--- id: CP-027 slug: watering-hole-point-d-eau-site-compromis lang: fr title: Attaque du point d'eau description: Un site que vous consultez chaque semaine peut être piégé. Comment fonctionne l'attaque du point d'eau, ce que l'on voit, et les gestes qui protègent. canonical_url: https://startbrain.io/cyberpedia/fr/articles/watering-hole-point-d-eau-site-compromis/ markdown_url: https://startbrain.io/cyberpedia/fr/articles/watering-hole-point-d-eau-site-compromis.md publisher: Brain (https://startbrain.io) license: CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/) cite_as: Brain, « Attaque du point d'eau », Cyberpedia, 2026. https://startbrain.io/cyberpedia/fr/articles/watering-hole-point-d-eau-site-compromis/ (CC BY 4.0) wing: 1 theme: outsmart_social_engineering reflex: cr-046 schema: G5 updated: "2026-11-03" translations: fr: https://startbrain.io/cyberpedia/fr/articles/watering-hole-point-d-eau-site-compromis/ en: https://startbrain.io/cyberpedia/en/articles/watering-hole-attack-compromised-website/ de: https://startbrain.io/cyberpedia/de/articles/watering-hole-angriff-kompromittierte-website/ es: https://startbrain.io/cyberpedia/es/articles/ataque-abrevadero-sitio-web-comprometido/ sources: - "n": 1 title: Drive-by Compromise, Technique T1189 - Enterprise | MITRE ATT&CK® publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1189/ accessed: "2026-11-03" - "n": 2 title: "Stage Capabilities: Drive-by Target, Sub-technique T1608.004 - Enterprise | MITRE ATT&CK®" publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1608/004/ accessed: "2026-11-03" - "n": 3 title: "Compromise Infrastructure: Web Services, Sub-technique T1584.006 - Enterprise | MITRE ATT&CK®" publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1584/006/ accessed: "2026-11-03" - "n": 4 title: Exploitation for Client Execution, Technique T1203 - Enterprise | MITRE ATT&CK® publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1203/ accessed: "2026-11-03" - "n": 5 title: "Phishing attacks: defending your organisation" publisher: NCSC (Royaume-Uni) url: https://www.ncsc.gov.uk/guidance/phishing published: "2018-02-05" accessed: "2026-11-03" --- # Attaque du point d'eau Dans une attaque du point d'eau (en anglais « watering hole »), l'attaquant ne contacte pas la victime. Il piège un site que celle-ci visite déjà : il y glisse du code malveillant, puis attend que les visiteurs viennent d'eux-mêmes. Pour un salarié, le danger vient de cette confiance. Le site est connu, utile au travail, et rien ne signale qu'il a changé. Cette fiche décrit le mécanisme, ce que l'on peut remarquer, et ce qui limite les dégâts. ## En 30 secondes - Où ça arrive : sur un site visité par une communauté précise (administration, secteur d'activité, région), au cours d'une navigation normale [1]. - Ce que veut l'attaquant : exécuter du code sur le poste de la victime, ce qui lui donne souvent accès aux systèmes du réseau interne [1]. - Le réflexe : garder le navigateur et ses extensions à jour, et refuser toute « mise à jour » proposée par une page web, quel que soit le site. - Si c'est déjà fait : prévenir sans attendre le service informatique ou sécurité, même si rien d'anormal n'est visible. ## Questions directes ### Qu'est-ce qu'une attaque du point d'eau ? Les sources décrivent le cas où le site utilisé par l'attaquant est souvent fréquenté par une communauté (gouvernement, secteur d'activité, région). L'objectif est de compromettre un utilisateur ou un groupe d'utilisateurs à partir d'un intérêt commun. Cette campagne ciblée est appelée « strategic web compromise » ou « watering hole attack » [1]. Elle relève de la famille plus large du « drive-by compromise » : la victime visite un site au cours d'une navigation normale [1]. ### Faut-il cliquer sur quelque chose pour être infecté ? Pas toujours. Le navigateur est généralement visé par l'exploitation, et celle-ci n'exige souvent aucune action supplémentaire une fois la page ouverte [2]. Dans d'autres cas, l'utilisateur doit aider le processus en activant des scripts, des notifications ou des composants actifs, ou en ignorant des boîtes de dialogue d'avertissement [1]. ### Un site connu et de confiance peut-il vraiment être piégé ? Oui, c'est le principe. L'attaquant compromet un site légitime pour y injecter du code malveillant [1]. Il peut aussi modifier des fichiers de script servis au site depuis un espace de stockage en ligne ouvert en écriture, ou acheter de la publicité piégée auprès de régies légitimes [1]. ### Un navigateur à jour suffit-il ? Non, mais cela réduit le risque. Mettre à jour tous les navigateurs et plugins peut empêcher la phase d'exploitation [1]. MITRE note aussi que les protections contre l'exploitation dépendent de l'architecture et du logiciel visé, et que les bacs à sable peuvent être contournés [1]. ## Dans la peau de l'attaquant L'attaquant commence par choisir un lieu où la cible passe du temps : un site fréquenté par un secteur, un domaine d'activité ou une région [2]. Il prépare ensuite l'environnement. Le contenu piégé peut être hébergé sur une infrastructure qu'il a acquise ou qu'il a déjà compromise [2]. Il peut aussi acheter des domaines ressemblant à des domaines légitimes (homoglyphes, faute de frappe volontaire, autre extension) [2]. Il glisse alors du code dans le site : des scripts dans des pages ou dans du contenu modifiable par les utilisateurs, comme des messages de forum [2]. Il peut aussi ajouter des scripts qui examinent le navigateur du visiteur, afin de vérifier qu'il est vulnérable avant de tenter l'exploitation [2]. Un groupe est décrit comme intégrant du code dans des sites pour contrôler l'adresse IP d'un visiteur, puis n'exploiter son navigateur que s'il présente un intérêt [2]. Cette préparation se déroule en grande partie hors de la vue de l'organisation visée, ce qui la rend difficile à détecter [2]. Les services web légitimes servent aussi de relais : des sites WordPress compromis ont ainsi hébergé des charges malveillantes à télécharger [3]. ## Ce que vous voyez à l'écran Les scripts s'exécutent automatiquement [1]. Les scripts cherchent en général la version du navigateur et des plugins, à la recherche d'une version vulnérable [1]. Dans certains cas, une seconde visite est nécessaire avant que le code d'exploitation arrive [1]. Quelques signes visibles existent tout de même. Une page peut demander d'activer des scripts ou des notifications, ou pousser à ignorer un avertissement [1]. En cliquant sur « autoriser » dans les notifications du navigateur, un utilisateur peut donner à un site la permission d'exécuter du JavaScript dans son navigateur [1]. Certaines campagnes utilisent de fausses mises à jour du navigateur comme leurre : c'est le cas de SocGholish, diffusé par des sites compromis dont le contenu se fait passer pour une mise à jour de navigateur [1]. ## Sous le capot Voici une illustration neutralisée, avec une adresse fictive en `.invalid`. Elle ne fonctionne pas. ```text [Page légitime d'un site sectoriel] ... contenu habituel du site ... [élément caché ajouté par l'attaquant, de taille nulle] [il charge une page de hxxps://exemple[.]invalid/ en arrière-plan] ``` La chaîne typique, selon MITRE ATT&CK, suit quatre étapes. L'utilisateur visite le site qui héberge le contenu de l'attaquant. Des scripts s'exécutent et cherchent les versions du navigateur et des plugins. Si une version vulnérable est trouvée, le code d'exploitation est livré. Si l'exploitation réussit, l'attaquant obtient l'exécution de code sur le poste, sauf si d'autres protections existent [1]. Le but diffère d'une attaque contre un serveur exposé sur Internet : ici, on exploite un logiciel sur le poste, ce qui donne souvent accès aux systèmes du réseau interne [1]. Les navigateurs sont une cible courante de l'exploitation côté client, tout comme des applications tierces répandues en entreprise, par exemple Adobe Reader et Flash [4]. Côté défense, les sources citent les bacs à sable du navigateur, qui atténuent une partie de l'impact (des évasions du bac à sable existent) [1], les bloqueurs de publicités et de scripts, et la désactivation des notifications du navigateur [1]. Le NCSC britannique ajoute que la plupart des navigateurs modernes bloquent les sites d'hameçonnage et de logiciels malveillants connus, mais pas toujours sur mobile [5]. Il recommande aussi de n'utiliser que des logiciels pris en charge et à jour, et de ne pas naviguer sur le web avec un compte administrateur [5]. ## Autopsies ### Forbes.com, 2014 APT19 a mené en 2014 une attaque du point d'eau sur forbes.com pour compromettre ses cibles [1]. Les sources ne donnent pas d'autre détail sur cet épisode. ### Opération Dust Storm, exploitation de CVE-2014-0322 Lors de l'opération Dust Storm, les attaquants ont utilisé une attaque du point d'eau contre un revendeur de logiciels populaire. Ils exploitaient une faille d'Internet Explorer alors inconnue du public (zero-day), CVE-2014-0322 [1]. La source ne donne pas de date de campagne. ### Page de connexion d'un transporteur maritime israélien, jusqu'en novembre 2021 Dans la campagne C0010, les attaquants ont compromis la page de connexion d'une société israélienne de transport maritime légitime et ont probablement établi un point d'eau qui collectait des informations sur les visiteurs [2]. Ce point d'eau est décrit comme actif jusqu'au moins novembre 2021 [1]. ## Sources 1. MITRE ATT&CK, « Drive-by Compromise, Technique T1189 - Enterprise | MITRE ATT&CK® ». https://attack.mitre.org/techniques/T1189/ (consulté le 3 novembre 2026) 2. MITRE ATT&CK, « Stage Capabilities: Drive-by Target, Sub-technique T1608.004 - Enterprise | MITRE ATT&CK® ». https://attack.mitre.org/techniques/T1608/004/ (consulté le 3 novembre 2026) 3. MITRE ATT&CK, « Compromise Infrastructure: Web Services, Sub-technique T1584.006 - Enterprise | MITRE ATT&CK® ». https://attack.mitre.org/techniques/T1584/006/ (consulté le 3 novembre 2026) 4. MITRE ATT&CK, « Exploitation for Client Execution, Technique T1203 - Enterprise | MITRE ATT&CK® ». https://attack.mitre.org/techniques/T1203/ (consulté le 3 novembre 2026) 5. NCSC (Royaume-Uni), « Phishing attacks: defending your organisation », 5 février 2018. https://www.ncsc.gov.uk/guidance/phishing (consulté le 3 novembre 2026) --- Source originale : Cyberpedia, l'encyclopédie publique de cybersécurité et d'IA publiée par Brain. Version canonique : https://startbrain.io/cyberpedia/fr/articles/watering-hole-point-d-eau-site-compromis/ Vous pouvez reprendre ce texte librement sous licence CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/), à condition de citer « Brain, Cyberpedia » avec un lien vers l'adresse ci-dessus.