37 288 signalements d’attaques en un week-end : 23 et 24 mai 2026
Le week-end des 23 et 24 mai 2026, le réseau ReportedIP a enregistré 37 288 signalements d’attaques provenant de 15 066 adresses IP distinctes. Ces chiffres montrent à quoi ressemble un week-end ordinaire d’attaques de fond pour tout serveur accessible depuis Internet, y compris chaque site WordPress public.
Tous les chiffres ci-dessous sont un instantané de ces 48 heures (heure de Berlin), comptés dans la base de signalements le 29 septembre 2026.
Combien d’attaques le réseau a-t-il enregistrées les 23 et 24 mai 2026 ?
Un signalement d’attaque est une entrée envoyée par un honeypot ou un site membre lorsqu’il détecte un attaquant. Samedi et dimanche ont produit presque le même volume :
| Jour | Signalements d’attaques | IP distinctes |
|---|---|---|
| Samedi 23 mai | 18 908 | 8 468 |
| Dimanche 24 mai | 18 380 | 9 131 |
| Total du week-end | 37 288 | 15 066 |
Le total du week-end compte chaque adresse IP une seule fois, il est donc inférieur à la somme des deux jours. Le week-end n’a pas été un pic. Du lundi 18 mai au vendredi 22 mai, le réseau a enregistré en moyenne 20 616 signalements par jour, soit plus que chacun des deux jours du week-end. Le trafic d’attaque ne ralentit pas quand le bureau est fermé.
Quelles catégories d’attaques ont dominé le week-end ?
Chaque signalement porte une ou plusieurs des 63 catégories de menaces. Un signalement peut porter plusieurs catégories, les lignes ci-dessous se recoupent donc :
| Catégorie | Signalements |
|---|---|
| Hacking | 23 019 |
| Brute-Force | 10 215 |
| SSH | 2 638 |
| Catégories WordPress réunies | 1 255 |
| Force brute sur la connexion WordPress | 1 174 |
Le point commun est la devinette de mots de passe. MITRE la répertorie comme technique T1110, et elle touche aussi bien SSH que la messagerie et les connexions WordPress. Pendant le week-end, une IP attaquante est apparue en moyenne dans 1,18 catégorie, et 20 catégories différentes ont été observées au total. La plupart des adresses s’en sont tenues à une seule tâche.
D’où venaient les signalements d’attaques ?
27 210 signalements provenaient des serveurs honeypot de ReportedIP, des machines leurres qui n’existent que pour être attaquées. Les 10 078 restants sont arrivés par les clés API des sites membres et des intégrations serveur. Si vous souhaitez ajouter votre propre capteur, le guide du serveur honeypot explique l’installation.
Par pays d’origine, quatre pays se sont distingués. Le pays provient de la géolocalisation actuelle de chaque adresse :
- États-Unis : 10 984 signalements provenant de 3 922 IP.
- Inde : 3 038 signalements provenant de 2 414 IP.
- Pakistan : 2 281 signalements provenant de 499 IP.
- Pays-Bas : 2 009 signalements provenant de 320 IP.
Les Pays-Bas ont atteint 6,3 signalements par adresse IP et le Pakistan 4,6, contre 2,5 sur l’ensemble du week-end. Un petit groupe d’adresses dans ces deux pays est revenu encore et encore. Bloquer des pays entiers est un outil grossier, bloquer les adresses qui reviennent est plus précis.
Qu’est-ce qu’un tel week-end signifie pour un site WordPress ?
Seuls 1 255 des 37 288 signalements mentionnaient une catégorie propre à WordPress. Le reste venait de bots qui sondent tout service ouvert, et un site WordPress se trouve sur le même Internet. Ces bots finissent tôt ou tard sur la page de connexion, et la plupart ont déjà été signalés ailleurs.
C’est là qu’intervient le renseignement communautaire sur les menaces. Dès qu’une adresse a été signalée par un honeypot ou un autre site, un site qui fait tourner Hive en mode Community Network peut la refuser avant la première tentative de mot de passe. Quand de nombreuses adresses attaquent en parallèle, le Hardening Mode resserre les seuils de connexion pendant une heure.
Qu’est-ce qui a changé dans Hive autour de ce week-end ?
Trois versions de Hive sont sorties la même semaine :
- Hive 2.0.14 (20 mai) : la liste des chemins leurres est passée de 16 à 40 entrées. Une requête vers l’un de ces fichiers appâts est un signal d’attaque fort. Hive 2.1.67 en contient 45.
- Hive 2.0.15 (21 mai) : les alertes admin adressées à plusieurs destinataires passent désormais par le relais mail géré, un e-mail par adresse.
- Hive 2.0.16 (27 mai) : le Hardening Mode ne se réactive plus de lui-même après son expiration, et un backoff du relais met désormais en pause l’envoi des e-mails et des SMS pour tout le site.
Questions fréquentes
Combien d’attaques ReportedIP a-t-il enregistrées les 23 et 24 mai 2026 ?
Le réseau ReportedIP a enregistré 37 288 signalements d’attaques provenant de 15 066 adresses IP distinctes pendant le week-end des 23 et 24 mai 2026. Le samedi a apporté 18 908 signalements et le dimanche 18 380. Les serveurs honeypot en ont envoyé 27 210, les sites membres et les intégrations serveur les 10 078 autres via leurs clés API.
La plupart des attaques du week-end visaient-elles WordPress ?
La plupart des attaques étaient génériques. Seuls 1 255 des 37 288 signalements mentionnaient une catégorie propre à WordPress, dont 1 174 pour de la force brute sur la connexion. Les groupes les plus importants étaient Hacking avec 23 019 signalements et Brute-Force avec 10 215. Les mêmes bots sondent chaque service accessible, les sites WordPress reçoivent donc leur part.
Hive bloque-t-il gratuitement les attaquants signalés ?
Hive bloque gratuitement les attaquants signalés dès qu’un site passe en mode Community Network avec un compte ReportedIP gratuit. Les 16 capteurs de détection et les méthodes 2FA TOTP, passkey et e-mail sont également gratuits. Le Hardening Mode contre les attaques coordonnées, la 2FA par SMS et les relais gérés nécessitent l’offre Professional.
Pour aller plus loin
- Obtenir Hive pour WordPress : 16 capteurs, quatre méthodes 2FA et le blocage communautaire dans une seule extension.
- WordPress Attack Report : les données d’attaques du 1er mai au 21 juillet 2026, ce week-end compris.
- Toutes les catégories de menaces : les 63 catégories avec leurs niveaux de gravité.