Ancien officier de la CIA spécialisé dans les cyberopérations, j’étudie le trafic généré par les bots. Voici pourquoi il est plausible que plus de 80 % des comptes Twitter soient en réalité faux — et Twitter est loin d’être un cas isolé.

Dan Woods

À ce stade, vous avez probablement entendu parler du rachat qui bat de l’aile et de la bataille judiciaire qui se profile entre Twitter, une entreprise qui ne cherchait pas à être rachetée, et Elon Musk, qui a retiré son offre d’achat de l’entreprise.

Au cœur de ce conflit se trouve la question du trafic généré par les bots, un sujet que je connais assez bien. Depuis six ans, je dirige une équipe de data scientists qui analysent les interactions sur le Web afin d’identifier les bots, les applications qu’ils ciblent et leurs objectifs.

En moyenne, environ 2 milliards de transactions transitent chaque jour par l’infrastructure de défense contre les bots de F5, et nous avons informé des centaines d’entreprises dans presque tous les secteurs d’activité au sujet de leur trafic de bots.

Au vu de cette expérience, le trafic de bots sur Twitter est presque certainement bien plus important que ce que l’entreprise a déclaré publiquement, et même supérieur à ce qu’elle estime en interne. En toute honnêteté, c’est probablement le cas de toutes les organisations ciblées par des bots malveillants ou indésirables, mais qui n’utilisent pas les meilleures technologies du marché pour les éliminer.

Voici quelques-uns des enseignements que nous avons tirés sur les bots ces dernières années, et pourquoi il nous a été si facile d’en arriver à cette conclusion.

Les bots cherchent toujours à accomplir quelque chose.

Une organisation qui permet à ses clients de se connecter à des comptes en ligne verra des systèmes automatisés cibler son application de connexion pour tenter de commettre une forme de fraude. Une organisation qui propose des prix spéciaux en ligne verra des systèmes automatisés extraire les prix, les tarifs et les taux en vue de les revendre. Il existe des dizaines d’exemples de ce type.

Dans le cas de Twitter, l’une des principales motivations est de gagner des abonnés. Il existe une perception selon laquelle plus une personne a d’abonnés, plus ses tweets doivent être intéressants. De fait, les comptes qui comptent davantage d’abonnés ont tendance à exercer une plus grande influence.

C’est lorsque ce modèle vise à accroître l’influence qu’il peut devenir préoccupant. Imaginez l’influence que vous pourriez exercer en contrôlant de manière automatisée des millions de comptes Twitter qui interagissent avec les véritables comptes de personnalités publiques et de particuliers. Cela risque d’attirer des acteurs étatiques très déterminés disposant de ressources pratiquement illimitées.

S’il y a un intérêt et les moyens nécessaires, il y aura davantage de bots.

Non seulement l’incitation est forte sur Twitter, mais les moyens existent également. D’innombrables services sur Internet (notamment sur les places de marché du dark web et du deep web) proposent, moyennant paiement, des comptes Twitter, des abonnés, des mentions J’aime et des retweets.

À des fins de recherche, j’ai testé ces services sur un compte Twitter que j’avais créé. En poursuivant mes essais, et pour moins de 1 000 dollars, ce compte compte désormais près de 100 000 abonnés. Un jour, j’ai publié un tweet totalement incompréhensible et payé des abonnés pour qu’ils le retweetent. Ils l’ont fait. Ces comptes portent des noms comme TY19038461038 et suivent eux aussi de nombreux autres comptes.

Je me suis alors demandé s’il serait facile de créer un compte Twitter de manière automatisée. Je ne suis pas programmeur, mais j’ai fait des recherches sur les frameworks d’automatisation sur YouTube et Stack Overflow. En fait, c’est facile.

Pour pousser mes tests plus loin, j’ai écrit en un week-end un script qui crée automatiquement des comptes Twitter. Mon script, plutôt rudimentaire, n’a été bloqué par aucune contre-mesure. Je n’ai pas essayé de changer mon adresse IP ou mon agent utilisateur, ni fait quoi que ce soit pour dissimuler mes activités.

Si c’est aussi facile pour une personne aux compétences limitées, imaginez à quel point cela l’est pour une organisation composée de personnes hautement qualifiées et motivées.

Les entreprises sous-estiment souvent l’ampleur de leur problème de bots.

Il y a quelques années, un réseau social américain a déployé la solution de protection contre les bots de F5 et découvert que 99 % de son trafic de connexion était automatisé. Oui, vous avez bien lu : 99 %.

En fait, nous constatons que, sur de nombreuses applications, 80 à 99 % du trafic est automatisé. Ces résultats ne constituent pas un cas isolé : ils sont courants dans de nombreuses organisations (enseignes de distribution, établissements financiers, opérateurs de télécommunications et restaurants à service rapide, pour n’en citer que quelques-uns).

Cette nouvelle a bien sûr été dévastatrice pour l’entreprise. Ses responsables savaient qu’ils avaient un problème de bots, mais ils n’avaient jamais imaginé qu’il était aussi grave. Ils ont rapidement pris conscience des conséquences : seule une infime partie de leurs comptes clients appartenait à de véritables personnes. Tous les autres étaient des bots.

Pour les entreprises de réseaux sociaux, le nombre d’utilisateurs actifs quotidiens (DAU), qui ne représente qu’une partie de l’ensemble des comptes, joue un rôle majeur dans leur valorisation. La révélation que leur nombre de DAU ne représentait qu’une fraction de ce qu’elles pensaient a entraîné une forte baisse de leur valeur.

Les entreprises qui profitent des bots ne veulent pas toujours le savoir.

On pourrait soutenir qu’il aurait été préférable, pour les actionnaires de cette entreprise, que l’organisation ne découvre jamais la vérité et se contente d’affirmer que moins de 5 % de son trafic provenait de bots.

Cette pression ne s’exerce pas uniquement sur les réseaux sociaux dont la valorisation dépend du nombre d’utilisateurs actifs quotidiens (DAU). Elle concerne également les entreprises qui vendent des produits très demandés en quantité limitée, tels que des billets de concert, des baskets, des sacs à main de créateurs ou le prochain iPhone.

Lorsque ces produits sont épuisés en quelques minutes à cause de robots, avant d’être revendus sur le marché secondaire à des prix exorbitants, cela agace les clients. Mais l’entreprise écoule tout de même rapidement l’intégralité de son stock.

Dans ces cas-là, une entreprise peut vouloir donner l’impression qu’elle fait tout son possible pour bloquer les bots, alors qu’en réalité, elle ne fait pas grand-chose.

Le problème ne concerne pas seulement Twitter : les bots sont l’affaire de tous.

Lorsque je considère l’ampleur et la rapidité de l’automatisation que nous observons aujourd’hui, le degré de sophistication des bots qu’un ensemble donné d’incitations est susceptible d’attirer, ainsi que le manque relatif de contre-mesures que j’ai constaté dans mes propres recherches, je ne peux arriver qu’à une seule conclusion : selon toute vraisemblance, plus de 80 % des comptes Twitter sont en réalité des bots. Bien entendu, ce n’est que mon avis.

Je suis certain que Twitter, comme toute entreprise, s’efforce d’empêcher les automatisations indésirables sur sa plateforme. Mais l’entreprise doit probablement faire face à des systèmes d’automatisation très sophistiqués, mis en œuvre par des acteurs extrêmement motivés. Dans ces circonstances, la lutte contre les bots ne peut pas être menée avec des moyens de fortune. Elle nécessite des outils tout aussi sophistiqués.

Cependant, l’enjeu est ici bien plus important. Le problème des bots dépasse largement les recettes publicitaires, le cours des actions ou la valorisation d’une entreprise. Laisser ce problème perdurer menace les fondements mêmes de notre monde numérique.

Permettre aux bots de proliférer depuis n’importe où entraîne des fraudes massives qui coûtent des milliards. Cela détruit des vies et fournit aux États et aux organisations malveillantes des outils pour diffuser de fausses informations, créer des conflits et même influencer les processus politiques. Il en résulte davantage de fraudes, de désinformation et de conflits, ce qui nuit à notre capacité à communiquer et à nouer des relations les uns avec les autres dans le monde entier.

Si, en tant que société, nous voulons profiter de toutes les commodités, des connaissances, des divertissements et des autres avantages qu’offrent Internet et notre monde mobile et connecté, nous devons agir contre le trafic automatisé en ligne. La seule façon de lutter contre les bots est de recourir nous-mêmes à une automatisation extrêmement sophistiquée.

Par Dan Woods, responsable mondial du renseignement chez F5

À propos de l’auteur

Dan Woods

Autres articles de Dan Woods