de passe volé, sans second facteur, c'est une porte ouverte. Avec, c'est un mur.

Le reste — antivirus, listes noires, extensions de blocage — sert de filet, pas de bouclier. Utile. Pas suffisant.

Ce que la plupart des articles oublient de dire

La composition du paysage a bougé, sans que les listes classiques suivent. Il y a quelques années, un site malveillant se repérait à une chose : un design catastrophique, des fautes partout, un formulaire bancaire grossier. Aujourd'hui, les faux sites sont propres. Souvent plus lisibles que l'original. L'IA a nivelé la qualité visuelle, et donc supprimé un repère sur lequel beaucoup d'entre nous comptaient.

Résultat : l'apparence ne vaut plus rien comme critère. Ce qui reste fiable, c'est l'adresse, le contexte d'arrivée (qui vous a envoyé ce lien, et pourquoi maintenant) et l'urgence artificielle. Un site qui vous presse d'agir dans les cinq minutes a presque toujours quelque chose à cacher.

Mon client du mardi soir a fini par récupérer la situation, après avoir fait retirer le faux domaine. Deux de ses clients, eux, ont dû faire opposition sur leur carte. Le site malveillant, lui, avait déjà changé d'adresse. Il rôde encore quelque part, sous une autre lettre inversée. Et vous ne le verrez probablement pas venir.