Ils se comportent comme des utilisateurs légitimes, consomment des ressources comme des internautes lambda, mais leurs intentions sont pernicieuses. Eux, ce sont les 'bad bots', ces robots qui se mélangent au trafic web pour récupérer des données, tenter de se connecter à des services sans accès légitime, revendre des produits avec une marge (scalping), monter des fraudes sur la publicité online ou simplement dégrader les performances d'un site confronté à un afflux de requête.

« Les opérateurs des robots les plus sophistiqués sont très déterminés et persistants. Si une solution de gestion des bots les bloque aujourd'hui, il est probable qu'ils trouveront pourquoi ils ont été bloqués et reviendront avec une nouvelle technique pour échapper à la détection », écrit Imperva, éditeur spécialiste de cybersécurité récemment racheté par Thales, dans un rapport sur ce phénomène. Ces techniques visent à se confondre avec du trafic légitime, par exemple en imitant la signature des navigateurs les plus courants, en masquant l'origine des requêtes derrière des proxies ou encore en embarquant des capacités de résolution des Captcha.

La décomposition du trafic Internet mondial en 2023, selon Imperva. Les robots sont en passe de prendre le pouvoir.

La France, 5ème cible des bad bots dans le monde

Globalement, la moitié du trafic Internet émane de bots. Même si tous n'ont pas des intentions pernicieuses - comme les robots des moteurs de recherche Google et Bing -, la majeure partie de ce trafic automatisé provient de bad bots. Imperva estime qu'ils comptent pour 32% du trafic mondial sur Internet en 2023, une progression de 1,8 point en un an. En chute de 2,2 points, la part du trafic émanant d'utilisateurs humains n'est plus supérieure à la moitié que de quelques dixièmes de points de pourcentage. Cette barre symbolique a d'ailleurs été franchie pendant plusieurs mois au cours de l'an dernier. Notons que la part des connexions émanant de bad bots est en progression constante depuis 2018, où elle ne représentait qu'environ 20% du trafic global. La France est le cinquième pays le plus visé par ces menaces en 2023 (avec 3,1% des attaques répertoriées par Imperva en 2023), très loin de la victime n°1, les Etats-Unis (qui concentrent 47% des attaques).

Le retail, le voyage et la finance pour principales victimes

Le rapport d'Imperva souligne encore le ciblage croissant des API par les bad bots. Ceux-ci représentent désormais près d'un tiers des attaques ciblant ces interfaces. « En raison de leur nature les rendant lisibles par une machine, les API sont de plus en plus susceptibles d'être attaquées par des robots malveillants. Et l'absence de visibilité sur le trafic de l'API les rend difficile à détecter », souligne l'éditeur. Les API sont en particulier visées par des bots cherchant à s'emparer d'un compte légitime. 44% de ces attaques, qui ont connu une croissance de 10% entre 2022 et 2023, ciblent ainsi les API. « La mise en oeuvre de mesures de sécurité est difficile en raison de la complexité des environnements IT modernes et de l'interconnexion des plateformes en ligne. Par conséquent, les cybercriminels exploitent les vulnérabilités d'authentification des API pour obtenir un accès non autorisé à des comptes légitimes », écrit Imperva.

Les attaques de robots malveillants ciblent d'abord la grande distribution, le secteur du voyage et les services financiers. Ensemble, ils cumulent plus de 60% des requêtes pernicieuses recensées en 2023 par Imperva. « Ces secteurs sont confrontés à un problème complexe de bots, avec différents cas d'usage de ce type de menace qui mettent en péril leurs résultats », soulignent les auteurs du rapport annuel, le 10ème de l'éditeur sur le sujet.