Les bots automatisés ont représenté 51 % du trafic internet mondial en 2024, dépassant pour la première fois l’activité humaine en ligne depuis une décennie, selon le rapport 2025 Imperva Bad Bot publié par Thales. Le document met en lumière la montée en puissance de l’intelligence artificielle générative dans la création et le déploiement de bots malveillants à grande échelle.
La 12e édition de cette étude annuelle révèle que la démocratisation des outils d’IA a considérablement réduit les obstacles à l’entrée pour les cybercriminels. Les attaquants s’appuient désormais sur des plateformes de type Bots-as-a-Service (BaaS) et des outils d’IA avancés pour intensifier et adapter leurs attaques. Les bots malveillants ont représenté à eux seuls 37 % du trafic internet en 2024, contre 32 % en 2023, marquant une croissance continue pour la sixième année consécutive.
Les secteurs fortement dépendants des API et de l’infrastructure numérique sont les plus touchés. Les attaques ciblant les API ont représenté 44 % du trafic généré par les bots avancés. Les secteurs du voyage et du commerce de détail ont enregistré les taux de trafic de bots les plus élevés, avec respectivement 41 % et 59 % de leur trafic total. Le secteur du voyage est devenu en 2024 la cible la plus attaquée, concentrant 27 % des attaques par bots dans le monde.
Le rapport observe également un changement dans les tactiques des bots. Dans le secteur du voyage, la part des bots avancés est passée de 61 % à 41 %, tandis que les attaques par bots simples ont bondi de 34 % à 52 %. Cette évolution traduit l’impact des outils d’automatisation assistée par IA, qui permettent à des acteurs peu qualifiés de mener des attaques massives.
Des bots basés sur l’IA comme ByteSpider Bot, AppleBot, ClaudeBot et ChatGPT User Bot ont été identifiés comme des contributeurs majeurs à cette tendance. ByteSpider Bot est responsable de 54 % des attaques assistées par IA recensées par l’équipe Imperva Threat Research.
Le rapport souligne également que les attaquants ciblent la logique métier des API pour mener des fraudes de paiement, des détournements de comptes et des exfiltrations de données. Ces menaces sont particulièrement critiques pour les secteurs dépendants des API, comme les services financiers, la santé et le commerce électronique.
En 2024, les services financiers ont été le secteur le plus visé par les attaques de type prise de contrôle de comptes (ATO), représentant 22 % des incidents à l’échelle mondiale, devant les télécoms et les technologies de l’information. La forte densité de données sensibles et l’adoption généralisée des API expliquent en grande partie cette vulnérabilité.
Les conclusions du rapport reposent sur l’analyse de 13 000 milliards de requêtes de bots bloquées en 2024 sur des milliers de domaines et d’industries. L’étude vise à informer les entreprises des nouvelles menaces et de l’influence croissante de l’IA dans les stratégies d’attaques.