Une fausse page bancaire hébergée sur votre domaine

Pourquoi on coupe avant de copier (ici seulement)

Pour une redirection SEO ou un footer casino, on garde le site joignable : le crawl et le métier comptent, le risque visiteur est moindre. Une page qui imite une banque, un webmail, un store de cartes : chaque hit peut voler un identifiant. L'ordre s'inverse. Maintenance sur l'URL, retrait du dossier, ou vhost down le temps d'extraire le kit hors web.

Copier reste indispensable, mais hors ligne publique. Archivez après avoir coupé le 200, ou en même temps si vous avez les deux mains. Un 200 qui dure « le temps de zipper » est un choix : allez vite.

Le cadenas HTTPS ne rassure personne. Le certificat est le vôtre ; le contenu est faux. Chrome le sait déjà ou le saura. Voir site trompeur.

Identifier l'URL exacte, tous les hôtes

Le client envoie souvent `votresite.fr/wp-content/uploads/…/index.html`. Notez le chemin complet. Cherchez les jumeaux : `www`, sans `www`, HTTP, HTTPS, un sous-domaine `secure.`, `old.`. Safe Browsing classe un hôte ; un kit sur `old.` suffit à peindre `www` selon les cas — nettoyez tout le compte.

`site:votre-domaine.fr banque` ou le nom de la banque. Inspection GSC si vous y avez accès. Les e-mails d'hameçonnage citent l'URL : demandez une copie de l'e-mail (en-têtes).

Plusieurs banques dans le même dossier : un pack. Un seul retrait de préfixe plus tard.

• URL complète, tous les vhosts.
• HTTP et HTTPS.
• Dossiers jumeaux (dates, noms proches).

Couper sans éteindre tout le métier si possible

Retrait du dossier hors webroot, 410 sur le préfixe, règle WAF « block path ». La home boutique peut rester si elle ne redirige pas vers le kit. Testez : navigation privée, mobile. Une home qui redirige, on coupe plus large.

Un `.htaccess` qui envoie tout le domaine vers le kit : là, vhost ou rename du htaccess (attention permaliens). Voir htaccess et site qui redirige.

Page de maintenance globale : acceptable 24 h ici. Au-delà, le SEO paie ; le kit, lui, doit rester mort.

Preuve : captures après la coupure, logs avant

Si vous avez déjà une capture client (barre d'adresse), gardez-la. Après coupure, capturez le 404. Les logs d'accès du path : volume, IP, user-agents. Ça estime l'exposition — jamais un chiffre exact de « cartes volées », mais une échelle.

N'ouvrez pas le kit en remplissant un faux RIB « pour voir ». Trop de JS exfiltrent à la frappe.

Le zip de preuve hors serveur, pas dans `uploads`.

Marques usurpées et Signal Spam

Les banques et PayPal ont des formulaires d'abus. L'URL exacte, la date, que c'est votre domaine compromis (vous n'êtes pas l'escroc). Ça accélère leur side et parfois Safe Browsing.

Phishing.gouv.fr / Signal Spam selon le canal e-mail. Vous n'êtes pas obligé d'être juriste : factuel, URL, horodatage.

L'hébergeur : ticket abuse, référence, que le path est coupé, que vous nettoyez l'entrée. Ils ont souvent déjà le signalement.

Safe Browsing et le réexamen trop tôt

Chrome rouge alors que le kit répond encore 200 : ne déposez pas. Refus, compteur plus long. Coupez, testez tous les hôtes, inspection live 404, puis une demande factuelle. Délai courant 24 à 72 h. Voir lever Safe Browsing.

Un réexamen « on a mis Wordfence » sans 404 du path échoue. Google retélécharge.

Search Console « problème de sécurité » est une file voisine, pas la même. Traitez les deux si les deux parlent. Voir GSC sécurité.

Comment la page est arrivée

Upload (File Manager, admin), FTP, générateur. Le dossier aléatoire est le meuble. La tournée : admins, PHP racine, cron, mu-plugins. Sans ça, un nouveau kit sort jeudi.

Les e-mails d'hameçonnage peuvent avoir été envoyés depuis votre SMTP : croisez site envoie du spam. Deux préjudices, même entrée parfois.

Panel d'abord dans les mots de passe. Un FTP ouvert recolle le dossier pendant que vous rédigez le réexamen.

Clients, banque, éventuellement CNIL

Si le kit a pu collecter, le constat estime. Vous devez calibrer l'information des personnes et, le cas échéant, la notification. Ça vous incombe. Un prestataire de nettoyage ne « s'occupe pas de la CNIL à votre place ».

Votre banque / PSP : s'ils sont usurpés visuellement, ils veulent l'URL. S'ils sont votre prestataire de paiement réel, autre conversation (skimmer vs phishing hébergé).

Ne tweetez pas « aucune donnée volée » le soir même. Vous n'avez pas les logs complets.

Rouvrir le path, jamais le kit

Le path du kit reste 410. Vous ne « remettez pas un dossier vide » au même nom : trop de liens e-mails encore cliqués. 410, oubli.

La home métier reprend dès que plus aucune redirection vers le kit. Testez comme un visiteur.

Vous pouvez créer un espace. En urgence : couper l'URL, ticket hébergeur, capture. Le reste suit dans les heures.

• 200 du kit → 410/404 tout de suite.
• Tous les hôtes testés.
• Réexamen seulement après live propre.
• Entrée fermée, secrets rotés.