Oui, en permanence — et ce n'est presque jamais personnel. Toute machine connectée à internet et joignable à distance (un serveur, mais aussi une box, une caméra ou un NAS mal configuré) reçoit des tentatives de connexion automatisées dès les premières minutes après sa mise en ligne. Plutôt que de le répéter comme un lieu commun, on est allés vérifier sur nos propres journaux : entre le 1er janvier et le 31 août 2026, environ 11 000 nouvelles adresses IP ont tenté de se connecter à notre serveur, pour un peu plus de 3 millions de tentatives cumulées.
Pourquoi une machine est attaquée dès sa mise en ligne
Passer en revue la quasi-totalité des adresses existantes sur internet pour repérer les
machines qui répondent prend aujourd'hui quelques minutes avec des outils publics et
gratuits — ce n'est plus un travail de spécialiste, juste un script qu'on laisse tourner.
Une fois une porte d'entrée repérée (le plus souvent SSH, le moyen standard d'administrer un
serveur à distance), des robots essaient en boucle des combinaisons d'identifiants
courantes : root, admin, ubuntu, des mots de passe
par défaut ou des listes entières de mots courants.
Le calcul de l'attaquant ne porte pas sur une machine précise, mais sur le volume : le coût de scanner et d'essayer des millions de machines est quasiment nul, donc même un taux de réussite infime (une machine mal configurée sur dix mille) rend l'opération rentable — revente d'accès, minage de cryptomonnaie, relais pour du spam ou d'autres attaques. Vous n'avez rien fait de particulier pour être visé : être connecté à internet suffit.
Ces chiffres viennent du journal qui enregistre les tentatives de connexion au serveur lui-même (via SSH) — pas des tentatives visant directement le site web. Un serveur qui héberge aussi un site reçoit ce type de trafic sur d'autres portes d'entrée, mais on ne l'a pas mesuré ici.
Ce que 8 mois de tentatives réelles montrent
Sur notre serveur, la quasi-totalité des tentatives cible un seul service : SSH. Les noms d'utilisateur essayés sont presque toujours génériques, jamais liés à notre installation réelle — un signe de plus que c'est un ratissage automatisé, pas une attaque ciblée :
Les noms marqués d'un … ont pu être coupés par un petit bug de notre outil
d'analyse (corrigé depuis) — on affiche quand même le nom tel quel plutôt que de perdre
l'information.
Un exemple qui mérite d'être noté : plusieurs tentatives ont visé littéralement
tdxsolutions — pas un mot de passe générique piqué dans une liste, mais un essai
construit spécifiquement à partir du nom de notre site. Même un ratissage très automatisé
peut donc glisser quelques tentatives "personnalisées", juste en lisant le nom de domaine.
Autrement dit : se dire "mon nom d'utilisateur est trop banal pour intéresser qui que ce
soit" n'est pas une protection en soi — mieux vaut simplement éviter tout nom devinable à
partir de votre nom, de votre entreprise ou de votre site.
Deux profils d'attaque très différents ressortent quand on regarde tentatives et IP côte à côte, pays par pays. La Roumanie : seulement 59 IP distinctes, mais 166 833 tentatives — soit près de 2 830 tentatives par IP en moyenne. À l'inverse, les Pays-Bas : 1 716 IP pour 866 493 tentatives, environ 500 par IP. Dans un cas, quelques machines insistent énormément ; dans l'autre, beaucoup de machines différentes tentent chacune modérément — probablement des serveurs loués puis abandonnés au profit d'un autre dès qu'ils sont repérés.
Non, ce n'est (probablement) pas telle ou telle nation qui vous attaque
C'est la conclusion la plus contre-intuitive de cette analyse. Le pays associé à une IP indique où est loué le serveur utilisé pour attaquer — pas la nationalité ni la localisation réelle de la personne derrière. Un classement par pays donne surtout une carte de la location de serveurs bon marché dans le monde, pas une carte des attaquants.
Le classement qui a vraiment du sens, c'est celui des hébergeurs — les entreprises qui louent les serveurs utilisés pour attaquer. Sur notre serveur, une seule domine très largement toutes les autres origines réunies :
DigitalOcean est une société américaine de cloud tout à fait légitime, pas un hébergeur "suspect" — elle est simplement l'une des plus utilisées au monde pour louer un petit serveur en quelques clics, avec très peu de vérification d'identité. C'est exactement ce qui la rend populaire auprès des développeurs... et auprès de ceux qui scriptent des attaques automatisées. Le phénomène n'est pas propre à DigitalOcean : on le retrouve chez la plupart des grands hébergeurs cloud bon marché. La vraie histoire ici, c'est la facilité de louer un serveur jetable et anonyme n'importe où — pas un conflit entre pays.
Ce qu'on retient, en pratique
On gère ce type de configuration au quotidien pour nos clients (accès distant, réseaux, serveurs) — voici les bonnes pratiques de base qui rendent ce bruit de fond totalement inoffensif :
- Authentification par clé SSH plutôt que par mot de passe — un mot de passe, même complexe, finit par céder face à des millions d'essais ; une clé, non.
- Désactiver la connexion directe en tant qu'administrateur (root) — oblige à se connecter d'abord avec un compte personnel identifié, une étape de plus pour un attaquant.
- Limiter l'accès distant à ce qui est réellement utilisé — un service ouvert "au cas où" est un service qui reçoit ce trafic pour rien.
- Garder les systèmes à jour — la plupart des compromissions réelles exploitent des failles déjà corrigées depuis longtemps, pas des attaques inédites.
Si vous gérez vous-même un serveur, une box ou un NAS exposé sur internet et que vous voulez un avis extérieur sur sa configuration, on peut regarder ça avec vous.
Questions fréquentes
Faut-il s'inquiéter de voir des milliers de tentatives de connexion sur son serveur ?
Non, dans l'immense majorité des cas. C'est le bruit de fond normal d'internet : des scans automatisés, permanents, qui touchent toute machine exposée. Tant que l'authentification résiste (clé SSH ou mot de passe fort, pas de compte par défaut), ces tentatives échouent systématiquement et ne représentent pas un risque en soi — seul leur volume peut être surprenant la première fois qu'on regarde ses journaux.
Le pays affiché pour une IP attaquante correspond-il à qui se cache derrière l'attaque ?
Non. Le pays d'une IP indique où est loué ou hébergé le serveur utilisé pour l'attaque, pas la nationalité ni la localisation réelle de la personne qui l'utilise. Un attaquant peut louer un serveur n'importe où dans le monde en quelques minutes, souvent de façon anonyme.
Comment savoir si son routeur ou son NAS à la maison reçoit le même genre de trafic ?
Si l'administration à distance ou un service (accès distant, caméra, NAS) est ouvert vers internet depuis votre box, il reçoit très probablement le même type de trafic automatisé. Le réflexe simple : désactiver l'accès distant si vous ne vous en servez pas, et vérifier qu'aucun mot de passe par défaut n'est resté actif.
Que se passe-t-il si mon serveur a été réellement victime d'une intrusion ?
Priorité : couper l'accès réseau de la machine sans forcément l'éteindre (l'extinction peut effacer des traces utiles en mémoire), puis changer tous les mots de passe et clés depuis un autre appareil sain. Vérifiez ensuite les signes classiques : nouveaux comptes utilisateurs, processus ou tâches planifiées inconnus, journaux modifiés ou manquants. Une fois la faille identifiée et corrigée, la remise en service la plus sûre passe par une restauration depuis une sauvegarde antérieure à l'intrusion plutôt qu'un simple nettoyage — on ne peut jamais être totalement certain d'avoir tout retrouvé.
Un serveur, une box ou un NAS exposé sur internet dont vous voulez vérifier la configuration ?
Contacter TDX Solutions