Comment DataDome a arrêté une ferme de CAPTCHA à l’origine de 18,8 millions de tentatives de scalping de billets

Le 27 juin 2026, DataDome a détecté et bloqué une campagne de scalping à grande échelle qui visait une plateforme de billetterie en ligne distribuant des billets pour des événements sportifs.

Cette attaque n’a jamais cherché à saturer la plateforme avec un trafic massif. Elle a plutôt ciblé le point de terminaison d’ajout au panier, que la plateforme protège avec un défi interactif à curseur que chaque utilisateur doit compléter avant de réserver des places. Une fonctionnalité DataDome que les clients peuvent configurer sur différentes parties de leur site web. Cette plateforme de billetterie a choisi d’activer le curseur pour tout le trafic de paiement.

L’opération de scalping a généré 18,8 millions de tentatives de contournement du curseur en environ 24 heures, toutes bloquées avant qu’un seul billet n’atterrisse entre les mains des scalpers.

Derrière ce volume se trouvait un botnet dispersé à l’échelle mondiale, composé de 3,2 millions d’adresses IP couvrant plus de 22 000 systèmes autonomes, acheminé via des proxys résidentiels et mobiles pour imiter le trafic d’acheteurs réels. L’opération était spécialement conçue : une ferme à CAPTCHA mise au point spécifiquement pour contourner le curseur à grande échelle, s’appuyant sur un débit brut de résolution des défis plutôt que sur la force brute.

Ci-dessous, l’équipe de recherche sur les menaces Galileo de DataDome analyse l’infrastructure de l’attaque, le profil de l’adversaire et les signaux de détection derrière cette campagne.

Indicateurs clés de l’attaque de scalping

Chronologie et rythme de l’attaque

L’activité offensive s’est étendue sur environ 24 heures, mais s’est concentrée en quatre pics distincts totalisant environ six heures de pression soutenue. Chaque pic coïncidait avec la mise à disposition de billets sur le point de terminaison « Ajouter au panier ».

Cette cadence en quatre pics constitue en soi une signature tactique. La première vague fut de loin la plus intense, avec entre 750 000 et 900 000 tentatives de passage du slider toutes les 10 minutes, l’opérateur ayant mobilisé toute sa capacité de résolution de défis lors de la première mise en ligne de billets.

Les trois vagues suivantes se sont installées dans un rythme plus bas mais toujours substantiel d’environ 200 000 à 300 000 tentatives de passage de curseur toutes les 10 minutes, entre ces pics, l’opérateur restait inactif pour permettre la réinitialisation des compteurs de limitation de débit cumulés, tout en faisant tourner son pool de 3,2 millions d’adresses IP.

Même cette cadence réduite représente un débit de résolution de défis que peu de fermes peuvent soutenir. 

DataDome a bloqué la campagne vague après vague, arrêtant chaque tentative de passage de curseur avant qu’elle ne puisse sécuriser l’inventaire, tout en gardant le paiement disponible pour les acheteurs authentiques tout au long de la fenêtre de 24 heures.

Nombre de tentatives de dépassement du curseur bloquées par le moteur de détection de DataDome pendant l’attaque

Infrastructure

Le botnet couvrait 3,2 millions d’adresses IP uniques à travers 22 171 systèmes autonomes, une empreinte exceptionnellement fragmentée qui rend le blocage basé sur les IP inefficace par nature. L’infrastructure de cette campagne montre que les principaux contributeurs sont les plus grands FAI grand public des États-Unis.

• Comcast Cable Communication: 15,48%
• Verizon Business: 7,62%
• Charter Communication: 7,25%
• T-Mobile USA: 4,11%
• AT&T: 4%

Comcast, Verizon, Charter, T-Mobile et AT&T ne sont pas des fournisseurs d’hébergement. Ce sont les réseaux résidentiels et mobiles auxquels se connectent les véritables acheteurs de billets. Leur prédominance, associée au marqueur de proxy Geonode, est la signature d’un réseau de proxys résidentiels/mobiles : l’opérateur achemine son trafic automatisé via de véritables appareils grand public et un espace IP authentique, de sorte que chaque requête provienne précisément du type d’adresse auquel s’attend une plateforme de billetterie lors d’une mise en vente très demandée.

Sur le plan géographique, le trafic est ancré aux États-Unis, puis se répartit de manière clairsemée en Amérique du Sud, en Afrique, en Europe, ainsi que dans certaines poches d’Australie et d’Asie du Sud. Cette répartition diffuse correspond à l’empreinte d’un vaste pool de proxys commerciaux, et non à une opération régionale ciblée. Les géolocalisations improbables et la mauvaise réputation des adresses IP révèlent les failles de cette infrastructure par ailleurs bien camouflée.

Profil et sophistication de l’adversaire

Nous évaluons chaque campagne sur cinq dimensions de capacité de l’attaquant, chacune notée sur 10.

• Discrétion : à quel point chaque source individuelle est invisible, jugée par son rythme de requête. Un faible débit par adresse IP, semblable à celui d’un humain et restant en dessous des limites de débit, obtient un score élevé.
• Distribution : à quel point le trafic est réparti sur les systèmes autonomes (réseaux), ce qui détermine l’inefficacité du blocage au niveau du réseau.
• Échelle : la taille brute du botnet, mesurée par le nombre d’adresses IP uniques en jeu.
• Évasion : à quel point l’acteur est sophistiqué pour se faire passer pour un navigateur légitime et déjouer la détection, depuis la falsification élémentaire d’en-têtes jusqu’à l’automatisation complète côté client et la résolution de défis.
• Adaptabilité : à quel point l’acteur varie et fait tourner ses empreintes digitales, ses sessions et son infrastructure en cours d’attaque pour éviter d’être capturé.

Évaluée selon ces cinq dimensions, cette campagne révèle une opération de scalping hautement capable, spécialement conçue et dotée d’une spécialisation claire.

L’acteur exploite un botnet massif et dispersé à l’échelle mondiale : 3,2 millions d’adresses IP distinctes à travers plus de 22 000 systèmes autonomes placent la distribution et l’échelle au sommet de la fourchette.

Le niveau de furtivité est élevé. Avec des millions de sources se partageant un budget de requêtes modeste par nœud, chaque adresse IP individuelle n’effectue en moyenne qu’environ 6 tentatives de passage par heure, ce qui est bien inférieur à toute limite de débit plausible par source et impossible à distinguer d’un acheteur actualisant occasionnellement une page.

C’est en matière d’évasion que cet acteur se démarque d’un bot standard. Il atteint le niveau « expert ». Au-delà des en-têtes, cookies et paramètres d’URL falsifiés, ainsi que d’une empreinte côté serveur incohérente, l’opérateur met en œuvre une automatisation complète côté client avec l’exécution de code JavaScript falsifié, des empreintes client usurpées, des délais d’exécution manipulés et, plus révélateur encore, un système automatisé de résolution des défis. Cette dernière capacité est au cœur de la campagne : il s’agit d’une ferme de CAPTCHA spécialement conçue pour contourner le défi du curseur protégeant le processus d’ajout au panier.

Sa capacité d’adaptation est plus modeste. L’opérateur procède certes à une rotation, en s’appuyant sur des proxys mobiles/résidentiels (un comportement de niveau réactif) et sur une certaine variation de la séquence des sessions, mais il ne dispose pas de la rotation approfondie des appareils, du matériel et de l’environnement propre aux acteurs les plus adaptatifs. Sa stratégie est puissante mais largement standardisée : il l’emporte grâce à un débit de résolution de défis pur et simple plutôt qu’à une évasion dynamique et réactive.

Comment DataDome a détecté et arrêté l’attaque de scalping

La détection multicouche de DataDome, combinant l’empreinte digitale côté serveur et côté client, l’analyse comportementale et les renseignements sur les menaces, a identifié et neutralisé la campagne.

Réseau : les IP sources portent des scores de réputation négatifs accumulés à partir d’activités malveillantes antérieures à travers le réseau mondial de DataDome, et transitent par une infrastructure de proxys résidentiel et mobile dont les signaux de géolocalisation contredisent souvent l’origine revendiquée.

Côté serveur : les bots se présentent comme des navigateurs standard, mais leur empreinte digitale côté serveur est en désaccord, et les en-têtes HTTP, cookies et paramètres de requête montrent des signes de fabrication délibérée plutôt que de génération organique.

Côté client : c’est la couche la plus profonde de l’opération. Le trafic est piloté par l’automatisation du navigateur avec un changement d’identité du navigateur au sein des sessions, des timings d’exécution JavaScript improbables, des empreintes digitales client usurpées, des charges utiles JS forgées et, de manière décisive, une résolution de défis automatisée, soit l’arsenal d’une ferme de CAPTCHA construite pour passer le curseur à grande échelle.

Comportemental : les séquences de requêtes ressemblent peu à une navigation naturelle. C’est la signature synthétique d’une couche d’automatisation qui génère le flux de session plutôt que de le subir.

Protégez votre site web contre les attaques de scalping avec DataDome

Les attaques de scalping ne se contentent pas d’épuiser les stocks : elles confient le contrôle des prix aux marchés secondaires et érodent la confiance des fans et des clients que vous essayez de servir.

Cette campagne est révélatrice de la direction que prennent ces opérations : des fermes de CAPTCHA spécialement conçues, dotées d’une infrastructure de proxys résidentiels, conçues dès le départ pour contourner les mécanismes de friction spécifiques protégeant votre processus de paiement.

L’écart de sophistication entre les attaquants et les défenses traditionnelles se creuse. DataDome propose plusieurs solutions qui combattent le scalping de billets, y compris Bot Protect et Priority Protect—une salle d’attente virtuelle consciente de l’intention qui garantit que chaque place dans la file d’attente va à un vrai fan, pas à un bot. Réservez une démo pour en savoir plus.