Qu'est-ce que l'empoisonnement SEO (SEO poisoning) ?

L'empoisonnement SEO (SEO poisoning), également appelé empoisonnement des moteurs de recherche, est une technique par laquelle des attaquants manipulent le classement des moteurs de recherche pour que des sites malveillants apparaissent en tête des résultats pour des termes de recherche populaires. Lorsque quelqu'un recherche une requête courante et clique sur un premier résultat, il atterrit sur un site conçu pour paraître légitime mais dont l'objectif est de délivrer des malwares ou de voler des informations. C'est une forme d'ingénierie sociale qui retourne contre l'utilisateur sa propre confiance dans les résultats de recherche, et c'est désormais un moyen courant pour les attaquants d'obtenir un premier point d'appui à l'intérieur d'une organisation. Ce qui rend l'empoisonnement SEO efficace, c'est que la cible vient d'elle-même. Contrairement à un email de phishing qui arrive sans être sollicité, un résultat de recherche empoisonné rencontre un utilisateur qui cherche activement et est enclin à faire confiance à ce qui se classe en tête. Cette page explique comment fonctionne l'empoisonnement SEO, les étapes d'une attaque typique, les malwares qu'il délivre, pourquoi il réussit, et comment les organisations le détectent et s'en défendent.

Ce qu'il faut retenir

L'empoisonnement SEO manipule le classement des recherches pour propulser des sites malveillants en tête, attirant les utilisateurs qui font confiance aux premiers résultats vers des téléchargements de malwares.
C'est souvent une technique d'accès initial. Le point d'appui obtenu est fréquemment revendu à d'autres attaquants, notamment des opérateurs de ransomware.
Les charges utiles courantes sont des loaders et des infostealers, comme Gootloader et SolarMarker, qui mènent au vol d'identifiants, à l'accès à distance et à des compromissions supplémentaires.
Il réussit parce que la cible vient chercher. Les internautes actifs font davantage confiance aux bons classements et sont plus susceptibles de télécharger que les destinataires d'un phishing non sollicité.
La défense est multicouche. Elle combine sensibilisation des utilisateurs, détection sur les endpoints, renseignement sur les menaces et traque de la chaîne téléchargement-exécution, car l'empoisonnement lui-même est difficile à bloquer.

Comment fonctionne l'empoisonnement SEO

Les moteurs de recherche classent les contenus selon des signaux tels que la pertinence, l'autorité et la fréquence à laquelle une page est liée et visitée. L'empoisonnement SEO abuse de ces signaux. Les attaquants comprennent le fonctionnement du classement et le manipulent pour propulser une page malveillante vers le haut des résultats, là où les utilisateurs sont les plus susceptibles de cliquer. Plusieurs techniques reviennent régulièrement :

Bourrage de mots-clés (keyword stuffing). Charger une page d'un large éventail de mots-clés, souvent via du contenu généré automatiquement qui agrège des extraits de sources légitimes, de sorte que la page correspond à de nombreuses requêtes de recherche.
Fermes de liens (link farms). Des réseaux de sites qui n'existent que pour se lier les uns aux autres, gonflant la popularité et l'autorité apparentes de la page malveillante.
Sites légitimes compromis. Détourner un vrai site web déjà approuvé, fréquemment un système de gestion de contenu comme WordPress, pour héberger du contenu malveillant sous une réputation propre.
Cloaking et typosquatting. Montrer aux robots d'exploration des moteurs de recherche un contenu différent de celui que voient les utilisateurs, et enregistrer des domaines ressemblants qui imitent des marques légitimes.

L'empoisonnement SEO se recoupe également avec la publicité malveillante (malvertising), où des attaquants achètent des annonces sponsorisées dans les résultats de recherche pour placer un lien malveillant en tête de page. Les deux sont souvent combinés, et tous deux exploitent la même confiance dans ce qui se classe en premier.

Les étapes d'une attaque par empoisonnement SEO

Une campagne typique suit une séquence reconnaissable :

Recherche. L'attaquant étudie les tendances de recherche pour choisir des mots-clés populaires, souvent liés à l'actualité, aux événements saisonniers, aux téléchargements de logiciels ou à des documents professionnels comme des modèles juridiques et des formulaires commerciaux.
Mise en place. Il construit le piège, soit en détournant un site légitime, soit en créant un site contrefait qui paraît inoffensif mais dissimule du contenu malveillant.
Optimisation. À l'aide des techniques ci-dessus, il propulse la page dans le classement pour les mots-clés choisis.
Distribution. Les utilisateurs qui recherchent ces termes voient le résultat malveillant en tête, lui font confiance et cliquent. Sur la page, ils sont invités à télécharger un fichier, souvent présenté comme le document ou l'installateur qu'ils cherchaient.
Monétisation. L'attaquant en tire profit, généralement en revendant l'accès obtenu à d'autres criminels. Les courtiers en accès initial (access brokers) revendent ces points d'appui à des opérateurs de ransomware et à d'autres groupes.

Un détail récurrent dans les incidents réels : le nom du fichier téléchargé reprend généralement la requête de recherche. Quelqu'un qui cherche un document spécifique et télécharge ensuite un fichier portant exactement cette phrase mais avec une extension exécutable ou archive a très probablement touché un résultat empoisonné.

Ce que l'empoisonnement SEO délivre

L'empoisonnement SEO est une méthode de distribution, pas un malware unique. Il a été utilisé pour distribuer plusieurs familles bien documentées, souvent via des kits de malware-as-a-service qui rendent la technique facile à déployer à grande échelle.

Famille de malware	Type	Comportement typique
Gootloader	Loader	Délivré via des sites compromis se faisant passer pour des forums avec des téléchargements de documents ; mène à Cobalt Strike, des infostealers ou des ransomwares.
SolarMarker	Infostealer / backdoor	Dissimulé dans de fausses pages PDF ou d'installateurs ; vole les identifiants et données de navigateur, ciblant souvent les télétravailleurs.
BATLoader	Loader	Redirige les utilisateurs cherchant des logiciels vers de fausses pages, délivrant des charges utiles comme des trojans bancaires et Cobalt Strike.
Lumma, Vidar et stealers similaires	Infostealer	Distribués via des résultats empoisonnés, y compris pour des sujets tendance comme les outils IA ; collectent les identifiants, cookies et portefeuilles de cryptomonnaies.

Le schéma derrière ceux-ci est constant. Un loader ou un stealer arrive via un téléchargement déguisé, établit une persistance et se connecte à une infrastructure de commande et contrôle (C2). À partir de là, l'intrusion peut escalader vers le vol d'identifiants, le mouvement latéral, l'exfiltration de données, et souvent un ransomware. En d'autres termes, le résultat de recherche empoisonné est la première étape d'une attaque plus longue, pas sa totalité. Les secteurs américains de la santé et du droit ont été des cibles particulièrement fréquentes, bien que toute organisation dont le personnel recherche des documents et des logiciels soit exposée.

Pourquoi l'empoisonnement SEO est si efficace

L'empoisonnement SEO surpasse souvent le phishing traditionnel pour obtenir ce premier clic, pour des raisons ancrées dans la façon dont les gens utilisent les moteurs de recherche :

La cible cherche activement. Un internaute veut de l'information et est prêt à s'engager, contrairement à quelqu'un recevant un email de phishing non sollicité.
Confiance implicite dans les classements. Les gens supposent que les premiers résultats sont les plus crédibles, de sorte qu'une page malveillante bien classée hérite d'une confiance non méritée.
Légitimité par association. Lorsqu'un lien empoisonné apparaît parmi des résultats authentiques, son seul placement le rend digne de confiance.
Un plus grand bassin de cibles potentielles. Toute personne saisissant les bons termes de recherche peut être amenée vers le résultat empoisonné, de sorte que la technique dépasse de loin une liste de destinataires fixe.

Comment détecter et se défendre contre l'empoisonnement SEO

L'empoisonnement lui-même est difficile à bloquer, car déprioritiser un résultat malveillant est le travail du moteur de recherche, et confirmer un empoisonnement nécessite souvent d'inspecter la page plutôt que les logs. La défense se concentre donc sur le malware délivré et la chaîne téléchargement-exécution, là où une équipe de sécurité dispose de la visibilité :

Traquer les correspondances requête-nom de fichier. Corréler les logs de proxy web des requêtes de recherche avec les événements de téléchargement de fichiers et de création de processus sur les endpoints est un indicateur fort : un fichier téléchargé dont le nom reprend le terme de recherche, surtout avec une extension exécutable ou archive, est un signal d'alerte.
Déployer la détection sur les endpoints. L'EDR (Endpoint Detection and Response) capture le malware et le comportement post-téléchargement, comme l'exécution de scripts et l'activité de commande et contrôle.
Utiliser le renseignement sur les menaces. Des flux de domaines et d'URL malveillants connus, associés à la surveillance des domaines typosquattés ressemblants, permettent aux proxys et au DNS de bloquer plus rapidement l'infrastructure empoisonnée.
Réduire le risque lié aux scripts et types de fichiers. Afficher les extensions de fichiers et changer le gestionnaire par défaut des fichiers scripts tels que JavaScript pour qu'ils s'ouvrent dans un éditeur de texte plutôt qu'ils ne s'exécutent émoussent les charges utiles courantes.
Former les utilisateurs. Apprendre au personnel à scruter les résultats de recherche et les téléchargements, à préférer les sites officiels des éditeurs pour les logiciels, et à se méfier lorsqu'un nom de fichier téléchargé correspond exactement à leur recherche.

Avis d'expert : attraper la chaîne, pas seulement le clic

La vérité inconfortable sur l'empoisonnement SEO est que le moment qui compte le plus, un employé de confiance cliquant sur un premier résultat de recherche et téléchargeant ce qui ressemble au fichier qu'il cherchait, est presque invisible pour les contrôles conventionnels. Il n'y a pas d'email malveillant à mettre en quarantaine, pas d'exploit évident, juste un utilisateur faisant un choix d'apparence raisonnable. Bloquer le résultat empoisonné échappe largement au contrôle d'une seule organisation, car cela dépend du moteur de recherche ou d'une catégorisation rapide du domaine. C'est pourquoi l'objectif pratique n'est pas d'empêcher le clic, mais d'attraper ce qui s'ensuit.

C'est là que Sekoia s'inscrit. Sekoia est un éditeur européen de cybersécurité dont l'équipe interne Threat Detection & Research (TDR) traque les familles de malwares et l'infrastructure utilisées dans les campagnes d'empoisonnement SEO, des loaders comme Gootloader aux infostealers, et ce renseignement alimente la plateforme. Plutôt que de traiter un seul téléchargement ou une exécution de script comme un événement isolé, la plateforme AI SOC de Sekoia corrèle les signaux web, endpoint et réseau et les mappe sur le framework MITRE ATT&CK, de sorte que la chaîne allant d'un téléchargement suspect à la persistance et à la commande et contrôle est reconnue comme une seule intrusion. La corrélation requête-nom de fichier qui révèle l'empoisonnement SEO est exactement le type d'analyse multi-sources pour laquelle une plateforme unifiée est conçue.

Pour être clair sur le périmètre, Sekoia n'est pas une passerelle web sécurisée ni un produit de filtrage web, et il ne surveille pas les résultats de recherche ; bloquer les sites malveillants au niveau du proxy ou du DNS est le travail de ces outils, et ils restent une partie de la défense multicouche. Ce qu'une plateforme SOC pilotée par la CTI (Cyber Threat Intelligence) ajoute, c'est la détection de la compromission en aval, la partie d'une attaque par empoisonnement SEO qui cause réellement des dommages, de sorte qu'un clic sur un résultat empoisonné devient un incident contenu plutôt qu'une brèche silencieuse. En tant qu'éditeur européen avec une posture de souveraineté des données, Sekoia convient également aux organisations qui ont besoin que leurs données de détection soient traitées sous une gouvernance européenne.