Mots de passe FTP et cPanel volés : l'entrée la plus fréquente dans une boutique en ligne

Après avoir nettoyé une boutique, la question est toujours la même : par où sont-ils entrés ? Et parfois la réponse ne se trouve dans aucun module vulnérable. Les journaux web ne montrent rien d'anormal, il n'y a aucune requête étrange vers un contrôleur, et pourtant les fichiers ont changé. L'attaquant n'a pas piraté la boutique : il est entré avec un mot de passe valide, par FTP ou par le panneau de l'hébergement.

C'est l'une des voies d'entrée les plus fréquentes et l'une des moins surveillées, car elle ne dépend pas du code de la boutique, mais de l'endroit où ses identifiants sont stockés.

Comment les mots de passe finissent entre d'autres mains

Des infostealers sur l'ordinateur de quelqu'un

Un infostealer est un programme qui, une fois sur une machine, récupère tout ce qu'il juge utile : les mots de passe enregistrés dans le navigateur, les cookies de session, et les profils des clients FTP qui enregistrent les connexions avec leur mot de passe. Il emballe le tout et l'envoie. Ces paquets se vendent par lots, et quelqu'un les parcourt en testant quels accès fonctionnent encore.

Il arrive par des chemins très ordinaires : un logiciel piraté, une pièce jointe, une extension de navigateur, ou un faux captcha qui demande de coller une commande dans l'ordinateur. Il n'est pas nécessaire que ce soit l'ordinateur du propriétaire : celui du graphiste, de l'agence qui a créé la boutique il y a des années ou du neveu venu aider un week-end suffit.

La réutilisation des mots de passe

Le mot de passe du FTP est le même que celui d'un autre service victime d'une fuite. Les robots testent automatiquement les combinaisons divulguées sur d'autres sites.

Des identifiants partagés par e-mail ou messagerie

Des données d'accès envoyées par e-mail à un prestataire, qui finissent dans une boîte compromise des années plus tard.

Des comptes dont personne ne se souvient

Des comptes FTP créés pour une tâche précise et jamais supprimés, avec des mots de passe faibles parce que « c'était temporaire ».

Ce que quelqu'un peut faire avec votre FTP ou votre panneau

• Modifier n'importe quel fichier : ajouter un skimmer au JavaScript du checkout, une porte dérobée dans le cœur, une redirection dans le .htaccess.
• Lire la configuration de PrestaShop, qui contient le mot de passe de la base de données et la clé de chiffrement des cookies.
• Depuis le panneau, en plus : accéder à la base de données, créer de nouveaux comptes FTP, programmer des tâches cron, modifier le DNS ou rediriger les e-mails.

Autrement dit, le panneau d'hébergement est un passe-partout. Le protéger compte autant que protéger le back-office.

Ce qu'il faut changer

Utilisez SFTP et abandonnez le FTP non chiffré

Le FTP classique envoie l'identifiant et le mot de passe en clair. Si votre hébergeur propose SFTP (via SSH) ou FTPS, utilisez-le, et demandez la désactivation du FTP simple si vous n'en avez pas besoin. Mieux encore, si votre hébergeur le permet, un accès SSH par clé plutôt que par mot de passe.

Activez la double authentification dans le panneau

cPanel, Plesk et la plupart des panneaux d'hébergement permettent un second facteur avec une application d'authentification. Avec lui, un mot de passe volé ne suffit pas. Faites de même pour le back-office de PrestaShop et pour l'adresse e-mail associée au compte d'hébergement, puisque c'est par elle que l'on récupère tout le reste.

Passez en revue les comptes FTP

• Supprimez ceux qui ne servent pas. Si vous ne savez pas à quoi sert un compte, il est probablement en trop.
• Un compte par personne ou par prestataire, avec un nom qui l'identifie, et non un compte partagé.
• Limitez chaque compte au dossier dont il a besoin.
• Si votre hébergeur le permet, restreignez l'accès par IP.

N'enregistrez pas les mots de passe dans le client FTP

C'est pratique, mais c'est exactement ce que cherchent les infostealers. Utilisez un gestionnaire de mots de passe et copiez-le au moment où vous en avez besoin, ou mieux, utilisez des clés SSH protégées par une phrase secrète.

Des mots de passe uniques et longs

Un par service, généré par le gestionnaire. Aucun partagé avec la messagerie personnelle ni avec d'autres boutiques.

Après un incident : la rotation complète

Si vous soupçonnez qu'ils sont entrés avec des identifiants, changer seulement celui du FTP ne suffit pas. Depuis une machine saine (si un ordinateur est infecté, ce que vous y tapez fuit à nouveau) :

1. Vérifiez l'ordinateur de la personne qui avait les identifiants enregistrés. En cas de soupçon d'infostealer, la machine doit être nettoyée ou réinstallée avant de servir à nouveau à administrer la boutique.
2. Changez le mot de passe du panneau d'hébergement et activez le second facteur.
3. Changez tous les comptes FTP et supprimez ceux qui sont en trop. Vérifiez s'il en existe un créé récemment que vous ne reconnaissez pas.
4. Changez le mot de passe de la base de données et mettez-le à jour dans la configuration de PrestaShop.
5. Changez les mots de passe des employés du back-office et vérifiez qu'il n'y a pas de nouveaux comptes.
6. Vérifiez les tâches planifiées du panneau et les clés SSH autorisées du compte.
7. Fermez les sessions ouvertes dans le panneau et la messagerie, car les cookies volés permettent d'entrer sans mot de passe.
8. Nettoyez les fichiers modifiés et dotez la boutique d'une référence d'intégrité pour détecter le prochain changement.

Et profitez-en pour ce qui reste toujours en suspens : mettre à jour PrestaShop, PHP et les modules. Une boutique à jour n'empêche pas le vol de mots de passe, mais elle réduit ce que l'attaquant peut faire une fois à l'intérieur et facilite la détection de ce qui a changé.

Comment le résoudre dans PrestaShop

Aucun module n'empêche quelqu'un d'entrer avec un mot de passe valide, mais un module peut vous prévenir dès qu'il touche quelque chose. RKR Security Alert tient une référence d'intégrité des fichiers et une surveillance rapide qui peut tourner toutes les quelques minutes, de sorte qu'un fichier nouveau ou modifié dans modules/, override/ ou themes/ vous est signalé par Telegram même si le changement a été fait par FTP. Il surveille aussi les tâches planifiées du compte, les employés et les comptes webservice, et vous prévient quand un employé se connecte au back-office depuis une IP qu'il n'avait jamais utilisée. Si cela vous est déjà arrivé, avec un forfait d'heures de support Rekire nous effectuons le nettoyage, vérifions les comptes et accès de l'hébergement et vous laissons une boutique à jour et surveillée.