Voir s’afficher un message de rançon sur son site WordPress glace un peu le sang. Une page d’accueil remplacée par un écran noir, un compte administrateur bloqué, des fichiers chiffrés, un pirate qui exige quelques centaines ou milliers d’euros en cryptomonnaie. Entre la colère, la panique et la honte, beaucoup ne savent pas par où commencer. Pourtant, les premières heures comptent énormément.
J’ai accompagné des propriétaires de sites vitrines, des boutiques en ligne et même des institutions publiques dans ce type d’urgence WordPress piraté. Le scénario varie, mais les questions sont toujours les mêmes : que faire tout de suite, faut‑il payer, comment récupérer son site, que dire à ses clients, peut‑on éviter que cela se reproduise ?
Ce guide vise à vous donner une feuille de route concrète, avec un regard pragmatique, tiré de cas réels, sans vous vendre de miracle. Un site compromis se répare, mais rarement en un clic.
Reconnaître qu’il s’agit bien d’un ransomware
Tous les piratages WordPress ne sont pas des ransomwares. Dans bien des cas, le site diffuse du spam, redirige vers des pages douteuses ou héberge discrètement du phishing, sans demande explicite de rançon. Identifier correctement le type d’attaque oriente fortement la réponse.
Un ransomware lié à WordPress se manifeste souvent par un changement brutal et visible. La page d’accueil est remplacée par un message indiquant que vos fichiers ou votre base de données ont été chiffrés ou copiés, avec des instructions pour payer. Dans certains cas, le pirate se contente de chiffrer localement les fichiers et d’injecter un message dans le thème ou via un plugin malveillant.
On voit aussi un autre schéma, plus insidieux. Le pirate ne chiffre rien, mais vole la base de données ou une copie du site, puis menace de publier les données clients, les commandes ou les comptes utilisateurs si vous ne payez pas. Techniquement ce n’est pas un ransomware au sens classique du chiffrement, mais le comportement est similaire : extorsion contre rançon.
La première étape consiste à vérifier si vos fichiers sont réellement chiffrés ou seulement modifiés. Par exemple, si vos fichiers PHP portent encore leur structure habituelle, mais avec du code obfusqué inséré, vous êtes probablement face à une infection de type webshell ou porte dérobée, pas à un chiffrement massif. Cela reste grave, mais la logique de réponse diffère.
Pour le comprendre sans aggraver la situation, mieux vaut travailler sur une copie du site ou via un accès FTP / SFTP, jamais directement dans l’éditeur de fichiers du tableau de bord WordPress, qui peut lui‑même être piégé.
Garder son sang‑froid dans l’urgence WordPress piraté
La panique pousse à cliquer partout, à supprimer des fichiers au hasard, à changer de mot de passe sans méthode. Ce sont des réflexes compréhensibles, mais qui compliquent parfois le diagnostic. Une fois, un propriétaire de boutique en ligne avait supprimé entièrement le répertoire wp-content en pensant retirer le virus. Il a perdu à la fois son thème personnalisé et toutes ses images produits, alors qu’un backup partiel existait encore.
Face à une demande de rançon, il faut d’abord figer la situation autant que possible, pour comprendre l’étendue de l’incident et préserver les preuves. Même si vous ne comptez pas porter plainte, ces éléments techniques aident à sécuriser la suite.
Voici un premier mini‑protocole pour les toutes premières heures, que vous pouvez adapter à votre contexte :
- Noter les symptômes et faire des captures d’écran du message de rançon, des URL concernées, des logs d’accès récents si vous y avez accès. Prévenir immédiatement les personnes concernées en interne, notamment si le site gère des commandes, des paiements ou des données personnelles. Exporter ou demander au prestataire un dump de la base de données et une copie des fichiers du site, même infectés, pour analyse ultérieure. Limiter l’accès public si nécessaire, par exemple en mettant en place une page de maintenance via le serveur, pas seulement via un plugin WordPress possiblement compromis. Contacter votre hébergeur pour signaler le piratage et demander s’il dispose de sauvegardes antérieures, ainsi que d’éventuelles informations sur une activité suspecte.
Dans certains cas, ce simple cadrage permet de découvrir que le message de rançon s’affiche uniquement pour les visiteurs non connectés, via une redirection conditionnelle, ou au contraire qu’il accompagne un chiffrement réel des fichiers. Cette distinction change beaucoup de choses.
Faut‑il payer la rançon ?
C’est la question qui revient le plus souvent, et la plus délicate. D’un point de vue purement légal, le paiement d’une rançon n’est pas explicitement interdit dans beaucoup de pays européens, sauf cas particuliers (liens avérés avec le terrorisme, par exemple). D’un point de vue éthique et stratégique, la plupart des autorités et des experts déconseillent fermement de payer.
Dans la pratique, payer ne garantit absolument pas que vous récupérerez quoi que ce soit. J’ai vu des cas où le pirate a effectivement fourni une clé de déchiffrement après paiement, mais aussi de nombreux cas où le silence a suivi le transfert de cryptomonnaie. Il est impossible de faire confiance à un criminel anonyme qui a déjà prouvé https://gardewp.fr/ qu’il ne respectait aucune règle.
Même si vous obtenez une clé de déchiffrement, rien n’assure que le pirate effacera ses copies de données, ni qu’il ne reviendra pas plus tard pour exiger une nouvelle rançon en menaçant de tout republier. Une fois que vous êtes identifié comme une victime qui paie, vous devenez une cible plus rentable.
Payer peut également poser un problème d’image si l’information fuite, notamment pour une entreprise qui gère des données clients. Certains clients ou partenaires pourraient considérer que vous alimentez indirectement l’écosystème criminel, au lieu de renforcer vos défenses.
Dans le monde réel, certains choisissent malgré tout de payer, souvent sous la pression d’une activité critique à remettre en ligne, de sauvegardes inexistantes ou d’un chiffre d’affaires à l’arrêt. Avant de prendre une telle décision, il est raisonnable de consulter un expert en cybersécurité, voire un avocat spécialisé, ne serait‑ce que pour mesurer le risque et envisager les alternatives.
Une bonne pratique consiste à considérer le paiement de rançon comme une option de dernier recours absolu, et à concentrer d’abord vos efforts sur les sauvegardes, la restauration et le nettoyage.
Contacter l’hébergeur et vérifier les sauvegardes
Dans une urgence WordPress piraté, l’hébergeur est souvent votre meilleur allié, parfois votre seule bouée. Beaucoup d’hébergeurs sérieux conservent des sauvegardes quotidiennes ou hebdomadaires des fichiers et de la base de données. La politique varie, mais il n’est pas rare de disposer de plusieurs points de restauration sur une période de 7 à 30 jours.
Le réflexe doit être de demander, de façon précise, quelles sauvegardes existent, à quelles dates, et si elles ont été testées récemment. Parfois, un pirate s’est introduit depuis plusieurs semaines sans se manifester, ce qui rend certaines sauvegardes déjà compromises. Restaurer un backup infecté ne résout rien, et vous vous retrouverez dans un cycle d’infections récurrentes.
Il faut aussi s’assurer que la restauration ne va pas écraser des données critiques récentes, comme des commandes e‑commerce ou des comptes clients créés après la date de la sauvegarde choisie. Dans un cas réel, une boutique en ligne a accepté de perdre trois jours de commandes pour revenir à un état propre, tout en récupérant certaines informations de commandes depuis les notifications e‑mail et les données de paiement du prestataire bancaire.
Les sauvegardes peuvent être internes à l’hébergeur, mais aussi externes, via des plugins de backup (UpdraftPlus, BackupBuddy, etc.) Ou des services externes type Jetpack Backup. Avant toute restauration, il est prudent de télécharger une copie du backup localement, pour conserver une version figée en cas de besoin d’analyse forensique ou de litige ultérieur.
Mesures techniques immédiates pour contenir l’incident
Même si vous n’êtes pas à l’aise techniquement, certaines actions de base contribuent à limiter la casse. Elles doivent toutefois rester ordonnées. Changer tous les mots de passe sans plan risque d’être contre‑productif si le pirate dispose d’un accès plus profond, par exemple via une clé SSH ou un compte serveur.
L’accès FTP ou SFTP permet d’inspecter l’arborescence du site. En général, un WordPress standard se compose des dossiers wp-admin, wp-includes, wp-content, et de fichiers à la racine comme wp-config.php, index.php, etc. Tout répertoire ajouté récemment ou portant un nom suspect mérite un examen. De même, des fichiers .php dans des répertoires d’uploads d’images (wp-content/uploads) sont souvent des portes dérobées.
Une bonne pratique consiste à comparer la structure du site avec une installation WordPress vierge de la même version. Des outils comme WP-CLI, ou même un simple diff local entre une copie propre et la copie compromise, permettent de repérer les ajouts et modifications.
Côté base de données, certains ransomwares modifient le contenu des tables pour remplacer les articles par un message de rançon ou injecter des scripts dans les options. Un export SQL, ouvert dans un éditeur de texte, peut montrer des chaînes de caractères répétitives, des iframes ou des scripts malveillants. Cela demande un minimum de familiarité avec le SQL, mais même un œil non expert peut détecter des anomalies flagrantes.
En parallèle, il est judicieux de désactiver l’exécution de scripts dans certains répertoires (par exemple uploads) via des règles au niveau du serveur (fichiers .htaccess, configuration Nginx) afin de réduire la surface d’attaque pendant l’analyse.
Quand faire appel à un spécialiste de la sécurité WordPress
Tout le monde n’a pas le temps ni les compétences pour analyser un dump SQL ou différencier un fichier de thème légitime d’un webshell obfusqué. À partir du moment où un message de rançon s’affiche, l’incident dépasse souvent la simple désinfection de trois fichiers.
Un spécialiste apporte plusieurs choses. D’abord une vision globale : comment le pirate est entré, ce qu’il a potentiellement vu ou exfiltré, quelles traces il a laissées. Ensuite, une méthodologie pour nettoyer sans casser le site : réinstaller le cœur WordPress proprement, vérifier les thèmes et plugins, sécuriser le serveur, ajuster les permissions de fichiers. Enfin, un rapport rédigé, utile vis‑à‑vis de la direction, des clients ou de votre DPO si des données personnelles sont en jeu.
Le marché est très hétérogène. Certains services promettent une désinfection WordPress en 24 h à prix cassé, mais se contentent d’un nettoyage superficiel, sans traiter la cause profonde. D’autres, plus sérieux, accompagnent jusqu’au durcissement de la configuration et à la mise en place d’une stratégie de sauvegarde.
Lorsque vous sollicitez un prestataire, posez des questions précises : va‑t‑il analyser les logs serveur, fournir un rapport sur la cause de l’intrusion, vérifier la configuration de l’hébergement, tester les sauvegardes, proposer des mesures préventives ? Un vendeur qui promet une magie instantanée sans diagnostic mérite d’être évité.
Aspects légaux et notification des incidents
Dès qu’un site WordPress piraté contient des données personnelles, la question de la conformité entre en jeu. En Europe, le RGPD impose la notification des violations de données personnelles à l’autorité de contrôle compétente (comme la CNIL en France) dans un délai de 72 heures après en avoir pris connaissance, sauf si la violation n’est pas susceptible d’engendrer un risque pour les droits et libertés des personnes.
Dans un scénario de ransomware, il est souvent difficile de savoir si les données ont été simplement chiffrées sur place ou aussi copiées. Les pirates ne disent pas toujours la vérité, et certains menacent de publier des données qu’ils n’ont peut‑être pas réellement exfiltrées. Par prudence, beaucoup d’organisations partent du principe que les données ont pu fuiter, surtout si le pirate semblait avoir un accès étendu à la base.
Une évaluation de l’impact doit tenir compte du type de données concernées (e‑mails, adresses, mots de passe hachés, données de paiement, informations de santé, etc.), du nombre de personnes impactées et de la probabilité que ces données soient exploitées. Un site vitrine avec seulement un formulaire de contact ponctuel n’est pas dans la même situation qu’une boutique en ligne qui stocke l’historique complet des commandes.
Selon le contexte, il peut être nécessaire d’informer les personnes concernées, par exemple les clients dont les données ont pu être exposées. La transparence, même si elle est douloureuse, est généralement mieux perçue qu’un silence prolongé suivi d’une fuite révélée par des tiers.
Consulter un avocat ou un juriste maîtrisant ces sujets aide à arbitrer entre sous‑notification (risque réglementaire) et sur‑notification (inquiéter inutilement les utilisateurs).
Restaurer, nettoyer, puis restaurer encore
Une approche efficace pour sortir d’une attaque par ransomware sur WordPress repose souvent sur un enchaînement en plusieurs temps. D’abord restaurer une version fonctionnelle, ensuite la mettre en quarantaine pour nettoyage approfondi, puis la pousser en production une fois vérifiée.
Une voie relativement sûre consiste à partir d’une installation WordPress propre de la même version, puis à réimporter uniquement ce qui est nécessaire. Par exemple, réinstaller les plugins depuis le dépôt officiel ou leurs sources d’origine, plutôt que de reprendre les fichiers potentiellement compromis depuis l’ancienne installation. Pour les thèmes, récupérer si possible une version vierge à partir du fournisseur, puis y réintégrer soigneusement les personnalisations.
Les contenus (articles, pages, produits, utilisateurs) sont stockés principalement dans la base de données. Selon l’étendue de la compromission, on peut parfois exporter une partie des tables (par exemple les tables de contenu) et laisser de côté des tables systèmes très modifiées, en les recréant à partir de l’install propre. Cette approche nécessite une bonne compréhension de la structure de WordPress et des plugins utilisés, sous peine de casser des fonctionnalités.
Dans certains cas, il est plus rapide et plus sûr d’accepter de repartir d’une sauvegarde complète un peu ancienne, quitte à réintroduire manuellement des contenus récents. C’est un compromis entre sécurité et travail de rattrapage.
Une fois la version restaurée en place, il est crucial de surveiller les logs d’accès, les fichiers modifiés et l’intégrité du site pendant plusieurs jours. Certains attaquants installent plusieurs portes dérobées, dont certaines ne s’activent que plus tard. Une surveillance attentive permet de repérer des tentatives de réactivation.
Repenser la sécurité après un incident
Un piratage de WordPress suivi d’une demande de rançon révèle presque toujours des failles de fond. Mots de passe faibles, absence de double authentification, plugins ou thèmes obsolètes, PHP hors d’âge, sauvegardes inexistantes ou non testées, droits d’écriture trop larges sur le serveur, manque de cloisonnement entre sites sur un même hébergement mutualisé.
Créer un plan de remédiation est au moins aussi important que le nettoyage immédiat. Pour une petite structure, cela peut ressembler à une liste de décisions simples à appliquer dans les semaines qui suivent la remise en ligne.
Voici un ensemble de mesures préventives fréquemment mises en place après un incident :
- Mettre en place des sauvegardes automatiques quotidiennes ou hebdomadaires, stockées hors du serveur de production et testées régulièrement. Forcer l’activation d’une authentification à deux facteurs pour tous les comptes administrateurs et limiter leur nombre au strict nécessaire. Supprimer tous les thèmes et plugins inutilisés, maintenir le reste à jour, et bannir les extensions piratées ou téléchargées depuis des sources douteuses. Durcir la configuration serveur : version récente de PHP, désactivation des fonctions à risque, répertoires uploads sans exécution de scripts, droits de fichiers corrects. Mettre en place un système de surveillance minimale : notifications en cas de connexion depuis des pays inhabituels, détection de modifications de fichiers, alerte en cas de tentative de login répétée.
Ces mesures ne rendent pas un site invulnérable, mais elles font souvent la différence entre une cible facile et une cible qui demande trop d’efforts pour la plupart des attaquants opportunistes.
Anticiper plutôt que subir la prochaine urgence WordPress piraté
Chaque incident raconté par un client suit un schéma similaire. Avant l’attaque : un site qui fonctionne tant bien que mal, un hébergement pas forcément optimisé, des mises à jour repoussées par peur de casser quelque chose, une absence de sauvegardes vérifiées, et la croyance que « personne ne viendra s’attaquer à un petit site comme le mien ». Après l’attaque : des heures ou des jours de stress, des pertes de données ou de revenus, parfois des tensions internes entre service marketing, DSI, prestataires externes.
La plupart des ransomwares sur WordPress ne ciblent pas une organisation en particulier, ils exploitent des failles connues de versions de plugins ou de thèmes vulnérables, scannées à grande échelle. Ce ne sont pas des attaques hautement sophistiquées, mais des campagnes industrielles, qui profitent du fait que de nombreux sites restent des mois sans mise à jour.
Personne n’est ravi d’investir du temps et un peu d’argent dans des sauvegardes, des audits de sécurité ou une montée de version de PHP qui ne « rapportent » rien de visible à court terme. Pourtant, comparer le coût d’une journée d’intervention d’un spécialiste ou d’un plan de sauvegardes géré par un prestataire, avec celui d’un site totalement bloqué, d’une image ternie et d’une possible sanction réglementaire, change souvent la perspective.
Un site qui sort d’une attaque par ransomware peut devenir plus robuste qu’avant, si l’incident est pris comme une occasion de revoir l’architecture, les accès et la culture interne autour de la sécurité. L’objectif n’est pas la peur permanente, mais un niveau raisonnable de préparation. Que quelqu’un, dans votre équipe ou chez un prestataire, sache quoi faire si un matin la demande de rançon apparaît à l’écran.
C’est cette préparation, plus que n’importe quel plugin de sécurité, qui réduit véritablement la probabilité et l’impact de la prochaine urgence WordPress piraté.