Skimmer sur WooCommerce : repérer le vol de cartes bancaires

Un skimmer est un petit morceau de code qui copie ce que vos clients saisissent sur la page de paiement (numéro de carte, date d'expiration, cryptogramme, adresse) et l'envoie à un pirate. La boutique continue de fonctionner, les commandes passent, rien ne s'affiche de travers. C'est ce qui le rend dangereux : on le découvre en général quand des clients signalent des fraudes. Si vous pensez être touché, voyez notre page boutique en ligne piratée, ainsi que la rubrique dépannage.

Comment un skimmer arrive sur une boutique

Le pirate doit pouvoir ajouter du code sur la page de commande. Les chemins les plus courants :

• une extension vulnérable, exploitée pour modifier les réglages ou déposer un fichier ;
• un compte administrateur volé ;
• un script tiers compromis (outil de statistiques, de chat, de publicité) chargé sur toutes les pages ;
• un réglage qui permet d'ajouter des scripts dans l'en-tête ou le pied de page, détourné à distance.

Un exemple récent : la faille Funnel Builder

En mai 2026, la société Sansec a signalé l'exploitation d'une faille dans Funnel Builder de FunnelKit, une extension qui personnalise les tunnels de commande WooCommerce. Les versions antérieures à 3.15.0.3 permettaient à un visiteur sans compte de modifier les réglages globaux de l'extension. Les attaquants ajoutaient dans le champ des scripts externes une fausse balise Google Tag Manager, chargée sur chaque page de commande. Ce script ouvrait une connexion vers un serveur pirate et téléchargeait un skimmer adapté à la mise en page de la boutique.

Ce cas illustre deux points : le code malveillant se cache dans un réglage, pas dans un fichier, et il se fait passer pour un outil légitime. Un scanner de fichiers classique peut passer à côté.

Les signes qui doivent alerter

• Plusieurs clients signalent une fraude sur leur carte peu après un achat chez vous. C'est le signe le plus fréquent.
• Un champ de carte apparaît en double, ou un formulaire de carte s'affiche alors que votre prestataire de paiement utilise normalement sa propre fenêtre.
• Des commandes échouent au premier essai puis passent au second : certains skimmers affichent une fausse erreur pour récupérer la carte, puis laissent passer le vrai paiement.
• Un script inconnu sur la page de commande, surtout s'il porte le nom d'un outil connu sans que vous l'ayez installé.
• Des commandes étranges : montants à 0 €, clients inconnus en série.

Les vérifications à faire

1. Ouvrez la page de commande dans un navigateur, affichez les outils de développement (touche F12), onglet Réseau, et rechargez. Listez les domaines contactés : chacun doit correspondre à un service que vous connaissez (votre prestataire de paiement, vos statistiques).
2. Passez en revue les champs de scripts de vos extensions et de votre thème : en-tête, pied de page, « scripts externes », « code personnalisé ». Tout code que vous n'avez pas ajouté est suspect.
3. Vérifiez votre conteneur Google Tag Manager si vous en utilisez un : son identifiant doit être le vôtre, et ses balises doivent être connues.
4. Contrôlez la liste des administrateurs et des gestionnaires de boutique.
5. Mettez à jour WooCommerce, le thème et toutes les extensions de la page de commande.

Le paiement intégré protège, mais pas totalement

Quand le formulaire de carte est affiché dans un cadre fourni par le prestataire de paiement, le code de votre site ne peut pas lire ce qui y est saisi. C'est une vraie protection. Mais un skimmer peut afficher un faux formulaire par-dessus ou à la place du vrai. Le client tape sa carte dans le faux, et le pirate la récupère. Le mode de paiement ne dispense donc pas de surveiller la page de commande.

Que faire si un skimmer est trouvé

• Ne supprimez pas tout de suite le code : faites une copie de l'état actuel et notez ce que vous avez trouvé, avec la date. Ce sera utile pour l'analyse et pour les démarches.
• Mettez la boutique en maintenance le temps du nettoyage.
• Changez tous les accès : hébergement, administrateurs, clés de l'outil de paiement si elles sont stockées sur le site.
• Prévenez votre prestataire de paiement.
• Évaluez la fuite de données : des données personnelles de clients ont été exposées. Le RGPD prévoit une notification à la CNIL dans les 72 heures quand la violation présente un risque pour les personnes. Notre page fuite de données et RGPD détaille ces obligations.

Pour un autre exemple de vol de paiement sur une boutique, lisez notre article sur la faille Drupal Commerce. Si votre boutique tourne sous WooCommerce, notre page WooCommerce piraté décrit aussi les autres infections courantes.

Le nettoyage complet d'une boutique est à 350 € (TVA non applicable). Si des cartes ou des données de clients ont fuité, l'analyse des journaux et l'accompagnement RGPD font l'objet d'un devis. Diagnostic gratuit au 04 82 53 39 32 ou à lois.armand@hinsight.org.

Source : Sansec, exploitation de la faille FunnelKit Funnel Builder, mai 2026.