Spam 2.0 : Faux comptes d'utilisateurs et profils de spam

Vendredi 26 juin 2009

Vous êtes un bon webmaster ou développeur web, et vous avez fait tout votre possible
pour empêcher que votre site ne soit piraté
et
pour bloquer le spam dans vos forums et sections de commentaires.
Vous êtes désormais l’heureux propriétaire d’une communauté sociale web2.0 dynamique, qui remplit le web de
contenu généré par les utilisateurs et qui attire probablement de nombreux visiteurs depuis Google et d’autres moteurs
de recherche.

De nombreux visiteurs de votre site créeront des profils d’utilisateurs, et certains passeront des heures à poster sur
des forums, à rejoindre des groupes et à peaufiner les moindres détails brillants de l’image arc-en-ciel et licorne de leur
BFFpour son
anniversaire. Tout cela est formidable.

D’autres, en revanche, créeront des comptes et rempliront leurs profils de charabia, de balivernes et
de bavardages. Pire encore, ils ajouteront un lien sournois, un bout de code JavaScript de redirection
ou une fausse vidéo intégrée géante qui entraînera vos utilisateurs vers les recoins les plus louches du web.

Bienvenue dans le monde des profils de spam. Le web social se développe à une vitesse incroyable et les spammeurs voient dans chaque type de contenu utilisateur sur le web une opportunité de générer du trafic. J’ai discuté avec plusieurs webmasters expérimentés qui ont été surpris de découvrir que c’était un problème, j’ai donc pensé qu’il serait utile de parler un peu des profils de spam et de ce que vous pouvez faire pour les détecter et les nettoyer sur votre site.

Pourquoi est-ce important ?

Imaginez le scénario suivant :

“Bonjour et bienvenue sur notre nouveau site de réseau social web2.0. Dis donc, j’ai un nouvel ami
pour toi. Il s’appelle M. BuyMaleEnhancementRingtonesNow, et il aimerait
que tu consultes son profil. Il a NaN ans et vient de
Pharmadelphia, PA. Vous pouvez consulter sa page d’accueil passionnante à l’adresse
https://example.com/obviousflimflam.

Cela ne vous intéresse pas ? Laissez-moi alors vous présenter ma chère amie
PrettyGirlsWebCam1234, elle dit être une ancienne amie de collège
et possède des photos et des vidéos passionnantes que vous aimeriez peut-être voir.”

Vous ne souhaitez probablement pas que la première impression des visiteurs sur votre site comprenne des images inappropriées ou des offres commerciales fallacieuses. Vous ne voulez absolument pas que vos utilisateurs soient harcelés par de fausses invitations au point qu’ils cessent complètement de venir. Si votre site est envahi par du contenu de spam et des liens vers des parties douteuses du web, les moteurs de recherche risquent de perdre confiance en votre site, par ailleurs de qualité.

Pourquoi diable quelqu’un créerait-il des profils de spam ?

Les spammeurs créent de faux profils à des fins malveillantes diverses. Parfois, il s’agit simplement d’un moyen d’atteindre les utilisateurs en interne sur un site de réseau social. C’est assez similaire au fonctionnement du spam par e-mail : le but est d’envoyer à vos utilisateurs des messages ou des invitations d’amis et de les inciter à suivre un lien, à effectuer un achat ou à télécharger des logiciels malveillants en leur envoyant une proposition fausse ou de mauvaise qualité.

Les spammeurs utilisent également les profils de spam comme un moyen supplémentaire de générer du spam web sur des domaines par ailleurs de bonne qualité. Ils écument le web à la recherche d’opportunités pour faire parvenir leurs liens, redirections et logiciels malveillants aux utilisateurs. Ils utilisent votre site parce que cela ne leur coûte rien et qu’ils espèrent profiter de votre bonne réputation.

Ce dernier cas est de plus en plus fréquent. Certains faux profils sont évidents, utilisant par exemple des produits pharmaceutiques populaires comme nom de profil ; mais nous avons constaté une augmentation de spammeurs plus malins qui essaient d’utiliser de vrais noms et des données réalistes pour glisser leurs liens malveillants. Pour s’assurer que leur profil de charabia fraîchement créé apparaît dans les recherches, ils génèrent également des liens sur des sites piratés, des commentaires spam et, oui, d’autres profils de spam. Il en résulte une grande quantité de mauvais contenu sur votre domaine, des liens entrants indésirables provenant de sites de spam et des utilisateurs agacés.

Quels sites sont ciblés ?

Vous vous dites peut-être : « Mais mon site n’est pas un mastodonte géant des réseaux sociaux ; je n’ai
sûrement pas à m’inquiéter. » Malheureusement, nous constatons des profils de spam sur tout, des plus
grands sites de réseaux sociaux aux plus petits forums et babillards électroniques. De nombreux babillards
populaires et systèmes de gestion de contenu (CMS) tels que vBulletin, phpBB, Moodle, Joomla, etc., génèrent
des pages de membres pour chaque utilisateur qui crée un compte. En général, les CMS sont formidables
car ils vous permettent de déployer facilement du contenu et des fonctionnalités interactives sur votre site,
mais les pages générées automatiquement peuvent être exploitées si vous n’y prenez pas garde.

Pour tous ceux d’entre vous qui travaillent pour des mastodontes géants des réseaux sociaux, votre site est également une cible. Les spammeurs veulent accéder à votre vaste base d’utilisateurs, espérant que les utilisateurs de sites sociaux feront davantage confiance aux demandes d’amis entrantes, ce qui entraînera des taux de réussite plus élevés.

Que pouvez-vous faire ?

Ce n’est pas un problème facile à résoudre : les individus malveillants attaquent un large éventail de sites et semblent capables d’adapter leurs scripts pour contourner les contre-mesures. Google fait constamment l’objet d’attaques de spammeurs essayant de créer de faux comptes et de générer des profils de spam sur nos sites, et malgré tous nos efforts, certains ont réussi à passer entre les mailles du filet. Voici quelques mesures que vous pouvez prendre pour leur rendre la tâche plus difficile et maintenir votre site propre et utile :

• Assurez-vous de disposer de fonctionnalités de sécurité standard, y compris
  CAPTCHAs,
  pour qu’il soit plus difficile pour les spammeurs de créer des comptes en masse. Méfiez-vous des comportements
  anormaux : des milliers de nouveaux comptes utilisateurs créés à partir de la même adresse IP, de nouveaux
  utilisateurs envoyant des milliers de demandes d’amis, etc. Il n’y a pas de solution simple à ce problème, mais
  souvent, quelques vérifications simples permettront d’intercepter la plupart des pires spams.
• Utilisez une liste de blocage pour empêcher les tentatives de spam répétitives. Nous constatons souvent un grand nombre de faux profils sur un site innocent qui renvoient tous
  au même domaine ; par conséquent, dès que vous en trouvez un, vous devez faciliter leur suppression globale.
• Surveillez
  les vulnérabilités de type cross-site scripting (XSS)
  et autres failles de sécurité qui permettent aux spammeurs d’injecter du code suspect sur leurs
  pages de profil. Nous avons observé des techniques telles que l’utilisation de JavaScript pour rediriger
  les utilisateurs vers d’autres sites, des iframes qui tentent de propager des logiciels malveillants et
  du code CSS personnalisé utilisé pour masquer votre page sous du contenu spam.
• Envisagez
  d’ajouter rel="nofollow" aux liens
  sur les pages de profils d’utilisateurs non vérifiés. Cela rend votre site moins attrayant pour quiconque tente
  de transférer du PageRank de votre site vers son site de spam. Les spammeurs semblent s’en prendre
  aux solutions de facilité, de sorte que le simple fait d’ajouter nofollow aux nouveaux profils présentant
  peu d’indices de fiabilité contribuera grandement à atténuer le problème. D’un autre côté, vous pourriez
  également envisager de supprimer manuellement ou automatiquement l’attribut nofollow sur les liens créés par
  des membres de la communauté qui sont probablement plus dignes de confiance, tels que ceux qui ont contribué
  par du contenu substantiel au fil du temps.
• Envisagez
  a l'utilisation de la balise méta robots noindex pour les pages de profil
  des utilisateurs nouveaux et non encore fiables. Vous voudrez peut-être même rendre les pages de profil initiales totalement privées, en particulier si la majeure partie du contenu de votre site se trouve dans des blogs, des forums ou d’autres types de pages.
• Ajoutez une fonction de « signaler un spam » aux profils d’utilisateurs et aux invitations d’amis. Laissez vos utilisateurs vous aider à résoudre le problème : ils se soucient de votre communauté et sont également agacés par le spam.
• Surveillez votre site pour détecter les pages de spam. L’un des meilleurs outils pour cela est
  Google Alerts – configurez une requête
  site: associée à des mots-clés commerciaux ou pour adultes que vous ne vous attendriez pas à
  voir sur votre site. C’est également un excellent outil
  pour aider à détecter les pages piraté.
  Vous pouvez également
  consulter les données ‘Keywords’ dans Webmaster Tools
  pour y repérer un vocabulaire étrange et volatil.
• Surveillez les pics de trafic provenant de requêtes suspectes. C’est toujours formidable de voir la courbe de vos pages vues s’orienter vers le haut, mais prêter attention aux requêtes commerciales ou pour adultes qui ne correspondent pas au contenu de votre site. Dans les cas où un spammeur a abusé de votre site, ce trafic n’apportera que peu ou pas d’avantages tout en présentant votre site aux utilisateurs comme « l’endroit qui m’a redirigé vers ce virus ».

Si vous avez des questions, vous pouvez toujours les poser dans notre
Forum d’aide pour les webmasters.

Écrit par Jason Morrison, équipe qualité de la recherche