Dans le paysage numérique actuel, où les applications et les API sont vitales pour les entreprises, une menace silencieuse rôde : des bots malveillants sophistiqués. Alors que les mesures de sécurité traditionnelles visent principalement à prévenir les attaques malveillantes, les menaces automatisées passent inaperçues en imitant le comportement humain et en exploitant de manière inattendue les failles de la logique applicative.
Le rapport récemment publié par F5 Labs, intitulé « Rapport 2025 sur les bots persistants avancés », met en lumière l’évolution des tactiques des bots persistants avancés et les défis qu’ils posent. Même si je vous recommande de lire le rapport dans son intégralité, voici trois tendances qui ont particulièrement retenu mon attention dans l’étude de cette année, ainsi que les mesures que les entreprises peuvent prendre pour se protéger.
1. Bourrage d’identifiants : quand des mots de passe volés exposent des données sensibles
Imaginez un scénario dans lequel des cybercriminels utilisent des identifiants volés facilement accessibles pour accéder à des comptes utilisateurs sensibles. C’est la réalité du credential stuffing, une attaque courante menée par des bots qui exploite la pratique répandue de réutilisation des mots de passe. Selon F5 Labs, dans certaines organisations, plus de 80 % du trafic de connexion provient d’attaques de credential stuffing lancées par des bots. Le rapport souligne que, même avec un faible taux de réussite de 1 à 3 % par campagne d’attaque, le volume considérable de connexions automatisées se traduit par un nombre important de comptes compromis.
“Alors que les mesures de sécurité traditionnelles visent à prévenir les attaques malveillantes, les menaces automatisées passent inaperçues en imitant le comportement humain et en exploitant de manière inattendue les failles de la logique applicative.”
Des incidents tels que la violation de données de PayPal en 2022, au cours de laquelle près de 35 000 comptes utilisateurs ont été consultés, exposant ainsi des informations personnelles à forte valeur marchande, fournissent d’immenses bases de données de noms d’utilisateur et de mots de passe pouvant être exploitées à des fins malveillantes sur d’autres services en ligne. Comme de nombreuses personnes réutilisent leurs mots de passe, même un faible taux de réussite peut produire des résultats considérables. Ces informations peuvent ensuite servir à effectuer des transactions frauduleuses ou à voler des données, ou être vendues sur le dark web en vue d’attaques ciblées.
Ces dernières années, plusieurs marques connues ont signalé des attaques par bourrage d’identifiants. Le déclin de l’entreprise de tests génétiques 23andMe a été attribué, en partie, à une campagne de bourrage d’identifiants qui a exposé les données de santé et d’ascendance de ses clients. Ces données ont été mises en vente sur le dark web au prix de 1 000 $ pour 100 profils, et jusqu’à 100 000 $ pour 100 000 profils.
L’entreprise a principalement mis en cause le faible taux d’adoption, par les clients, de l’option d’authentification multifacteur (MFA) du site. Mais en réalité, le caractère insidieux du bourrage d’identifiants réside dans sa capacité à contourner les mesures de sécurité traditionnelles. Comme les bots utilisent des identifiants légitimes et ne cherchent pas à exploiter de vulnérabilités, ils ne déclenchent pas les alertes habituelles. La MFA peut être utile, mais avec l’essor des proxys de phishing en temps réel (RTPP), elle n’est pas infaillible. Les organisations doivent mettre en œuvre des solutions intelligentes de détection des bots qui analysent les schémas de connexion, les empreintes numériques des appareils et les anomalies comportementales afin de comprendre ce qui se passe réellement.
2. Le secteur de l’hôtellerie pris d’assaut : les bots ciblant les cartes-cadeaux et l’essor du « carding »
Alors que les secteurs de la finance et du commerce de détail sont souvent considérés comme des cibles privilégiées des cyberattaques, les recherches de F5 Labs ont montré que le secteur de l’hôtellerie-restauration est fortement visé par l’activité de bots malveillants. En particulier, les bots de « carding » et ceux ciblant les cartes-cadeaux s’attaquent aux sites web et aux API du secteur, certaines organisations ayant enregistré une hausse de 300 % de l’activité de bots malveillants par rapport à l’année dernière. Le rapport souligne également que la valeur moyenne des cartes-cadeaux ciblées par les bots est en augmentation.
Le carding utilise des bots pour valider des numéros de carte bancaire volés en les testant rapidement sur des pages de paiement et des API. Les bots ciblant les cartes-cadeaux exploitent les programmes de fidélité et les systèmes de cartes-cadeaux. Les attaquants les utilisent pour consulter les soldes, transférer des points ou utiliser frauduleusement des récompenses. Ces bots ciblent souvent des vulnérabilités telles que des modèles simples et des identifiants de cartes-cadeaux séquentiels.
La vulnérabilité du secteur de l’hôtellerie tient au fait que les points de fidélité et les cartes-cadeaux constituent en réalité une monnaie numérique. Les cybercriminels peuvent facilement convertir ces actifs en espèces ou les utiliser pour acheter des biens et des services.
Pour se protéger, les entreprises du secteur de l’hôtellerie-restauration doivent mettre en œuvre de solides stratégies de détection et d’atténuation des bots, spécifiquement adaptées à ce type de menaces. Cela implique notamment de surveiller l’activité liée aux cartes-cadeaux, d’analyser les schémas de transaction et de déployer des solutions capables de distinguer les humains des bots. Les CAPTCHA, autrefois la solution de référence pour bloquer les bots, sont facilement contournés par leurs opérateurs depuis des années, comme nous allons le voir.
3. Contourner les gardiens : les proxys résidentiels et l’inutilité des CAPTCHA
Les défenses traditionnelles contre les bots, telles que les CAPTCHA et le blocage des adresses IP, ne parviennent plus à contrer des tactiques de contournement toujours plus sophistiquées. Les opérateurs de bots peuvent facilement externaliser la résolution des CAPTCHA auprès de fermes à clics, où des personnes sont rémunérées quelques centimes pour résoudre des défis à la demande.
En outre, l’essor des réseaux de proxys résidentiels constitue un facteur important. Ces réseaux acheminent le trafic des bots par l’intermédiaire d’adresses IP résidentielles via des appareils compromis, masquant ainsi les véritables adresses IP des bots. Le rapport de F5 Labs indique que les proxys résidentiels sont désormais largement utilisés par les opérateurs de bots et que la majorité du trafic des bots semble aujourd’hui provenir de ces réseaux.
Le fournisseur de solutions de gestion des identités Okta a souligné le rôle de la grande disponibilité des services de proxy résidentiel dans la recrudescence des attaques par bourrage d’identifiants visant ses utilisateurs l’année dernière. L’entreprise a indiqué que des millions de requêtes frauduleuses avaient transité par des proxys résidentiels afin de donner l’impression qu’elles provenaient des appareils mobiles et des navigateurs d’utilisateurs ordinaires, plutôt que des plages d’adresses IP de fournisseurs de serveurs privés virtuels (VPS).
Pour lutter efficacement contre ces techniques avancées de contournement, les organisations doivent aller au-delà des défenses traditionnelles et adopter des solutions intelligentes de détection des bots. Ces solutions s’appuient sur l’apprentissage automatique et l’analyse comportementale pour identifier les bots en fonction de leurs caractéristiques propres. En privilégiant l’analyse des comportements humains plutôt que les adresses IP ou les CAPTCHA, les organisations peuvent détecter et bloquer plus précisément les attaques sophistiquées menées par des bots.
Naviguer dans le paysage des risques : trouver le juste équilibre pour votre défense contre les bots
En définitive, le niveau de protection contre les bots mis en place par une organisation dépend de son appétence au risque. Chaque entreprise doit évaluer les coûts et les avantages potentiels des différentes stratégies d’atténuation et déterminer le niveau de risque qu’elle est prête à accepter.
Éliminer complètement tout le trafic généré par des bots n’est peut-être ni réalisable, ni même souhaitable, car certaines activités automatisées sont légitimes et bénéfiques. Toutefois, ne pas lutter contre l’activité des bots malveillants peut entraîner d’importantes pertes financières, nuire à la réputation de l’entreprise et susciter la frustration des clients.
L’essentiel est de trouver le juste équilibre. En comprenant les différents types de bots qui ciblent votre organisation, en évaluant l’impact potentiel de leurs activités et en mettant en œuvre des mesures de détection et d’atténuation appropriées, vous pouvez gérer efficacement les risques liés aux bots et protéger votre entreprise — ainsi que vos clients — contre les menaces persistantes avancées qu’ils représentent.
Pour en savoir plus, consultez le rapport complet ici. Vous pouvez également consulter notre page web F5 Distributed Cloud Bot Defense.
À propos de l’auteur
Articles de blog associés
F5 NGINXaaS pour Google Cloud : des applications résilientes et évolutives
Découvrez comment NGINXaaS s’intègre à Google Cloud pour renforcer les performances et la sécurité, et préparer vos applications critiques à un avenir propulsé par l’IA.
L’intégration de F5 Web Application Firewall (WAF) à AWS est disponible dès aujourd’hui
En faisant appel à un partenaire de déploiement AWS WAF tel que F5, vous pouvez renforcer la sécurité de vos applications web grâce à des règles personnalisées qui bloquent les schémas d’attaque courants, comme les injections SQL ou les attaques par scripts intersites (XSS).
Appliquer le principe de Peter Parker à l’inspection TLS
« Un grand pouvoir implique de grandes responsabilités. » Si l’on en trouve des échos chez Voltaire et Churchill, cette citation est surtout connue grâce aux bandes dessinées Spider-Man, où elle est attribuée à l’oncle Ben. Bien entendu, si cette phrase est si répandue dans la culture populaire, c’est notamment parce qu’elle peut s’appliquer à une multitude de situations et de sujets, y compris à l’inspection TLS.
Le NetOps a besoin de défenseurs, pas d’adversaires
Il est important de reconnaître que les équipes NetOps ne sont pas toujours celles qui font obstacle au déploiement de la dernière nouveauté, application ou service. Les freins à la rapidité sont souvent dus au fait que les organisations n’adoptent pas tous les principes du DevOps lorsqu’elles cherchent à transformer leurs opérations informatiques.
Mise à jour des services applicatifs : sécurité, rapidité et visiteurs suspects
Il est de nouveau temps de nous pencher sur les services applicatifs que les entreprises utilisent réellement pour rendre leurs applications plus rapides et plus sûres. On constate notamment une hausse du recours aux services de protection contre les bots, ainsi que la progression lente mais régulière de HTTP/2. Bien qu’il ne s’agisse pas d’une application…
Les templates prennent le contrôle du cloud
Les modèles s’imposent dans le cloud. Lisez le blog de F5 pour découvrir comment l’infrastructure en tant que code et les API déclaratives automatisent la mise à disposition des applications.