800 000 tentatives de connexion en six mois sur un serveur qui n’a rien à voler

Prenez un serveur sans site, sans base de données, sans le moindre fichier qui vaille la peine d’être volé. Branchez-le sur Internet et ne faites rien pendant six mois. Résultat : plus de 800 000 tentatives de connexion à distance, soit environ 170 par heure, de jour comme de nuit. C’est l’expérience que Next vient de raconter, et le chiffre est moins intéressant que ce qu’il révèle.

Un serveur qui fait semblant de céder

La machine n’est pas un serveur ordinaire : c’est un pot de miel, monté avec Cowrie. Ce logiciel écoute sur le port 22, celui de SSH, et accepte n’importe quel nom d’utilisateur avec n’importe quel mot de passe. L’intrus croit être entré, alors qu’il se retrouve dans un bac à sable qui enregistre tout : les identifiants essayés, puis les commandes tapées une fois « à l’intérieur ». Le tout tourne sur un simple serveur virtuel loué chez un hébergeur, sans aucune donnée sensible.

Le principe n’a rien d’exotique. Ce qui l’est davantage, c’est d’avoir laissé tourner l’appareil six mois durant en tenant le compte heure par heure, avec un pic à 36 000 tentatives sur la seule journée du 31 mai.

Pourquoi 800 000 « attaques » ne font pas 800 000 attaques

Voilà où il faut ralentir. Une tentative d’authentification n’est pas une attaque : un seul robot qui déroule une liste de 5 000 mots de passe produit 5 000 lignes dans le journal, et il reste un seul robot. Compter les lignes donne un grand nombre, pas une mesure du danger. Le nombre d’adresses distinctes, ou de campagnes identifiées, dirait quelque chose de plus utile.

Deuxième réserve, posée par l’expérience elle-même : un pot de miel n’attrape que les robots les plus grossiers. Les outils un peu soignés détectent le piège et s’en vont sans insister, ce qui veut dire que la partie la plus compétente du trafic est précisément celle qui manque au comptage.

Troisième réserve, et elle vaut dans les deux sens : un serveur anonyme qui n’héberge rien n’est pas représentatif. Une machine réellement exposée, avec un nom de domaine et des services publics, encaisse bien davantage. 170 tentatives par heure, ce n’est donc pas un sommet, c’est le bruit de fond d’Internet, celui que subit n’importe quelle adresse publique du seul fait d’exister.

Ajoutons enfin que celui qui mesure est aussi celui qui publie. Il s’agit d’un témoignage de première main, invérifiable de l’extérieur par construction, et personne d’autre ne détient les journaux de cette machine.

Les gestes qui font tomber le bruit

Pour qui administre un serveur, la conclusion pratique tient en trois réglages. Désactiver l’authentification par mot de passe et ne garder que les clés SSH : une liste de mots de passe, aussi longue soit-elle, ne sert alors plus à rien. Interdire la connexion directe en root, qui reste l’identifiant le plus essayé au monde. Installer un outil de bannissement automatique, du type fail2ban, qui coupe une adresse après quelques échecs.

Déplacer SSH sur un autre port que le 22 est souvent conseillé : cela allège considérablement les journaux, mais ne protège de rien, puisqu’un scan complet retrouve le service en quelques secondes. C’est du confort de lecture, pas de la sécurité.

(Le jour où j’ai activé fail2ban sur ma petite machine personnelle, mes journaux sont passés de plusieurs mégaoctets par jour à quelques lignes. Rien n’avait changé dehors, j’avais juste arrêté de tout écrire ! 😄)

En bref

• Un pot de miel SSH laissé 6 mois sur Internet a enregistré plus de 800 000 tentatives de connexion, environ 170 par heure.
• Le record tient sur une seule journée, le 31 mai, avec 36 000 tentatives.
• Une tentative n’est pas une attaque : un robot qui essaie 5 000 mots de passe compte pour 5 000 lignes.
• Les robots les plus habiles repèrent le piège et s’en vont, donc les mieux équipés échappent au comptage.
• Clés SSH, root interdit et bannissement automatique suppriment l’essentiel du problème ; changer de port ne fait qu’alléger les journaux.

Sources : Next, projet Cowrie.

Le Bien Heureux · Redaction Capibara · Vendredi 18 septembre 2026