Le trafic de bots malveillants explose de 124 %, soit une croissance neuf fois plus rapide que le trafic web humain

Le trafic de bots malveillants dépasse la croissance humaine par un facteur neuf, selon un rapport de DataDome

Le trafic automatisé malveillant se développe à un rythme qui éclipse l'activité humaine sur le web, selon une nouvelle étude de la société de cybersécurité DataDome. Le rapport révèle qu'entre juillet 2025 et juin 2026, le trafic de bots malveillants a bondi de 124 %, un rythme neuf fois plus rapide que la croissance du trafic humain légitime au cours de la même période. Parallèlement, le trafic identifié comme provenant de systèmes d'IA a grimpé de plus de 82 %, soulignant la rapidité avec laquelle l'automatisation remodèle les schémas de trafic sous-jacents d'Internet.

Ces conclusions proviennent d'une analyse de plus de mille milliards de requêtes sur plus de 75 000 sites clients, ce qui en fait l'un des examens les plus approfondis de l'activité des bots à ce jour. Les données brossent le tableau d'un écosystème en ligne où les agents automatisés non seulement se multiplient, mais sondent aussi plus profondément les zones sensibles des sites web qui gèrent les comptes utilisateurs, les transactions et les informations personnelles.

Le rapport met en évidence un changement fondamental dans la nature du trafic web. Alors que les utilisateurs humains naviguent sur Internet à un rythme relativement stable, les scripts automatisés et les agents pilotés par l'IA se multiplient à un rythme sans précédent. Cette flambée n'est pas qu'une simple nuisance ; elle représente un défi systémique pour la sécurité et l'intégrité des services en ligne.

Explosion du scraping et du scalping

Parmi les tendances les plus frappantes figure l'explosion de l'activité de scraping, qui a augmenté de plus de 185 % d'une année sur l'autre. Les bots conçus pour extraire du contenu, des données de prix et d'autres informations des sites web deviennent plus agressifs et plus sophistiqués. En outre, les bots se livrant au scalping — la pratique consistant à rafler des billets ou d'autres articles très demandés pour les revendre — ont opéré à près de trois fois le taux observé l'année précédente. Cela suggère que les outils automatisés sont de plus en plus utilisés comme armes pour obtenir des avantages déloyaux sur les marchés de consommation.

Ce qui est peut-être le plus préoccupant pour les professionnels de la sécurité, c'est la constatation que les bots IA ciblent désormais les pages de connexion à un rythme huit fois supérieur à celui du rapport 2025 de DataDome. Ce changement indique que le trafic automatisé ne se contente plus d'effleurer la surface du web ; il pénètre dans les flux essentiels qui définissent le parcours client.

Agents IA et concentration de la puissance des bots

Au cours de la période étudiée, DataDome a détecté 52,7 milliards de requêtes de crawlers provenant d'agents IA et de grands modèles de langage. Une concentration frappante est apparue dans l'identité de ceux qui envoient ces bots : les systèmes affiliés à Meta représentaient plus de 46 % du total, tandis qu'OpenAI était la deuxième source la plus active, responsable de près de 35 %. Cette domination par une poignée de grandes entreprises technologiques souligne à quel point le développement de l'IA est devenu central dans le paysage global du trafic de bots.

Jérôme Segura, vice-président de la recherche sur les menaces chez DataDome, a souligné que la nature du problème évolue. Il a expliqué que le trafic automatisé n'est plus seulement un problème de volume à la périphérie d'Internet. Il croît rapidement et s'enfonce plus profondément dans les flux de connexion, de compte et de transaction qui se situent au cœur du parcours client. Pour les entreprises, a-t-il déclaré, le défi n'est plus simplement d'identifier l'automatisation ; il s'agit de déterminer si cette activité est bénéfique ou nuisible.

Un déficit de protection qui se creuse

Malgré la menace croissante, de nombreux sites web restent dramatiquement mal préparés. DataDome a testé 20 000 sites web et découvert que 65,3 % n'avaient aucune protection contre les dix types de bots inclus dans l'étude. Seuls 2,4 % des sites étaient entièrement protégés — une baisse significative par rapport aux 8,4 % de 2024 et légèrement en dessous des 2,8 % de l'année dernière. Ce déclin suggère que, à mesure que les tactiques des bots progressent, les mesures défensives peinent à suivre le rythme.

Segura a mis en garde contre les conséquences en aval de cette vulnérabilité. Il a noté que le trafic automatisé pénètre dans des parties sensibles du parcours client. Les pages de connexion, les flux de création de compte, les paniers et les points de terminaison de paiement sont directement liés aux comptes clients, aux informations personnelles, aux stocks, aux promotions et aux transactions. Les abus à ces points de terminaison peuvent entraîner une cascade de problèmes, notamment le test d'identifiants, la prise de contrôle de comptes, le test de cartes, l'abus de stocks, l'abus de promotions et les transactions frauduleuses.

Ce que les entreprises peuvent faire

Les conclusions du rapport suggèrent que les organisations doivent repenser leur approche de la gestion des bots. Les défenses traditionnelles qui se concentrent uniquement sur le blocage des attaques à fort volume en périphérie du réseau peuvent ne plus suffire. Au lieu de cela, les entreprises doivent adopter des stratégies capables de distinguer l'automatisation bénéfique — comme les crawlers des moteurs de recherche ou les assistants IA qui génèrent un trafic légitime — des bots malveillants qui cherchent à exploiter des vulnérabilités.

L'un des principaux enseignements est que tous les bots ne sont pas malveillants. Les crawlers des moteurs de recherche, par exemple, jouent un rôle vital dans l'indexation du web, et les assistants IA peuvent générer un trafic précieux vers les sites web. Le défi consiste à distinguer ces acteurs légitimes de ceux animés d'intentions nuisibles. Une approche nuancée combinant technologie, politique et adaptation continue est essentielle.

• Inspection approfondie : surveiller les flux de connexion, de création de compte et de paiement pour détecter les signes d'abus automatisé, et pas seulement le trafic de la page d'accueil.
• Analyse comportementale : utiliser l'apprentissage automatique pour identifier les schémas qui différencient les utilisateurs humains des bots, même lorsque les bots imitent le comportement humain.
• Limitation de débit et défis : mettre en œuvre une limitation de débit adaptative et des défis de type CAPTCHA aux points de terminaison critiques pour ralentir les attaques automatisées.
• Surveillance continue : auditer régulièrement les niveaux de protection des sites web et mettre à jour les défenses à mesure que les tactiques des bots évoluent.

La route à venir

À mesure que les capacités de l'IA continuent de s'étendre, la frontière entre automatisation utile et nuisible ne fera que s'estomper davantage. Le rapport de DataDome montre clairement que le trafic de bots n'est pas un problème statique mais un problème qui s'accélère rapidement. Avec des bots malveillants croissant neuf fois plus vite que le trafic humain et des agents IA ciblant de plus en plus les parties les plus sensibles du web, les entreprises qui ne s'adaptent pas risquent d'être submergées par une armée invisible d'acteurs automatisés.

Les années à venir verront probablement une attention réglementaire accrue sur l'activité des bots, ainsi qu'une collaboration renforcée entre les sociétés de cybersécurité et les fournisseurs de plateformes. Pour l'instant, les données constituent un avertissement brutal : le ventre automatisé d'Internet devient plus fort, plus profond et plus lourd de conséquences que jamais.

Cet article est basé sur un reportage de Fast Company. Lire l'article original.