Tendances terrifiantes dans le paysage des cybermenaces en 2024

Le paysage de la cybersécurité, déjà inquiétant en 2023, est devenu encore plus redoutable en 2024, les attaquants exploitant un nombre croissant de proxys, d’adresses IP résidentielles et d’outils d’IA pour mener leurs attaques. Voici les quatre tendances les plus effrayantes en matière de cybermenaces en 2024 :

• Menaces basiques mais omniprésentes : des attaques simples, comme les attaques DDoS et le scraping, continuent de menacer les entreprises à l’échelle mondiale, comme en témoignent les attaques bloquées cette année par DataDome. De plus, notre rapport mondial sur la sécurité des bots a révélé qu’environ deux tiers des entreprises ne sont pas protégées contre les bots les plus basiques.
• Détecter l’indétectable : les bots poursuivent leur évolution et, cette année, les frameworks de navigateurs anti-détection se sont illustrés, ou plutôt, ont appris à rester dans l’ombre.
• Attaques automatiques et alimentées par l’IA : 2024 est l’année de l’intégration des outils d’IA générative dans le cyberespace, avec l’apparition de nouveaux types d’attaques par bots, de fraudes amplifiées et de solutions automatisées de contournement de CAPTCHA.
• Commerce compromis : avec les pure players de l’e-commerce parmi les trois secteurs les moins bien protégés contre les bots selon notre Bot Security Report, la période des fêtes représente un risque élevé tant pour les entreprises que pour les consommateurs.

1. Menaces basiques omniprésentes

Les cybercriminels persistent dans les attaques simples

Les attaques basiques sont toujours omniprésentes, même si les bots deviennent de plus en plus sophistiqués et évolutifs. Selon notre rapport mondial sur la sécurité des bots en 2024, près de deux entreprises sur trois dans le monde sont vulnérables aux attaques des bots les plus simples. Quant aux attaques menées par des bots avancés, moins de 5 % des entreprises sont en mesure de protéger efficacement leurs données et celles de leurs clients.

Cette année, nous avons bloqué des milliards de requêtes malveillantes, parmi lesquelles :

• des attaques DDoS visant un site d’actualités américain ainsi qu’une plateforme d’e-learning ;
• des attaques de credential stuffing ciblant l’application mobile d’une grande chaîne de supermarchés, un site de cashback et une grande plateforme de jeux en Asie ;
• des attaques de création de faux comptes visant une plateforme de billetterie en Europe ;
• des attaques de scraping ciblant un site de mode de luxe américain.

Et ce n’est que le début…

2. Détecter l’indétectable

Comment traquer un (cyber)fantôme ?

La détection des bots est cruciale pour lutter efficacement contre les cyberattaques : il s’agit de repérer le trafic automatisé, peu importe les techniques de camouflage employées. La course entre les développeurs de bots et les spécialistes de l’atténuation continue depuis des années, et en 2024, les bots sont devenus encore plus habiles à masquer leur présence.

Cette année, la version Headless de Chrome a été mise à jour pour offrir une empreinte quasi identique à celle de la version « headful » utilisée par les utilisateurs réels, ce qui rend beaucoup plus difficile la distinction entre les sessions Headless (souvent automatisées) et les sessions classiques. En réponse à cette mise à jour, les spécialistes de la détection de bots ont commencé à utiliser le CDP (Chrome DevTools Protocol) pour repérer les sessions Headless. Mais les développeurs de bots ont rapidement trouvé des méthodes pour contourner cette détection.

Les frameworks anti-détection se multiplient et s’améliorent, intégrant des techniques anti-CDP qui les rendent encore plus difficiles à bloquer. Ces navigateurs se distinguent notamment par la randomisation des empreintes numériques, qui leur permet d’échapper aux défenses de base.

Chez DataDome, nous restons en avance sur les navigateurs anti-détection tout en surveillant activement les prochaines évolutions des bots — pour les devancer également.

3. Attaques automatisées et intelligentes

Comment les outils d’IA générative ont multiplié les options des fraudeurs

Les outils d’IA générative (genAI) ont ouvert de nouvelles possibilités aux fraudeurs de plusieurs façons :

1. En favorisant l’injection de prompts

L’interaction de base avec les outils d’IA générative consiste pour un utilisateur à fournir un prompt auquel l’outil répond, selon des paramètres définis par ses concepteurs. Toutefois, la technique d’injection de prompt dans les LLM (grands modèles de langage) consiste à manipuler ces modèles avec des entrées spécifiquement conçues pour leur faire ignorer leurs instructions initiales ou générer des réponses non souhaitées. Cette méthode exploite les capacités des LLM en traitement du langage naturel pour produire des réponses orientées vers les objectifs des attaquants.

L’injection de prompt peut conduire à la manipulation des sorties de l’IA, engendrer des risques de sécurité, de la désinformation, des perturbations opérationnelles, et entraîner une perte de confiance de l’utilisateur ainsi que des conséquences financières.

2. En permettant des attaques de « Denial of Wallet »

Chaque réponse générée par un outil d’IA implique un coût, notamment en termes de ressources serveur ou de consommation d’énergie. Les entreprises souhaitent donc réserver leur puissance informatique aux utilisateurs réels.

Les attaques de Denial of Wallet (DoW) exploitent ce principe en envoyant des milliers de requêtes automatisées à un outil d’IA générative, saturant le système avec un minimum d’effort pour l’attaquant. Certaines attaques DoW sont encore plus furtives, adoptant une approche « low and slow » (lente et progressive), qui imite les attaques DDoS et peut passer inaperçue sans outils de détection de bots. Ces attaques, si elles ne sont pas détectées, peuvent générer des pertes financières importantes et perturber le service d’IA de façon prolongée.

3. En étendant les services de fermes à CAPTCHA

Grâce aux avancées en IA, les fermes à CAPTCHA ont connu une croissance rapide. Traditionnellement, ces fermes reposaient sur des travailleurs humains dans des pays en développement pour résoudre des défis au nom des bots. Mais avec les progrès récents de l’IA en reconnaissance audio et d’image, les services de fermes à CAPTCHA ont pu baisser les coûts et accélérer la résolution.

En 2018, résoudre 1 000 défis reCAPTCHA v2 coûtait environ 3 $, avec un temps moyen de 45 secondes par défi. Aujourd’hui, grâce aux technologies de reconnaissance basées sur l’IA, le coût de résolution pour 1 000 défis est descendu à 0,80 $, avec un temps de résolution cinq fois plus court.

En résumé, les outils d’IA générative ont démultiplié les possibilités des fraudeurs en facilitant l’injection de prompts, en permettant les attaques de Denial of Wallet et en rendant les fermes de CAPTCHA plus accessibles et rapides.

4. Commerce compromis

Le e-commerce : une cible de choix pour les attaques de bots

Les pure players du e-commerce opèrent exclusivement en ligne et n’ont pas de magasins physiques. On pourrait penser qu’ils investissent massivement dans des solutions de protection contre les bots, n’est-ce pas ?

Pourtant, notre rapport mondial sur la sécurité des bots 2024 a révélé une réalité surprenante : le secteur du e-commerce figure parmi les trois secteurs les moins bien protégés contre les attaques de bots. Le rapport a examiné la protection de plus de 14 000 entreprises face aux types de bots les plus basiques, et plus de 65 % des pure players du e-commerce étaient totalement non protégés. C’est un risque énorme pour une industrie qui dépend uniquement de ses revenus en ligne : les bots peuvent librement y réaliser des fraudes aux comptes, des fraudes au paiement, des attaques DDoS, du scraping et même des pratiques de scalping.

Protégez votre entreprise contre ces menaces croissantes

Chaque année, le niveau de sophistication des attaques de bots monte d’un cran. Les attaquants utilisent de nouvelles technologies et techniques pour commettre des fraudes, contournant aisément les protections conçues pour les menaces d’années passées.

Ne laissez pas votre entreprise devenir une cible facile. Notre outil BotTester vous permet d’obtenir un aperçu des bots les plus basiques qui accèdent à vos sites, applications ou API. Si vous souhaitez savoir comment DataDome peut protéger votre entreprise dans un paysage de menaces toujours plus redoutable, réservez une démo dès aujourd’hui.