DataDome mesure une hausse de 124 % des bots malveillants

Hausse mesurée DataDome a observé une progression de 124 % de l’activité des bots malveillants entre juillet 2025 et juin 2026. Le trafic humain a augmenté de 13,2 % sur la même période. Le trafic des agents IA et des robots d’exploration de grands modèles de langage a progressé de 82,3 %. Ces chiffres proviennent du rapport 2026 sur la sécurité des bots et des agents de DataDome. L’entreprise a analysé des milliers de milliards de requêtes. L’échantillon couvre plus de 75 000 sites clients sur douze mois. Les bots et agents IA représentaient environ 26,5 % du trafic total observé. Lire l’analyse de Help Net Security.

Scraping dominant Le scraping constituait 70,9 % du trafic de bots malveillants étudié. Les campagnes de scalping, de spam et de déni de service distribué ont également progressé. Le credential stuffing est resté stable sur l’année. Son activité a toutefois connu des baisses et des reprises marquées. Les attaquants lançaient des volumes élevés, puis se retiraient pour renouveler leurs listes d’identifiants. Ils faisaient ensuite tourner leur infrastructure avant de revenir à pleine échelle. Les outils de scraping disponibles et la demande de données à grande échelle soutiennent ces campagnes. Les bots simples formaient la plus grande catégorie dans un échantillon de trente jours.

DataDome détaille les techniques automatisées

Automatisation graduée Les bots simples servent notamment au balayage, à la reconnaissance et aux attaques contre des cibles moins protégées. Les bots de complexité moyenne interviennent dans le scraping, la création de faux comptes et le test d’identifiants. Ils utilisent des outils d’automatisation de navigateur. Ces outils reproduisent une partie d’une session de navigation légitime. Des opérateurs combinent parfois les deux approches. Ils commencent avec une automatisation basique, puis activent une simulation plus convaincante du navigateur. Les signaux exécutés côté navigateur ne couvrent pas toutes les requêtes. Les attaquants peuvent les masquer ou les imiter. Les appels vers des API et des services côté serveur peuvent aussi les éviter.

Accès sensibles ciblés Le trafic mensuel des bots IA vers les pages de connexion a été multiplié par plus de huit durant le premier semestre 2026. Ces agents peuvent vérifier une commande, récupérer des informations de compte ou assister un achat. Les pages de connexion attirent aussi les tests de noms d’utilisateur et de mots de passe volés. Les paniers peuvent servir à réserver des stocks ou exploiter des promotions. Les pages de paiement attirent les outils de test de cartes. Les formulaires restent exposés au spam, aux faux prospects et à la collecte automatisée. Jerome Segura, vice-président de la recherche sur les menaces chez DataDome, appelle à distinguer les usages légitimes des abus automatisés. Voir le profil de Jerome Segura.

65,3 % des sites échouent

Détection insuffisante Environ 65,3 % des sites populaires testés n’ont détecté aucun des dix bots simulés. Seulement 2,4 % ont bloqué ou soumis à un contrôle chaque type de bot. Les tests couvraient des scripts simples et des bots imitant des services d’IA reconnus. Ils incluaient aussi des empreintes de navigateur falsifiées et des navigateurs réels automatisés. Les requêtes provenaient d’adresses Internet résidentielles situées aux États-Unis, au Canada et en France. L’étude portait sur les pages d’accueil de 21 491 sites populaires. Le volume de trafic n’indiquait pas un meilleur niveau de protection. Les sites très fréquentés obtenaient des résultats similaires aux sites moins visités. Pour aller plus loin, consultez notre guide sur déployer un chatbot IA pour le service client.