Surfer sur le Web n’a jamais été aussi risqué, selon Menlo Security

A quoi doit-on de ne pas voir ses postes de travail régulièrement compromis à la simple occasion de la visite de sites Web parfaitement légitimes ?  A une forme de chance, serait-on tenté de dire, à la lecture du rapport de Menlo Security sur l’état de la sécurité du Web. Car selon lui, « il y a aujourd’hui plus de sites Web vulnérables que d’attaquants pour les exploiter. Qui plus est, les cybercriminels font tourner leurs campagnes en changeant d’emplacements pour éviter la détection ». Du coup, « il est presqu’impossible pour chaque site Web d’être infecté tout le temps ». Ouf, donc.

Car selon Menlo Security, rien moins que 46 % du million de sites Web les plus visités au monde « présentent un risque ». Pas forcément directement, toutefois. Mais une requête générée par l’utilisateur produit derrière 25 autres requêtes en moyenne qui « alimentent le navigateur en contenu actif » à des fins multiples, comme la fourniture de publicité ou le suivi des internautes. Et l’éditeur de considérer que, sur le million de sites considéré, près de 167 000 sont connus comme malveillants, plus de 355 000 sont animés par des logiciels vulnérables, et près de 32 000 ont déjà par le passé véhiculé des menaces. Parmi ces derniers, la catégorie dominante est celle… des affaires et de l’économie. C’est également elle qui domine largement la catégorie des sites fonctionnant avec des logiciels présentant des vulnérabilités, avec plus de 82 000 sites Web concernés. Mais au final, Menlo estime que 50 % des sites d’information présentent un risque, contre 49 % pour ceux consacrés aux divertissements et aux arts, et 42 % pour ceux dédiés au voyage.

En tête des logiciels présentant des vulnérabilités, on trouve nginx 1.8, suivi d’IIS 7.5. Viennent alors différentes versions de PHP et d’Apache, mais loin derrière. De quoi laisser à penser que les administrateurs de sites utilisant ces logiciels tendent à être plus soigneux dans leurs mises à jour.

Fort de ces observations, Menlo Security ne manque évidemment pas de prêcher pour sa paroisse en recommandant aux entreprises de recourir à des solutions d’isolation du contenu en ligne comme la sienne. Mais il égrène également les conseils à l’intention des propriétaires de sites Web – en commençant par l’incontournable application des correctifs de sécurité – ainsi que des internautes : examiner attentivement les URL, utiliser un bloqueur de publicités si possible, utiliser Chrome plutôt que tout autre navigateur Web, désactiver ou supprimer Flash, etc.