Cyberpediapar Brain
FRDEEN

Attaque du point d'eau

Un site que vous consultez chaque semaine peut être piégé. Comment fonctionne l'attaque du point d'eau, ce que l'on voit, et les gestes qui protègent.

En 30 secondes

Où ça arrive
Sur un site visité par une communauté précise (administration, secteur d'activité, région), au cours d'une navigation normale1.
Ce que veut l'attaquant
Exécuter du code sur le poste de la victime, ce qui lui donne souvent accès aux systèmes du réseau interne1.
Le réflexe
Garder le navigateur et ses extensions à jour, et refuser toute « mise à jour » proposée par une page web, quel que soit le site.
Si c'est déjà fait
Prévenir sans attendre le service informatique ou sécurité, même si rien d'anormal n'est visible.

De quoi parle-t-on

Dans une attaque du point d'eau (en anglais « watering hole »), l'attaquant ne contacte pas la victime. Il piège un site que celle-ci visite déjà : il y glisse du code malveillant, puis attend que les visiteurs viennent d'eux-mêmes.

Pour un salarié, le danger vient de cette confiance. Le site est connu, utile au travail, et rien ne signale qu'il a changé. Cette fiche décrit le mécanisme, ce que l'on peut remarquer, et ce qui limite les dégâts.

Questions directes

Qu'est-ce qu'une attaque du point d'eau ?

Les sources décrivent le cas où le site utilisé par l'attaquant est souvent fréquenté par une communauté (gouvernement, secteur d'activité, région). L'objectif est de compromettre un utilisateur ou un groupe d'utilisateurs à partir d'un intérêt commun. Cette campagne ciblée est appelée « strategic web compromise » ou « watering hole attack »1. Elle relève de la famille plus large du « drive-by compromise » : la victime visite un site au cours d'une navigation normale1.

Faut-il cliquer sur quelque chose pour être infecté ?

Pas toujours. Le navigateur est généralement visé par l'exploitation, et celle-ci n'exige souvent aucune action supplémentaire une fois la page ouverte2. Dans d'autres cas, l'utilisateur doit aider le processus en activant des scripts, des notifications ou des composants actifs, ou en ignorant des boîtes de dialogue d'avertissement1.

Un site connu et de confiance peut-il vraiment être piégé ?

Oui, c'est le principe. L'attaquant compromet un site légitime pour y injecter du code malveillant1. Il peut aussi modifier des fichiers de script servis au site depuis un espace de stockage en ligne ouvert en écriture, ou acheter de la publicité piégée auprès de régies légitimes1.

Un navigateur à jour suffit-il ?

Non, mais cela réduit le risque. Mettre à jour tous les navigateurs et plugins peut empêcher la phase d'exploitation1. MITRE note aussi que les protections contre l'exploitation dépendent de l'architecture et du logiciel visé, et que les bacs à sable peuvent être contournés1.

1Dans la peau de l'attaquant1 min

L'attaquant commence par choisir un lieu où la cible passe du temps : un site fréquenté par un secteur, un domaine d'activité ou une région2. Il prépare ensuite l'environnement. Le contenu piégé peut être hébergé sur une infrastructure qu'il a acquise ou qu'il a déjà compromise2. Il peut aussi acheter des domaines ressemblant à des domaines légitimes (homoglyphes, faute de frappe volontaire, autre extension)2.

Il glisse alors du code dans le site : des scripts dans des pages ou dans du contenu modifiable par les utilisateurs, comme des messages de forum2. Il peut aussi ajouter des scripts qui examinent le navigateur du visiteur, afin de vérifier qu'il est vulnérable avant de tenter l'exploitation2. Un groupe est décrit comme intégrant du code dans des sites pour contrôler l'adresse IP d'un visiteur, puis n'exploiter son navigateur que s'il présente un intérêt2.

Cette préparation se déroule en grande partie hors de la vue de l'organisation visée, ce qui la rend difficile à détecter2. Les services web légitimes servent aussi de relais : des sites WordPress compromis ont ainsi hébergé des charges malveillantes à télécharger3.

2Ce que vous voyez à l'écran1 min

Les scripts s'exécutent automatiquement1. Les scripts cherchent en général la version du navigateur et des plugins, à la recherche d'une version vulnérable1. Dans certains cas, une seconde visite est nécessaire avant que le code d'exploitation arrive1.

Quelques signes visibles existent tout de même. Une page peut demander d'activer des scripts ou des notifications, ou pousser à ignorer un avertissement1. En cliquant sur « autoriser » dans les notifications du navigateur, un utilisateur peut donner à un site la permission d'exécuter du JavaScript dans son navigateur1. Certaines campagnes utilisent de fausses mises à jour du navigateur comme leurre : c'est le cas de SocGholish, diffusé par des sites compromis dont le contenu se fait passer pour une mise à jour de navigateur1.

3Sous le capotÉquipes IT1 min

Voici une illustration neutralisée, avec une adresse fictive en .invalid. Elle ne fonctionne pas.

Extrait
[Page légitime d'un site sectoriel]
  ... contenu habituel du site ...
  [élément caché ajouté par l'attaquant, de taille nulle]
  [il charge une page de hxxps://exemple[.]invalid/ en arrière-plan]

La chaîne typique, selon MITRE ATT&CK, suit quatre étapes. L'utilisateur visite le site qui héberge le contenu de l'attaquant. Des scripts s'exécutent et cherchent les versions du navigateur et des plugins. Si une version vulnérable est trouvée, le code d'exploitation est livré. Si l'exploitation réussit, l'attaquant obtient l'exécution de code sur le poste, sauf si d'autres protections existent1.

Le but diffère d'une attaque contre un serveur exposé sur Internet : ici, on exploite un logiciel sur le poste, ce qui donne souvent accès aux systèmes du réseau interne1. Les navigateurs sont une cible courante de l'exploitation côté client, tout comme des applications tierces répandues en entreprise, par exemple Adobe Reader et Flash4.

Côté défense, les sources citent les bacs à sable du navigateur, qui atténuent une partie de l'impact (des évasions du bac à sable existent)1, les bloqueurs de publicités et de scripts, et la désactivation des notifications du navigateur1. Le NCSC britannique ajoute que la plupart des navigateurs modernes bloquent les sites d'hameçonnage et de logiciels malveillants connus, mais pas toujours sur mobile5. Il recommande aussi de n'utiliser que des logiciels pris en charge et à jour, et de ne pas naviguer sur le web avec un compte administrateur5.

4AutopsiesCas réels1 min

Forbes.com, 2014

APT19 a mené en 2014 une attaque du point d'eau sur forbes.com pour compromettre ses cibles1. Les sources ne donnent pas d'autre détail sur cet épisode.

Opération Dust Storm, exploitation de CVE-2014-0322

Lors de l'opération Dust Storm, les attaquants ont utilisé une attaque du point d'eau contre un revendeur de logiciels populaire. Ils exploitaient une faille d'Internet Explorer alors inconnue du public (zero-day), CVE-2014-03221. La source ne donne pas de date de campagne.

Page de connexion d'un transporteur maritime israélien, jusqu'en novembre 2021

Dans la campagne C0010, les attaquants ont compromis la page de connexion d'une société israélienne de transport maritime légitime et ont probablement établi un point d'eau qui collectait des informations sur les visiteurs2. Ce point d'eau est décrit comme actif jusqu'au moins novembre 20211.

Fiche

Identifiant
CP-027
Aile
1. Attaques et techniques
Compétence Brain
Déjouer l'ingénierie sociale (outsmart_social_engineering)
Réflexe Brain
cr-046
Schéma
G5 · Arbre de Décision Réflexe
Langues
de, en, fr
Sources
5 sources vérifiées le 3 novembre 2026
Sources5 sources
  1. MITRE ATT&CK, « Drive-by Compromise, Technique T1189 - Enterprise | MITRE ATT&CK® ». https://attack.mitre.org/techniques/T1189/ (consulté le 3 novembre 2026)
  2. MITRE ATT&CK, « Stage Capabilities: Drive-by Target, Sub-technique T1608.004 - Enterprise | MITRE ATT&CK® ». https://attack.mitre.org/techniques/T1608/004/ (consulté le 3 novembre 2026)
  3. MITRE ATT&CK, « Compromise Infrastructure: Web Services, Sub-technique T1584.006 - Enterprise | MITRE ATT&CK® ». https://attack.mitre.org/techniques/T1584/006/ (consulté le 3 novembre 2026)
  4. MITRE ATT&CK, « Exploitation for Client Execution, Technique T1203 - Enterprise | MITRE ATT&CK® ». https://attack.mitre.org/techniques/T1203/ (consulté le 3 novembre 2026)
  5. NCSC (Royaume-Uni), « Phishing attacks: defending your organisation », 5 février 2018. https://www.ncsc.gov.uk/guidance/phishing (consulté le 3 novembre 2026)

Citer cet article

Brain, « Attaque du point d'eau », Cyberpedia, 2026. https://startbrain.io/cyberpedia/fr/articles/watering-hole-point-d-eau-site-compromis/

BibTeX 
@misc{brain_cp027_fr_2026,
  author = {Brain},
  title = {Attaque du point d'eau},
  year = {2026},
  howpublished = {Cyberpedia},
  url = {https://startbrain.io/cyberpedia/fr/articles/watering-hole-point-d-eau-site-compromis/},
  note = {CC BY 4.0}
}
Licence CC BY 4.0