Il est dorénavant admis que le trafic sur le Web est majoritairement constitué de bots, bien qu’ils ne soient pas tous malveillants. Pourtant, il arrive que l’activité liée à ces robots soit, à certaines occasions, estimée à près de 90 % du trafic d’un site de petites annonces.

Depuis l’explosion du secteur des petites annonces en ligne, les robots malveillants n’ont cessé de proliférer. Le montant total des dépenses publicitaires sur ce marché a franchi à lui seul la barre des 4 milliards de dollars aux États-Unis en 2019, avec une croissance annuelle de 4,2 %.

Analysons les cinq manières les plus courantes par lesquelles des robots illicites sont susceptibles d’attaquer ou de nuire à un site d’annonces. Nous nous pencherons également sur les mesures efficaces qui peuvent être prises pour contrer ce type de cybercriminalité.

Ce type d’attaque consiste à dérober des données d’identification telles que des noms d’utilisateur, mots de passe, etc. pour tenter de se connecter à d’autres sites. Ces informations d’identification sont généralement obtenues par le biais de vols massifs de données, lesquelles sont ensuite publiées ou revendues. Les robots accroissent l’efficacité de ces attaques par usurpation d’identité en cachant les tentatives de connexion de sorte qu’elles semblent provenir de plusieurs adresses IP distinctes.

Source: OWASP

Le site LaFourchette (appartenant à TripAdvisor) a ainsi vu des pics de trafic intermittents se manifester en dehors de toute hausse d’activité normale, par exemple durant les périodes des fêtes de fin d’année. L’entreprise savait qu’il s’agissait d’une tentative de piratage de sa base de données par des robots malveillants, l’objectif étant d’accéder à des informations sensibles telles que des numéros de carte de crédit.

Pour résoudre le problème, LaFourchette a mis en place la solution de DataDome afin de :

• Bloquer tous les bots identifiés comme malveillants pour garantir la qualité du trafic.
• Établir des partenariats avec un user agent spécifique pour créer une liste d’autorisation d’accès.
• Comparer chaque visite de son site Web avec une gigantesque base de données de modèles.
• Identifier et bloquer rapidement les robots malveillants grâce à l’intelligence artificielle et le machine learning.
• Le résultat final est une réduction totale du volume d’attaques par usurpation d’identité.

Cette technique qui consiste à extraire massivement les contenus de sites Web par le biais de robots a pour but de détourner les listes générées par les sites de petites annonces. Des entreprises peu scrupuleuses peuvent ensuite ajouter les listes ainsi dérobées à leurs propres sites Web, en passant outre le consentement de l’utilisateur. Le portail de petites annonces de la victime perd alors une partie de ses visiteurs authentiques, d’où une diminution de sa valeur de marque et de ses flux de revenus.

Source: OWASP

À titre d’exemple, le site Pagesjaunes.fr savait qu’une part importante du trafic de son site provenait de robots, et la société était exposée à un risque élevé de ce type d’attaques par « data scraping ». Elle avait, par le passé, mis en œuvre des moyens de surveillance et de protection au niveau de son infrastructure afin de contrer les attaques via les adresses IP uniquement. Or, ces méthodes, pour la plupart manuelles, n’étaient guère sophistiquées et entraînaient une utilisation excessive de ressources humaines.

Suite à la mise en place de DataDome, le scraping est désormais totalement bloqué sur le site Pagesjaunes.fr. Les tentatives sont automatiquement identifiées et cartographiées sur un tableau de bord, ce qui permet à la société de mesurer l’activité des robots en temps réel. De plus, l’automatisation permet d’assurer une protection 24 heures sur 24.

Les comptes et les formulaires des sites de petites annonces sont particulièrement visés par la création de faux comptes et la saturation des messageries, ou « spamming ». Le site de vente aux enchères Interencheres.com, par exemple, a ainsi détecté que des bots malveillants ciblaient un formulaire permettant aux utilisateurs de solliciter des estimations de prix pour leurs objets. Les bots illégitimes pouvaient alors générer jusqu’à 14 000 e-mails par jour, ce qui rendait tout bonnement impossible l’identification des demandes authentiques.

Source: OWASP

Ces attaques robotisées adressaient des incidents inutiles aux services de veille et consommaient une portion considérable de la bande passante réservée à la messagerie. L’entreprise avait bien tenté de filtrer manuellement les adresses IP hostiles et de les consigner dans des listes de blocage, mais elle a rapidement compris qu’une telle approche se révélerait insuffisante sur la durée.

Source: OWASP

Une fois la protection DataDome mise en place, les robots malveillants ont été rapidement identifiés et interceptés. Les souscripteurs du site Interencheres ont cessé de recevoir des courriers malveillants émis par des robots, et le trafic du site provient désormais uniquement de visiteurs légitimes.

Les sites d’enchères et d’appels d’offres en ligne sont eux aussi la cible d’attaques par des « snipers » et autres robots d’enchérissement artificiel qui soumettent des offres d’achat automatisées. La tactique employée par ces « snipers » consiste à soumettre une offre au tout dernier moment afin de remporter l’objet au prix le plus bas possible. Or, ce procédé perturbe le processus d’adjudication naturel, en entraînant une baisse de recettes pour les sociétés de vente aux enchères concernées.

Source: OWASP

Quant aux robots d’enchérissement artificiel, leur objectif est de permettre à des vendeurs malhonnêtes de gonfler frauduleusement le prix d’un article par le biais d’offres générées de manière automatique. Dès lors, les utilisateurs de bonne foi ont moins de chances d’acquérir les produits proposés à des prix raisonnables.

En détectant et en bloquant les activités de « sniping » et de « shilling », les solutions de protection avancée contre les robots malveillants préservent les processus de soumission légitimes sur les sites de petites annonces reposant sur des enchères.

Pour n’importe quel site de petites annonces, il est indispensable de disposer d’un moyen rapide, efficace et fiable de garantir une bonne expérience utilisateur. Aujourd’hui, le volume généré par l’activité des robots malveillants a pris des proportions énormes, qui peuvent nuire aux performances des sites Web et consommer inutilement des ressources humaines précieuses.

Les études menées montrent par exemple que les attaques de robots par force brute peuvent générer jusqu’à 30 000 requêtes malveillantes en l’espace de 10 minutes. Outre le fait d’exposer les données des comptes à des risques considérables, ce type d’activité ralentit les performances des sites et augmente les coûts de maintenance et d’hébergement.

Les sites Rue du Commerce et LaFourchette en ont fait la douloureuse expérience avec des pics de trafic spectaculaires résultant d’attaques robotisées illicites. Une fois la protection DataDome activée, le trafic Web anormal a été presque totalement éliminé. Dans le cas de Rue du Commerce, la consommation de la bande passante a pu être réduite dans une proportion de 30 à 40 %.

Les bots malveillants qui ciblent les sites de petites annonces peuvent engendrer des atteintes graves à la protection des données, une chute des performances, un gaspillage des ressources techniques et une baisse des flux de revenus. Avec la solution de bot protection de DataDome, les sites de petites annonces bénéficient d’un niveau de protection maximal, activable en seulement quelques minutes. Au lieu de se préoccuper des robots, les entreprises retrouvent ainsi la liberté de se consacrer pleinement à leur cœur de métier.