Un client m'appelle un mardi matin, paniqué. Il a cliqué sur un lien reçu par mail, sa page d'accueil affiche désormais une bannière « votre ordinateur est infecté, appelez ce numéro ». Il n'a rien installé. Il n'a rien téléchargé. Il a juste ouvert un site. Voilà le vrai visage des sites malveillants : ils n'ont pas besoin de votre permission pour agir.
Et pourtant, quand on cherche des informations sur les catégories de sites malveillants, on tombe presque toujours sur des articles qui parlent… des logiciels malveillants. Virus, chevaux de Troie, ransomwares. C'est utile, mais ce n'est pas la même chose. Un site malveillant est le vecteur, pas forcément le poison. Confondre les deux, c'est comme confondre la boîte aux lettres piégée et l'explosif qu'elle contient. Je vais donc faire le tri ici : d'abord les sites, puis les logiciels, parce que la question du PIX tombe aussi dans l'article et qu'elle mérite une réponse claire.
Points clés à retenir
- Un site malveillant est une plateforme conçue ou détournée pour piéger le visiteur : phishing, téléchargement automatique, faux antivirus, typosquatting.
- Deux grandes familles de logiciels malveillants à retenir : ceux qui volent (spyware, keylogger) et ceux qui bloquent ou détruisent (ransomware, wiper).
- Le HTTPS ne prouve rien. Un tiers des sites de phishing que j'ai croisés en portaient un.
- Un site compromis peut être un site légitime : c'est ce qui rend la détection si difficile.
- Le réflexe le plus rentable reste la vérification de l'URL et l'âge du domaine, pas l'antivirus.
Quelles sont les catégories de sites malveillants ?
Il n'existe pas de nomenclature officielle unique, mais en pratique, quand on audite un parc informatique ou qu'on remonte une alerte, on retombe toujours sur les mêmes profils. Voici ceux que je rencontre le plus, classés par fréquence réelle dans mon expérience.
Les sites de phishing et de typosquatting
Le plus courant. Et le plus sous-estimé. Le typosquatting consiste à enregistrer un domaine qui ressemble à s'y méprendre au vrai : arnazon.fr, rnicrosoft.com (le « rn » au lieu du « m »), paypa1.com avec un chiffre. Sur un écran de téléphone, la différence est invisible. J'ai vu un cadre supérieur saisir ses identifiants bancaires sur un domaine à une lettre près. Il n'a jamais remarqué.
Le phishing pur, lui, se cache souvent derrière un sous-domaine crédible : secure-login.banque-xyz.verify-account.top. Le vrai domaine, celui qui compte, c'est ce qui vient juste avant l'extension finale. verify-account.top, pas la banque.
Les sites à téléchargement automatique (drive-by download)
Ce sont les plus vicieux. Vous n'avez rien à faire. Le simple chargement de la page déclenche l'exploitation d'une faille du navigateur ou d'un plugin, et un code s'installe en arrière-plan. C'est exactement le scénario de mon client mardi matin. Ces sites profitent le plus souvent d'un navigateur non mis à jour.
Une précision qui change tout : ces pages sont fréquemment hébergées sur des sites légitimes compromis. Un blog de recettes, un site municipal, une boutique en ligne sérieuse. Le propriétaire n'en sait rien. C'est ce qui rend le blocage par liste noire imparfait.
Les sites de scareware et de faux antivirus
La bannière « votre PC est infecté, appelez le support » que mon client a vue. Catégorie à part entière. Le but n'est pas de vous vendre un logiciel : c'est de vous faire appeler un numéro surtaxé ou d'installer un accès à distance. J'ai un faible pour ces arnaques, tant la mise en scène est grossière quand on prend deux secondes pour la regarder : fenêtres qui clignotent, sirènes sonores, faux scan qui trouve toujours 47 menaces.
Faux e-commerce, malvertising, sites compromis et serveurs de commande
Trois profils encore qu'on croise régulièrement :
- Les faux sites e-commerce, ouverts le temps d'une saison de fêtes, avec des prix cassés et un paiement sans retour.
- La malvertising : des publicités piégées diffusées sur des réseaux publicitaires légitimes, qui redirigent vers une page d'exploit.
- Les serveurs de commande et contrôle (C2), vers lesquels communiquent les machines déjà infectées. Ceux-là ne s'attaquent pas au visiteur : ils pilotent la botnet.
Quelles sont deux catégories de logiciels malveillants ?
La question revient souvent, et elle est piège : on me demande « deux catégories », alors qu'il en existe des dizaines. Si je dois en choisir deux pour expliquer la logique, je distingue celles qui volent et celles qui bloquent. C'est le clivage le plus parlant.
Catégorie 1 : ceux qui volent (spyware, keylogger, infostealer)
Ils ne se manifestent pas. Rien ne plante, rien ne ralentit vraiment. Un keylogger enregistre vos frappes, un spyware capture des captures d'écran, un infostealer siphonne les mots de passe enregistrés dans le navigateur. Le préjudice se mesure des semaines plus tard, quand un compte se connecte depuis un pays que vous n'avez jamais visité.
Catégorie 2 : ceux qui bloquent ou détruisent (ransomware, wiper)
L'inverse total. Le ransomware chiffre vos fichiers et réclame une rançon, souvent en cryptomonnaie. Le wiper, plus rare, ne réclame rien : il efface. Dans les deux cas, l'objectif est l'indisponibilité.
Pour être complet, il y a aussi les profils passifs (adware), les logiciels qui ouvrent une porte dérobée (backdoor, rootkit), les mineurs de cryptomonnaie, les botnets et les chevaux de Troie, ces derniers se faisant passer pour un logiciel légitime. Un cheval de Troie et un virus ne sont d'ailleurs pas synonymes : le virus infecte d'autres fichiers pour se propager, le cheval de Troie compte sur votre clic.
Et si vous vous demandez comment on appelle un logiciel capable de détecter et stopper tous ces programmes, la réponse est simple : un antivirus, ou plus précisément aujourd'hui un EDR (endpoint detection and response) quand il analyse les comportements, pas seulement les signatures. Sur la catégorie du « logiciel qui demande de l'argent », vous la connaissez : c'est le ransomware, ou rançongiciel en français.
| Catégorie | Objectif principal | Signe révélateur côté utilisateur |
|---|---|---|
| Ransomware | Extorquer un paiement | Fichiers verrouillés, note de rançon |
| Spyware / keylogger | Voler des données | Rien de visible, connexions inattendues |
| Cheval de Troie | Prendre la main sur la machine | Logiciel « utile » installé, comportement étrange |
| Adware | Générer des revenus publicitaires | Pubs intempestives, page d'accueil modifiée |
| Rootkit | Se cacher en profondeur | Antivirus devenu muet |
Comment savoir si un site est malveillant ?
Avant de dérouler la liste, un avertissement que je répète souvent : aucun signe isolé ne suffit. Il faut croiser plusieurs indices, sinon on tombe dans la paranoïa et on n'ouvre plus rien. Voici les vérifications que j'applique vraiment, dans cet ordre.
Les vérifications en dix secondes
- L'URL exacte. Le domaine doit correspondre à ce qu'on attend. Méfiance sur les tirets en série, les extensions étranges (.top, .xyz, .click), les sous-domaines interminables.
- Le cadenas ne veut plus rien dire. Un certificat HTTPS gratuit se délivre en quelques minutes. Il chiffre votre connexion à un escroc aussi bien qu'à votre banque.
- Les redirections. Un clic qui vous envoie deux fois de suite vers une autre adresse est un signal fort.
- Le téléchargement lancé sans action de votre part : fermez immédiatement l'onglet.
Les outils qui font vraiment le travail
Pour les cas sérieux, deux outils gratuits et fiables : Google Safe Browsing (accessible via l'API ou directement dans les avertissements du navigateur) et VirusTotal, qui analyse une URL avec plusieurs dizaines de moteurs antivirus. Un domaine enregistré il y a trois jours, sans historique, qui demande vos identifiants bancaires ? Je n'ai pas besoin d'un outil pour savoir que c'est non.
Et côté PIX, quelles sont les catégories de logiciels malveillants ?
La certification PIX aborde la sécurité numérique sous l'angle des compétences : reconnaître un mail de phishing, sécuriser ses mots de passe, comprendre la notion de logiciel malveillant. Elle ne propose pas une taxonomie officielle distincte des catégories de malwares : elle reprend la classification courante (virus, cheval de Troie, ransomware, spyware, adware). Autrement dit, inutile de chercher une nomenclature PIX spécifique — c'est la même famille, présentée sous forme de situations concrètes plutôt que de listes.
Le piège que personne ne mentionne
J'ai mis des années à comprendre un truc contre-intuitif : le site malveillant le plus dangereux n'est pas le site inconnu. C'est celui que vous connaissez. Une boutique en ligne que vous fréquentez depuis des années, dont le CMS n'a pas été mis à jour, peut héberger un script d'exploit pendant des semaines sans que personne ne s'en aperçoive. J'ai eu le cas sur un petit site vitrine que je gérais mal : injection de code dans un fichier de template, découverte par hasard en inspectant le code source. Aucun antivirus ne l'a signalé, puisque rien n'était encore infecté côté visiteur.
Ce que ça m'a appris : la détection côté utilisateur reste un filet de sécurité, pas une stratégie. Le vrai levier, c'est la mise à jour systématique des navigateurs et des plugins, et la vigilance sur les URL au moment du clic. Le reste, on le subit.
Alors la prochaine fois qu'une bannière clignotante vous hurle dessus, posez-vous la bonne question. Pas « est-ce que ce site est dangereux ? », mais « pourquoi ce site voudrait-il que j'aie peur ? ». La peur, c'est toujours le produit qu'on vous vend.
