Qu’est-ce que l’attaque par Watering Hole (Point d’eau) ?

Qu’est-ce que le Watering Hole ?

L’idée du watering hole, aussi appelé attaque par point d’eau ou attaque par trou d’eau en français, consiste à attendre les victimes là où elles ont l’habitude d’aller plutôt que d’essayer de les attaquer directement. Ces cyberattaques ciblées s’appuient non pas sur une intrusion directe, mais sur une exploitation subtile de la confiance que vous avez dans certains sites, ce qui rend leur détection particulièrement difficile.

Pour bien comprendre, il faut savoir que ce type de cyberattaque repose sur l’ingénierie sociale : l’attaquant va cibler une entité bien spécifique, généralement une entreprise, une organisation gouvernementale, une industrie, et va ensuite analyser les habitudes des membres de cette entité. Cela va lui permettre d’identifier les sites dont ces membres ne se méfient pas et d’en exploiter les failles de sécurité pour y injecter du code malveillant afin de les compromettre.

Si ces attaques ne sont pas fréquentes, car elles sont plutôt longues à mettre en place et que leurs résultats sont incertains, elles posent néanmoins un problème de sécurité majeur, car elles sont très difficiles à détecter, et que si elles réussissent, elles peuvent être dévastatrices.

Qui sont les victimes des attaques par Watering Hole ?

Les victimes de cyberattaques par watering hole peuvent avoir une multitude de profils :

• Les sites de confiance régulièrement consultés (presse, portails institutionnels, blog d’entreprise, sites affiliés…), car ils attirent une audience régulière et peuvent donc permettre de diffuser massivement des malwares.

Sans oublier les utilisateurs finaux qui fréquentent ces sites, et qui sont les véritables cibles des hackers. Parmi eux, on retrouve :

• Les entreprises, organisations et associations, notamment celles qui ont un fort impact public ou d’importantes responsabilités (comme les organisations publiques, religieuses, politiques), ou qui travaillent avec des données sensibles. Pour atteindre ces entités, les hackers surveillent les habitudes de navigation de leurs employés pour identifier des sites qu’ils visitent régulièrement et essayer de les piéger.  
• Les particuliers, qui peuvent être infectés en visitant des sites de confiance qui ont été compromis (leur portail bancaire, des sites en lien avec la santé, des boutiques en ligne…). L’attaque par point d’eau permet alors aux attaquants de propager des logiciels malveillants ou de construire un botnet de façon relativement discrète.

Quelles sont les conséquences d’une attaque par point d’eau ?

Bien qu’une attaque par point d’eau soit discrète, elle peut avoir des répercussions catastrophiques, tant pour les sites compromis que pour les victimes finales. Les entreprises stratégiques qui pourraient être prises pour cible et les sites qui pourraient servir de vecteur de propagation ont donc tout intérêt à souscrire à une assurance cyber risques pour limiter l’impact de ces attaques.

Pour les sites compromis

• Conséquences administratives, notamment en cas de fuite de données personnelles suite à la compromission ; les sites victimes auront alors l’obligation de prévenir leurs utilisateurs.  
• Répercussions financières dues aux actions de remédiation, à la diminution de trafic suite à l’infection, et aux éventuelles poursuites judiciaires.  
• Atteinte à la confiance, les visiteurs hésitant à retourner sur un site utilisé comme appât de watering hole, surtout si leur appareil a été compromis après une visite.

Pour les victimes qui visitent les sites

Les sites compromis servent avant tout de vecteur de propagation aux attaques par point d’eau. Les véritables victimes, celles à qui les cybercriminels cherchent à nuire, ce sont les personnes qui visitent ces sites. Qu’il s’agissent d’employés d’organisations d’importance, ou de simples particuliers, les conséquences potentielles sont multiples :

• Infection par des malwares comme des keyloggers, qui capturent chaque frappe sur votre clavier et permettent ainsi de voler vos mots de passe ou des informations sensibles.  
• Plus grande exposition aux cyberattaques, le watering hole étant souvent utilisé pour propager des chevaux de Troie, ensuite utilisés par les pirates pour propager d’autres menaces.  
• Atteinte à la confidentialité et fuites de données, les hackers pouvant accéder à des informations personnelles ou professionnelles.  
• Atteinte à la réputation, notamment si les attaques secondaires aboutissent à un arrêt des activités de l’organisation victime, à un vol de données personnelles ou de secrets industriels.

Comment fonctionne l’attaque par point d’eau ?

Les hackers suivent un schéma bien rôdé pour manipuler leurs victimes et mener à bien une attaque par point d’eau :

1. Ciblage d’un site internet régulièrement visité

Tout commence par une phase de reconnaissance minutieuse. Les cybercriminels s’intéressent aux membres du groupe qu’ils ciblent (souvent des employés ou des membres d’une organisation), et analysent leurs habitudes de navigation. Cela leur permet d’identifier les sites qu’ils visitent fréquemment : blogs spécialisés, portails d’entreprise ou encore sites thématiques, tous pourraient servir de vecteur d’attaque potentiel.

2. Compromission du site internet

Après avoir identifié les sites web fréquemment consultés par leurs cibles, les pirates partent en quête de vulnérabilités informatiques à exploiter. Leur objectif ? Transformer ces sites de confiance en véritables pièges numériques. Pour cela, les attaquants utilisent plusieurs techniques :

• Exploitation des vulnérabilités zero-day, failles encore non corrigées par les développeurs, et qui offrent donc aux hackers un accès privilégié au site.  
• Injection de scripts malveillants, notamment grâce à l’exploitation de failles XSS. Les hackers insèrent du code JavaScript directement sur une page du site, et ce code s’exécute automatiquement dès qu’un utilisateur la consulte, permettant d’infecter son appareil ou de capturer des données sensibles.  
• Exploitation des plugins et outils tiers souvent utilisés sur des sites professionnels, mais qui peuvent contenir d’importantes failles qui permettent aux cybercriminels de contourner les systèmes de sécurité.  
• Exploitation de mauvaises configurations des serveurs, qui peuvent permettre aux hackers d'accéder à des zones sensibles du site ou de modifier son contenu.

3. Infection des visiteurs du site internet

Une fois le piège tendu, il n’y a plus qu’à attendre qu’une cible se rende sur le site infecté. Lorsque cela se produit, plusieurs choses peuvent arriver, souvent sans même que la victime ne le remarque :

• Téléchargement furtif d’un malware.  
• Installation et activation d’un keylogger pour enregistrer les frappes clavier et capturer les identifiants de la victime.  
• Installation d’une porte dérobée.  
• Accès au réseau sur lequel est connecté l’appareil victime.

L’attaque par watering hole est donc redoutablement efficace, car elle se propage via des sites qui ont la confiance de ses victimes. Mais elle a un inconvénient majeur : si malgré le travail de veille, les cibles ne visitent pas les sites compromis, cette attaque n’aura aucun effet. Pour pallier ce risque, les hackers la couplent souvent au phishing, et utilisent les bulletins d'information automatiques des sites compromis pour envoyer des liens vers les pages infectées.

Quels sont les exemples marquants d'attaques par Watering Hole ?

Depuis leur première apparition au début des années 2010, les attaques par watering hole ont été utilisées pour cibler de nombreuses organisations de premier plan :

• En 2012, le site du Council on Foreign Relations, un important think tank américain, a été compromis. Les attaquants ont exploité une vulnérabilité zero-day dans Internet Explorer pour insérer un code malveillant sur le site, code qui permettait d’installer un malware sur les appareils des visiteurs. Fait intéressant : seuls les ordinateurs dont le navigateur était configuré en anglais, chinois, japonais, coréen ou russe ont été infectés, suggérant que les hackers voulaient toucher un type précis de visiteurs.  
• En 2013, le site web du Département du Travail des États-Unis a été victime d'une attaque par point d'eau. Seules des pages abordant le nucléaire ont été compromises, suggérant que les assaillants cherchaient à collecter des informations sur les individus travaillant dans ce secteur.

Comment se protéger d’une attaque par Watering Hole ?

Les attaques par point d’eau se propageant via des sites fréquemment visités par la cible des pirates, il en va de la responsabilité des propriétaires de ces sites de renforcer leur sécurité pour protéger les internautes. Plusieurs solutions s’offrent ainsi à eux :

• Mettre régulièrement à jour le site et ses plugins, notamment si celui-ci est conçu via un CMS comme WordPress.  
• Surveiller les accès au site, notamment en installant un pare-feu pour bloquer les connexions suspectes et en analysant régulièrement les journaux de logs pour détecter les activités qui sortent de l’ordinaire.  
• Faire vérifier leur site par des auditeurs en cybersécurité, qui pourront notamment détecter les vulnérabilités courantes comme les failles XSS.  
• Installer des systèmes de détection des intrusions pour identifier les comportements suspects.  
• Former leurs équipes aux bonnes pratiques cyber et les sensibiliser aux menaces en ligne.

En tant que visiteur de ces sites, vous êtes la cible principale que les hackers cherchent à atteindre avec ces attaques par watering hole. Heureusement, vous pouvez adopter certaines bonnes pratiques pour vous protéger. Vous pouvez par exemple utiliser un antivirus reconnu et veiller à le maintenir à jour, et activer un VPN pour ajouter une couche de protection supplémentaire à votre navigation. Dans tous les cas, gardez à l’esprit que votre vigilance reste votre meilleure alliée pour faire face aux cyberattaques.

Comment devenir un expert en cybersécurité pour protéger les entreprises ?

Si les attaques par watering hole illustrent la sophistication croissante des cybermenaces actuelles, elles ne sont qu’un seul des nombreux dangers qui menacent les entreprises. Nombreuses sont d’ailleurs celles à chercher des professionnels qualifiés pour affronter ces risques, faisant de la cybersécurité un secteur très attractif si vous souhaitez vous reconvertir.

Mais avant d’être capable de protéger les entreprises, vous devrez acquérir de solides compétences en cybersécurité. C’est pour cela que chez Jedha, nous vous proposons des programmes adaptés au marché de l’emploi et à votre niveau de départ :

• Notre formation en cybersécurité pour débutant, idéale pour vous initier aux bases de cette discipline et en comprendre les enjeux.  
• Notre formation pour devenir pentester vous permettra de maîtriser des techniques de protection avancées et vous préparera aux différents métiers de la cybersécurité.  
• Notre formation expert en cybersécurité vous permettra d’acquérir des compétences de pointe et rarement enseignées, qui vous permettront de protéger votre entreprise même face aux menaces les plus complexes.

Et ce n’est pas tout : nos formations sont éligibles au CPF et aux autres financements publics comme les aides de Pôle emploi.

Besoin de plus d’informations ? Découvrez nos cursus en détail dans notre syllabus, et rejoignez-nous lors de notre prochaine Soirée Portes Ouvertes en ligne pour nous poser vos questions !

Questions fréquentes à propos du Watering Hole ?

Est-ce que les attaques par point d’eau sont dangereuses ?

Oui, les attaques par point d’eau peuvent être redoutablement dangereuses, et pour cause : elles sont subtiles et difficiles à prévenir. En effet, les victimes visitent les sites compromis en confiance, et ne se doutent pas un seul instant de ce à quoi elles s’exposent. Ces attaques peuvent ainsi toucher les membres spécifiques d’une organisation comme se propager rapidement à l’ensemble des visiteurs réguliers d’un site.

Qu’est-ce que le Whale Phishing ?

Le Whale Phishing, ou « harponnage » en français, est une variante du phishing qui cible spécifiquement les dirigeants d’entreprise ou les cadres supérieurs. L’objectif est de leur soutirer des informations critiques, comme :

• Des accès aux systèmes informatiques de l’entreprise.  
• Des autorisations pour des transactions financières importantes.

Contrairement au phishing classique, les messages envoyés sont ici personnalisés au maximum : apparence, ton employé, tout doit permettre de convaincre la victime de leur authenticité.

Si les attaques de Whale Phishing sont particulièrement dangereuses, c’est donc parce qu’elles peuvent compromettre les ressources stratégiques d’une organisation.

Qui sont les hackers derrière les attaques par Watering Hole ?

Les attaques par point d’eau sont souvent perpétrées par des groupes de hackers aux motivations variées. Il peut ainsi s’agir :

• De cybercriminels qui agissent dans un objectif financier, et utilisent ces attaques pour voler des données sensibles ou propager des ransomwares.  
• De groupes de hackers étatiques, qui mènent des attaques par watering hole dans le cadre d’opérations d’espionnage ou de cyberguerre.  
• De hacktivistes, qui cherchent à attirer l’attention sur des causes politiques ou sociales diverses en perturbant des sites web influents.