Une nouvelle tude rapporte que les bots malveillants et les fermes de fraude humaine taient responsables de milliards d’attaques au cours du premier semestre 2023 et du troisime trimestre. Ces attaques reprsentaient 73 % de l’ensemble du trafic mesur sur les sites Web et les applications. En d’autres termes, prs des trois quarts du trafic vers les proprits numriques seraient malveillants. Cette tendance alarmante est en train de remodeler le paysage numrique, les cinq principales catgories d’attaques travers des bots malveillants tant la cration de faux comptes, les prises de contrle de comptes, le grattage Web, la gestion de comptes et l’utilisation abusive de produits.
Le trafic Internet li aux bots malveillants aurait considrablement augment
Le rapport, intitul « Breaking (Bad) Bots: Bot Abuse Analysis and other Fraud Benchmarks », a t publi par Arkose Labs, leader mondial de la gestion des bots et de la scurit des comptes. Les chercheurs ont tudi des milliards de sessions dans le monde entier pour rvler les principales attaques par secteur, type et rgion. Ils ont valu les attaques selon trois vecteurs principaux : les bots de base, les bots intelligents et les fermes clics. Les acteurs de la menace font appel ces vecteurs afin de lancer diffrents types d’attaques : la fraude aux paiements par SMS, le grattage Web, les tests de cartes, le bourrage didentifiant (credential stuffing), etc.
L’analyse a rvl que les attaques de bots ont globalement augment de 167 % au cours du premier semestre de l’anne, et que l’augmentation de 291 % des bots intelligents a pes lourd dans la balance. Les bots, autrefois utiliss principalement par les moteurs de recherche, ont aujourd’hui diverses utilisations qui peuvent tre bonnes ou mauvaises. Les bots inoffensifs sont principalement des bots d’indexation de moteurs de recherche et d’autres bots similaires utiliss pour l’agrgation ou la surveillance de contenus. Les bots qualifis d’inoffensifs obissent aux rgles du propritaire du site Web telles qu’elles sont spcifies dans le fichier robots.txt.
Ils publient des mthodes permettant de valider leur identit et travaillent de manire ne pas submerger les sites Web et les applications qu’ils visitent. Par contre, les bots malveillants sont conus pour effectuer des activits malveillantes. Ils vont des « scrapers » de base qui tentent d’obtenir des donnes d’une application (et qui sont facilement bloqus), aux bots persistants avancs qui ont un comportement complexe et qui cherchent chapper le plus possible la dtection. Ces derniers tentent des attaques qui vont du grattage de sites Web aux attaques par prise de contrle de comptes, en passant par les attaques par dni de service distribu (DDoS), etc.
Les attaques ne se limitent toutefois pas aux robots. L’analyse a montr que lorsque les bots des fraudeurs sont bloqus, ils rorientent leurs attaques vers des fermes clics, qui ont augment de 49 % entre le premier et le deuxime trimestre 2023. Arkose Labs affirme que 73 % de l’ensemble du trafic Internet actuel (T3 2023) est compos de bots malveillants et du trafic de fermes de fraude qui y est associ. En outre, le rapport d’Arkose indique que les cinq principales catgories d’attaques menes l’aide de bots malveillants sont : la cration de faux comptes, la prise de contrle de comptes, le grattage Web, la gestion de comptes et l’abus de produits.
Ces catgories n’ont pas chang par rapport au deuxime trimestre, l’exception de l’abus de produit qui a remplac les tests de cartes. Et les attaques qui ont le plus augment entre le deuxime et le troisime trimestre 2023 sont la fraude aux paiements par SMS (+ 2 141 %), la gestion de compte (+ 160 %) et la cration de faux comptes (+ 23 %). Les chercheurs d’Arkose rapportent galement que les cinq principales industries cibles sont la technologie (les bots malveillants comprennent 76 % de son trafic Internet) ; les jeux en ligne (29 % du trafic) ; les rseaux sociaux (46 %), le commerce lectronique (65 %) et les services financiers (45 %).
Les bots malveillants deviennent plus sophistiqus grce l’essor de l’IA gnrative
Arkose estime qu’il y a eu plus de 3 milliards d’attaques de fermes de fraude au premier semestre 2023. Ces fermes de fraude semblent tre situes principalement au Brsil, en Inde, en Russie, au Vietnam et aux Philippines. Certains critiques remettent toutefois en cause le rapport, contestant le trafic attribu aux bots malveillants. Peut-tre 73 % des demandes, mais pas du trafic. La majorit du trafic est principalement constitue de contenu vido en continu. Le trafic est un terme spcifique pour dsigner ce qui transite par Internet. Vous pouvez avoir un grand volume de demandes, mais un faible trafic. Et aussi l’inverse , a crit un critique.
D’autres critiques abondent toutefois dans le sens du rapport, partageant leurs propres expriences. L’un d’entre eux dclare : je suis un administrateur systme pour un grand diteur de contenu europen. Les bots malveillants reprsentent environ 40 % de notre trafic, les bots inoffensifs (indexeurs de sites Web et autres ; Google, Bing, Pinterest et autres) reprsentent entre 25 30 % du trafic et les vraies personnes reprsentent entre 30 35 % du trafic. Et tout a, c’est aprs avoir bloqu tout le trafic provenant de Russie et de Chine. Le reste du trafic de bots malveillants provient d’Amrique du Sud, d’Afrique, d’Europe et d’Amrique du Nord .
Le rapport souligne que deux tendances sont l’origine de l’augmentation du nombre d’attaques : l’IA gnrative et la cybercriminalit en tant que service (CaaS). Le rapport souligne que cela reprsente un danger pour l’avenir de l’Internet. Les bots intelligents emploient des techniques sophistiques comme l’apprentissage automatique et l’IA pour imiter le comportement humain et chapper la dtection. Cela leur permet de s’adapter en ciblant les vulnrabilits des appareils IdO, des services cloud et d’autres technologies mergentes. Par exemple, ils sont trs utiliss pour contourner la dfense 2FA qui protge contre lhameonnage , note le rapport.
Sparment, l’essor de l’IA peut tre li ou non une hausse spectaculaire des bots de grattage Web qui recueillent des donnes et des images sur les sites Web. Entre le premier et le deuxime trimestre, le grattage a augment de 432 %. Le grattage de comptes de mdias sociaux permet de recueillir le type de donnes personnelles qui peuvent tre utilises par l’IA gnrative pour produire en masse des attaques dhameonnage convaincantes. D’autres bots pourraient ensuite tre utiliss pour diffuser des courriels de prise de contrle de compte, des escroqueries la romance, etc. Le grattage cible galement les secteurs du voyage et de l’htellerie.
Les chercheurs rappellent que le grattage Web reste un domaine juridiquement obscur. Il n’est pas spcifiquement illgal, mais s’il dfie les conditions d’utilisation publies par un site Web, il est certainement immoral. Il existe des services qui proposent ouvertement des outils pour le grattage Web. Dans ce cas, cela dmontre la relation entre le CaaS, l’IA et les bots (ici principalement les bots de grattage Web). De son ct, le CaaS permet aux criminels en herbe, qui ont peut-tre l’intention, mais pas les comptences ncessaires, de s’engager dans la cybercriminalit. L’essor du CaaS a compltement chang la donne pour les acteurs de la menace.
Selon les experts, avec le CaaS, il est beaucoup moins coteux d’attaquer les entreprises et les attaques sont tout simplement meilleures parce que c’est un atelier de dveloppement qui mne les attaques au lieu de cybercriminels individuels. En somme, l’augmentation continue du volume des bots malveillants suggre qu’ils restent rentables pour les criminels. Et l’IA gnrative amliore les performances des bots malveillants, tandis que la croissance du CaaS augmentera le nombre d’oprateurs de Bad Bots ; la situation va donc empirer. Les chercheurs estiment que la seule solution pour l’instant est la dtection et l’attnuation des bots malveillants.
Source : Arkose Labs
Et vous ?
Quel est votre avis sur le sujet ?
Que pensez-vous de la part des bots malveillants dans le trafic Internet mondial ?
Selon vous, les chiffres rapports par Arkose Labs refltent-ils la ralit ? Pourquoi ?
Comment peut-on faire face la monte en puissance des bots malveillants sur l’Internet ?
Que pensez-vous de l’essor de la cybercriminalit en tant que service ? Comment peut-on y faire face ?
Selon vous, pourquoi le cadre juridique autour du grattage Web demeure obscur ?
Voir aussi