On vous signale que votre site est piraté : arnaque ou vraie alerte ?

Un message vous annonce que votre site internet est piraté. Il arrive par e-mail, par SMS, par le formulaire de contact de votre site ou par téléphone. Vous ne connaissez pas l'expéditeur, et vous vous méfiez : c'est le bon réflexe. Des escrocs utilisent exactement cette phrase pour obtenir un paiement, un mot de passe ou un clic sur un lien piégé.

Mais des sites sont aussi réellement piratés, souvent sans que leur propriétaire s'en aperçoive, et il arrive qu'un tiers le remarque avant lui. Voici comment faire le tri : les arnaques qui circulent, les critères qui distinguent une alerte sérieuse, et surtout comment vérifier vous-même l'état de votre site sans toucher à aucun lien du message reçu.

Les arnaques qui commencent par « votre site est piraté »

Cinq scénarios reviennent. Les reconnaître suffit souvent à classer le message.

Le chantage au site prétendu piraté

Un « pirate » anonyme affirme avoir exploité une faille de votre site, copié votre base de données sur un serveur à l'étranger, et menace de la vendre, d'écrire à vos clients et de faire disparaître votre site de Google. Il réclame plusieurs milliers de dollars en bitcoin, sous cinq jours. Le message arrive souvent par le formulaire de contact du site.

Cybermalveillance.gouv.fr suit ces campagnes depuis 2020 et les qualifie de tentatives d'arnaque : aucun cas n'a montré que les menaces aient été mises à exécution. L'adresse visée provient en général des mentions légales ou du formulaire de contact du site, ou de listes d'adresses revendues. Le dispositif recommande de ne pas répondre, de ne pas payer, de conserver les preuves, de changer le mot de passe administrateur en cas de doute et de signaler le message sur Pharos.

Les faux messages de Google ou de Search Console

Un e-mail reprend le logo de Google et annonce un « problème de sécurité critique », une « pénalité » ou une « suspension » de votre site, avec un bouton pour « résoudre le problème ». Le bouton mène à une fausse page de connexion qui récupère votre identifiant Google, ou à un fichier à télécharger. La règle est simple : une vraie alerte de Google se retrouve dans votre compte Search Console, que vous ouvrez vous-même en tapant l'adresse. Le rapport Problèmes de sécurité y donne la date de détection et des exemples d'adresses concernées.

Les faux avis d'expiration du nom de domaine ou de l'hébergement

« Votre nom de domaine expire dans 3 jours, votre site et vos e-mails seront coupés. » Le lien mène à un site qui ne renouvelle rien et collecte vos coordonnées bancaires. Malwarebytes a décrit en juin 2026 une campagne de ce type : compte à rebours, faux tarif réduit valable quinze minutes, avis « officiel » envoyé depuis une adresse Gmail. Une variante annonce une suspension d'hébergement « pour contenu malveillant ». Dans les deux cas, connectez-vous à l'espace client de votre bureau d'enregistrement ou de votre hébergeur, en tapant son adresse : la date d'expiration et les éventuelles alertes y figurent.

Les fausses plaintes pour droits d'auteur

Un message, souvent envoyé par le formulaire de contact, vous accuse d'utiliser une photo protégée et vous somme de consulter les « preuves » derrière un lien. En 2021, les chercheurs de Proofpoint cités par BleepingComputer ont montré que ces fausses plaintes, hébergées sur des services de Google pour paraître sérieuses, faisaient télécharger un logiciel malveillant ouvrant la porte à un rançongiciel. La même mécanique existe avec une fausse menace d'attaque informatique « dont vous seriez à l'origine ». Une plainte réelle identifie l'œuvre, son auteur et ses coordonnées dans le message lui-même : vous n'avez rien à télécharger pour la lire.

Les « audits » alarmistes envoyés sans demande

« J'ai analysé votre site : 47 erreurs critiques, Google va vous pénaliser. » Ces messages, souvent produits automatiquement, servent à vendre une prestation. Ils ne sont pas toujours dangereux, mais leurs « erreurs » sont rarement réelles. Google lui-même invite à se méfier des agences et consultants qui écrivent sans avoir été sollicités, et rappelle qu'il n'accepte jamais d'argent pour classer un site dans ses résultats.

Six critères pour reconnaître une alerte sérieuse

Un message non sollicité n'est pas une arnaque par nature : c'est ce qu'il vous demande qui le trahit. Confrontez-le à ce tableau.

Le critère décisif est le troisième. Un piratage réel laisse des traces que vous pouvez constater par vous-même. Si un message ne vous donne aucun moyen de vérifier autre que de lui faire confiance, ne lui faites pas confiance.

Vérifier l'état de votre site sans cliquer sur rien

Le principe : ne jamais passer par un lien ou un numéro fourni par le message. Vous ouvrez vous-même les outils, en tapant leur adresse. Les contrôles suivants prennent un quart d'heure et ne demandent aucun accès technique.

1. La recherche site: dans Google

Tapez site:votresite.fr dans Google, avec votre propre domaine. Google liste les pages qu'il connaît de votre site. Parcourez plusieurs pages de résultats, le spam est souvent relégué loin derrière vos vraies pages. Puis affinez avec un mot :

• site:votresite.fr casino, site:votresite.fr bahis, site:votresite.fr slot ;
• site:votresite.fr viagra, site:votresite.fr cialis ;
• site:votresite.fr 激安 ou site:votresite.fr 通販 : des caractères japonais signent un piratage par mots-clés japonais ;
• le symptôme précis que le message vous a décrit, s'il en décrit un.

Des titres qui n'ont rien à voir avec votre activité sont servis depuis votre site. Une recherche propre, en revanche, ne prouve pas que tout va bien : Google indexe avec retard.

2. Search Console, si votre site y est déclaré

Ouvrez Search Console, puis Sécurité et actions manuelles, Problèmes de sécurité. Google y liste le contenu piraté, les logiciels malveillants et l'ingénierie sociale qu'il a détectés, avec des exemples d'adresses. Regardez aussi Paramètres, Utilisateurs et autorisations : un propriétaire que vous ne connaissez pas est un signe d'intrusion. Un rapport vide est fréquent sur un site piraté : il confirme, il n'innocente pas.

3. Ce que Google reçoit réellement

Beaucoup de piratages montrent une page normale à vous et une page de spam à Google. Collez l'adresse d'une page dans le Test des résultats enrichis, outil public de Google, puis cliquez sur Afficher la page testée, onglet HTML. Cherchez la balise <title> et les mots de la liste ci-dessus avec Ctrl+F. Si le titre lu par Google n'est pas celui que vous voyez, votre site sert deux versions de la même page : c'est du cloaking.

4. Safe Browsing, l'avis des navigateurs

Entrez votre domaine dans le rapport de transparence Safe Browsing. Il indique si Google a classé votre site comme dangereux, ce qui déclenche la page rouge chez vos visiteurs sur Chrome, Firefox et Safari. Ce classement concerne les logiciels malveillants et l'hameçonnage, pas le spam destiné à Google.

5. Votre site vu par un visiteur, sur téléphone

Certaines redirections ne visent que les visiteurs sur mobile, arrivés depuis Google, et épargnent les administrateurs connectés. Prenez votre téléphone, désactivez le Wi-Fi pour passer en 4G, ouvrez une fenêtre de navigation privée, cherchez le nom de votre entreprise dans Google et cliquez sur votre propre résultat. Si vous atterrissez ailleurs que sur votre site, le piratage est confirmé.

6. Votre espace client, ouvert par vous-même

Si le message parle d'expiration, de suspension ou de facture, connectez-vous à l'espace client de votre hébergeur ou de votre bureau d'enregistrement en tapant son adresse. Ce qui n'y figure pas n'existe pas.

Le pas à pas détaillé, avec les captures et la lecture des résultats, est sur notre page vérifier si votre site est piraté en 10 minutes.

Vérifier qui vous écrit

Un expéditeur honnête est identifiable en deux minutes, sans rien cliquer dans son message.

• Le numéro SIREN : cherchez le nom de l'entreprise sur l'annuaire des entreprises de l'État. Vous y trouvez son existence, son adresse, ses dirigeants et son activité. Une entreprise qui ne figure nulle part, ou dont le nom ne correspond pas au site qu'elle met en avant, doit vous arrêter.
• L'annuaire de Cybermalveillance.gouv.fr : la plateforme publique tient une liste de prestataires référencés, consultable par tous. Un prestataire qui s'en réclame doit y apparaître sous le nom qu'il vous donne. Méfiez-vous de quiconque prétend vous écrire « de la part de l'État » ou « de la part de Google » : être référencé sur une plateforme publique ne fait pas d'un prestataire un représentant de l'État.
• Le rappel par vos moyens : si vous voulez parler à l'expéditeur, trouvez son numéro sur son site officiel ou dans l'annuaire, pas dans le message.
• L'adresse d'envoi : un e-mail « de Google » ou « de votre hébergeur » envoyé depuis une adresse Gmail ou un domaine inconnu est une imitation. L'inverse n'est pas vrai : une adresse d'expéditeur se falsifie, elle ne prouve rien à elle seule.

Vous avez reçu un message de BetterCallBil

Nous menons une veille quotidienne des sites français qui servent du spam à Google, et nous prévenons leurs propriétaires, par SMS ou par téléphone. Nous savons que notre message ressemble, au premier regard, à ceux décrits plus haut. Voici ce qu'il contient, ce qu'il ne contiendra jamais, et comment nous vérifier.

Ce que contient notre message

• Le nom de votre site et le symptôme constaté, en une phrase : par exemple des pages de casino ou de pharmacie indexées par Google sous votre domaine.
• Le nom de l'expéditeur, Bilal, et celui de l'entreprise, BetterCallBil.
• Une question : étiez-vous au courant ? Vous pouvez répondre OUI ou NON, ou ne pas répondre.

Notre premier SMS ne contient aucun lien. Si vous répondez, nous vous proposons un échange de 15 minutes par téléphone. Le lien de réservation de ce créneau n'arrive que si vous le demandez en répondant OUI. Répondre STOP met fin aux messages. Nous ne relançons qu'une fois, quelques jours plus tard, et seulement si le piratage est toujours visible.

Ce que nous ne faisons jamais

• Demander un mot de passe, un code reçu par SMS ou un accès à votre site, à votre hébergeur ou à votre Search Console.
• Demander un paiement. Le diagnostic est gratuit, et rien ne démarre sans un devis écrit que vous avez accepté.
• Vous envoyer un fichier à ouvrir ou un logiciel à installer.
• Accéder à votre site : notre constat repose uniquement sur ce que Google a indexé, visible par n'importe qui. Notre méthode est décrite en détail.

Comment nous vérifier ?

• BetterCallBil est la marque de l'entreprise individuelle Inwin, SIRET 519 944 193 00027 : fiche sur l'annuaire des entreprises.
• Nous sommes référencés sur la plateforme Cybermalveillance.gouv.fr : notre fiche dans l'annuaire des prestataires.
• Pour nous joindre par un autre canal que le message reçu, utilisez le numéro et l'adresse affichés sur bettercallbil.com, que vous tapez vous-même.

Et surtout, vérifiez le constat sans nous, avec les contrôles ci-dessus. Si tout est propre de votre côté, dites-le-nous : nous retirons votre site de notre suivi.

C'est une arnaque : que faire ?

1. Ne répondez pas, même pour protester : une réponse signale une adresse active et un interlocuteur réceptif.
2. Ne payez pas, ne cliquez pas, n'ouvrez aucune pièce jointe.
3. Conservez le message : capture d'écran, et pour un e-mail, le message lui-même.
4. Signalez-le, comme le recommande la fiche hameçonnage de Cybermalveillance.gouv.fr :
   • un SMS : transférez-le gratuitement au 33700, ou signalez-le sur 33700.fr ;
   • un e-mail : sur Signal Spam ;
   • un faux site vers lequel le message renvoie : sur Phishing Initiative ;
   • un chantage ou une tentative d'extorsion : sur Pharos.
5. Si vous avez cliqué ou saisi un mot de passe, changez-le immédiatement, ainsi que partout où vous l'aviez réutilisé, et activez la double authentification.
6. Si vous avez payé ou donné vos coordonnées bancaires, faites opposition auprès de votre banque et déposez plainte au commissariat, à la gendarmerie ou par écrit auprès du procureur de la République. Le service Info Escroqueries répond au 0 805 805 817 (appel gratuit).

Une arnaque n'exclut pas un vrai piratage : un escroc peut viser un site réellement compromis. Faites les contrôles de vérification dans tous les cas.

L'alerte est fondée : que faire ?

Si vos propres vérifications confirment le piratage, l'expéditeur du message n'y est pour rien : il vous a seulement permis de le voir. Les gestes, dans l'ordre :

1. Conservez les preuves : captures de la recherche site: et du Test des résultats enrichis, avec la date. Elles servent au nettoyage, à une éventuelle plainte et à la demande de réexamen auprès de Google.
2. Changez les mots de passe : administration du site, hébergement, FTP, base de données.
3. Sauvegardez le site tel quel avant d'y toucher, pour garder la trace de ce qui a été modifié.
4. Faites nettoyer le site, ou nettoyez-le vous-même : supprimer les pages visibles ne suffit pas, il faut retrouver la porte dérobée qui permettra au pirate de revenir. La méthode complète est dans notre guide nettoyer un site WordPress piraté.
5. Demandez le réexamen à Google depuis Search Console une fois le site propre.

L'assistance de Cybermalveillance.gouv.fr est gratuite pour toutes les victimes : vous pouvez y trouver le prestataire de votre choix près de chez vous.

Bilal Destouches

Fondateur de BetterCallBil, prestataire référencé sur la plateforme Cybermalveillance.gouv.fr. Plus de dix ans de sites web, 200 sites gérés, et depuis 2026 une veille quotidienne des sites français qui servent du spam à Google. Notre méthode · Mentions légales