Bots malveillants : les dangers pour votre site web

Certains bots, ou robots informatiques, sont dits malveillants car ils peuvent s’attaquer à votre site web. Généralement pilotés par des cybercriminels leur but est de causer un maximum de nuisance. Voici donc un tour d’horizon des robots dangereux les plus couramment rencontrés et des moyens de protection que vous pouvez installer pour protéger votre activité en ligne.

Qu’est-ce qu’un bot malveillant ?

Le mot « bot » est une abréviation du mot « robot », qui désigne un programme informatique automatisé permettant :

• d’effectuer des tâches répétitives
• de réaliser des actions beaucoup plus rapidement/précisément qu’un humain
• de simuler plus ou moins bien un comportement humain

Les bots sont généralement autonomes dans leur fonctionnement. Hormis en cas de bug, il n’ont besoin de personne en Harley-Davidson pour remplir leur mission. C’est notamment pour cette raison que près de 50% du trafic web mondial était généré par des robots en 2021 (selon le rapport 2022 de la société de cybersécurité Imperva). Autrement dit lorsqu’en en 2021 vous notiez une visite sur votre site grâce à Google Analytics, il y avait une chance sur deux pour qu’elle provienne en fait d’un robot.

Et parmi l’ensemble des bots en circulation sur le web on en trouve certains qui sont tout à fait légitimes et qui ont même une portée bénéfique pour votre site web. Comme par exemple les robots d’indexation de Google ou les chats présents sur certains sites (FAQ, gestion du SAV/support client). Mais dans leur grande majorité (près de 30% du trafic web mondial, selon Imperva) ce sont des bots malveillants, conçus pour accomplir diverses tâches nuisibles.

Les dangers des « bad bots » pour votre site web

Invasion de spams

Si votre site web possède un espace commentaire, un forum et/ou un formulaire, vous voyez sûrement de quoi il s’agit : ces messages quotidiens reçus par dizaines et partageant des liens vers des sites douteux.

La plupart du temps, les hackers les envoient en grande quantité pour tenter d’arnaquer des utilisateurs ou d’infecter leur machine en leur faisant télécharger à leur insu des malwares. C’est le même procédé que pour les spams envoyés par email. Mais ce type de bot peut aussi être utilisé dans d’autres buts. Par exemple pour :

• créer un grand nombre de backlinks pour essayer de tromper l’algorithme Google et augmenter le classement de leurs sites dans les résultats de recherche. Attention, cette technique SEO « black-hat » est assimilée à de la triche et pénalisée par Google.
• relayer en masse de fausses informations ou canulars

Les risques

Hormis le fait d’être agacé par ces indésirables et de perdre du temps à les supprimer manuellement, ces pratiques risquent surtout :

• d’entacher votre image de marque : les utilisateurs qui parcourent les commentaires de votre site et sont exposés à des liens dangereux n’apprécieront pas de voir leur machine infectée ou de s’être fait piéger en suivant un lien présent sur VOTRE site.
• un possible déclassement dans les résultats de recherche Google : l’algorithme considérant que vous faîtes volontairement la promotion, via votre espace commentaire, de sites frauduleux. De plus ces commentaires contiennent généralement des mots-clés qui n’ont aucun rapport avec votre contenu. Et cette non-pertinence peut aussi être sanctionnée par Google.
• une potentielle infection : en vous faisant vous même piéger par un email reçu via l’un de vos formulaire de contact

Vol de vos contenus

Il existe aussi des robots appelés « bots de scrapping ». Leur mission consiste à extraire automatiquement le contenu (textes, images, etc…) et les données (coordonnées d’une entreprise, adresses emails, etc…) présentes sur les sites web qu’ils visitent. Mais leurs objectifs peuvent être variés :

• boost du SEO de sites douteux
• copie intégrale de sites légitimes en vue d’une arnaque
• vol et revente de données sur le dark web
• etc…

Les risques

Concernant les contenus de votre site, les conséquences porteront surtout sur votre SEO. Car l’apparition de plusieurs contenus identiques sur le web complique la tâche des algorithmes des moteurs de recherche. C’est pourquoi Google sanctionne fortement le duplicate content.

Ainsi, même si vous êtes l’auteur originel du contenu jugé problématique par Google, votre site web sera sanctionné au même titre que celui du voleur (désindexation de la page concernée, déclassement dans les résultats de recherche, etc…). Par conséquent vous perdrez en visibilité et en trafic donc potentiellement en chiffre d’affaire. En plus de proposer une mauvaise expérience pour les utilisateurs, qui n’apprécieront pas de trouver exactement les mêmes infos sur deux sites différents.

Heureusement, si vous découvrez que quelqu’un vous a volé votre contenu, vous pouvez prendre les devants et déposer une réclamation auprès des services juridiques de Google pour faire supprimer la page incriminée.

Perturbation de vos ventes (e-commerce)

Si vous possédez une boutique en ligne sachez que les robots peuvent aussi être utilisés pour nuire à vos ventes. Parmi les méthodes les plus courantes on trouve :

• les attaques par déni de stock : où des bots vont placer un (dans le cas des éditions limitées) ou plusieurs produits de votre plateforme e-commerce dans leur panier sans passer à l’achat. Ceci afin que le produit soit considéré comme « en rupture de stock » et ne puisse être acheté par un utilisateur légitime.
• les bots de fraudes publicitaire : qui génèrent un maximum de clic sur les annonces publicitaires payantes au coût par clic, comme Google Ads par exemple. Le but étant de gonfler artificiellement le coût de l’annonce afin de générer des frais importants pour le propriétaire du site.
• les arnaques à la carte cadeau : qui consistent à envoyer une armée de bots scanner le registre des cartes cadeaux d’un site et à voler le solde des cartes cadeaux activées mais encore non-utilisées.

Les risques

Évidemment, on peut citer immédiatement la perte de revenu engendrée par un blocage de vos ventes ou l’augmentation spectaculaire de votre budget pub pour un faible retour sur investissement. Mais ces types bots peuvent aussi nuire à votre activité de manière sournoise. Par exemple :

• en vous faisant perdre en crédibilité auprès de vos utilisateurs qui se retrouvent dépouillés de leur carte cadeau
• en vous obligeant à débourser encore plus d’argent (remboursement des cartes cadeaux)
• ou simplement en vous noyant sous une marée de demandes de réclamations provenant des utilisateurs volés

Baisse de performances, paralysie totale ou piratage

Les bots peuvent aussi s’attaquer à votre site dans son ensemble et pour y parvenir ils ont plusieurs techniques. On peut par exemple citer :

• les attaques DDoS (déni de service distribué) : provenant généralement de botnets qui génèrent un trafic gigantesque sur un site afin de causer de graves ralentissements voire de le mettre hors service
• les bots qui scannent les vulnérabilités de votre site : et qui envoient le rapport aux hackers afin qu’ils puissent exploiter les failles de sécurité identifiées

Les risques

Dans l’éventualité d’une attaque de bots visant votre site web les conséquences peuvent être diverses :

• demande de paiement pour faire cesser l’attaque : souvent dans le cas d’une attaque DDoS
• création d’une backdoor pour accéder à votre site web : sorte d’accès secret pour le pirate à un logiciel/une application
• modification soudaine de l’apparence de votre site : diffusion de messages illégaux, altération de votre design, déferlement de pop-up…
• perte de réputation : identification de votre site par Google/les navigateurs web comme « dangereux », déclassement dans les résultats de recherche…
• vol de données

Comment protéger votre site web des bots malveillants ?

Étant donné qu’il constitue la cible des robots malveillants, vous devez en priorité sécuriser votre site web. Pour ce faire vous avez plusieurs moyens à votre disposition :

• Utilisez des captcha sur vos formulaires/espace commentaires afin d’éliminer une grande partie des spams
• Paramétrez des notifications en cas d’activité suspecte sur votre site (pic de trafic, grand nombre de tentative de connexion…)
• Surveillez l’apparition ou la disparition de fichiers sur votre serveur web
• Intégrez une limite de connexion aux comptes admin (du site, de l’hébergement…)
• Blacklistez les adresses IP nuisibles que vous repérez
• Installez une solution de détection des malwares sur votre site
• Installez un pare-feu d’application web ou WAF
• Utilisez des mots de passe forts pour garantir la sécurité de vos comptes administrateurs, ces derniers étant stratégiques
• Maintenez votre site à jour (programmes, thèmes, plugins et autres extensions)
• N’installez pas de plugins non-maintenus depuis une longue période et désinstallez ceux qui ne reçoivent plus de mise à jour
• Effectuez des sauvegardes régulières de votre site web
• Sensibilisez vos équipes aux cyber menaces
• Formez vos collaborateurs aux bonnes pratiques de cybersécurité (ne pas cliquer sur les liens douteux des mails, repérer une tentative de phishing, etc…)

Vous l’aurez donc compris certains de ces bots malveillants peuvent infliger des dégâts considérables à votre site internet. Heureusement, vous pouvez les empêcher de vous nuire en mettant en place une stratégie de défense adaptée à votre structure. Pour cela, vous avez le choix entre différents outils : utilisation de logiciels dédiés, sensibilisation aux cyber risques et aux bonnes pratiques de cybersécurité, etc… Cependant, nous sommes conscients qu’il n’est pas toujours évident de sélectionner les bonnes solutions techniques. C’est pourquoi, nos équipes sont là pour assurer la protection de votre site web en tenant à distance les bots malveillants. N’hésitez pas à nous contacter pour mettre un terme aux invasion de bots.

Vous pourriez lire aussi :

• Comment protéger votre site web d’une attaque DDoS ?
• Maintenance de votre site web : une opération à ne pas négliger
• 5 astuces pour améliorer le référencement de votre site web