Le commerce a été le secteur qui a connu la plus grande activité automatisée et le plus grand nombre de signaux liés aux bots à intelligence artificielle sur le réseau d’Akamai en 2025. Le nouveau rapport Securing the Agentic Storefront place ce secteur au centre d’une combinaison de surveillance automatisée, d’abus d’API, de fraude de comptes, de phishing et d’attaques distribuéedéni de service (DDoS) à la couche applicative.

Les chiffres clés des attaques contre le commerce digital en 30 secondes

• Le commerce a représenté 48 % des détections de bots à IA entre juillet et décembre 2025.
• Les robots destinés à l’entraînement des modèles ont représenté 71 % de cette activité.
• Les attaques web ciblant les API ont augmenté de 9 % en rythme annuel, dépassant celles visant les applications traditionnelles.
• Akamai a recensé près de 3 billions d’alertes DDoS de couche 7 contre ce secteur, bien que ces chiffres ne correspondent pas forcément à des incidents réussis.

Ce rapport demande une lecture précise. Il ne prétend pas que près de la moitié de tout le trafic des boutiques en ligne provienne d’agents IA. Les 48 % indiquent que les entreprises du commerce ont enregistré près de la moitié des activations de règles qu’Akamai utilise pour classifier les bots IA parmi toutes les industries analysées. Ces bots restent une petite part du volume total automatisé.

Il est également important d’interpréter correctement les chiffres d’attaques. Akamai compte les alertes générées par son pare-feu applicatif, ses systèmes de gestion des bots et ses outils contre les attaques DDoS. Une alerte peut correspondre à une requête malveillante bloquée, sans pour autant signifier que l’attaquant a compromis l’application, volé des informations ou interrompu le service. La méthodologie du rapport le précise explicitement.

Les bots légitimes et malveillants ressemblent de plus en plus

Le trafic automatisé vers les entreprises de commerce a crû de 19 % en 2025, dépassant les 17 milliards de détections. La vente au détail a concentré 61 % de cette activité, contre 34 % pour le secteur des voyages et 5 % pour l’hôtellerie.

Une partie de ce trafic remplit des fonctions légitimes. Les moteurs de recherche explorent les catalogues pour indexer les produits, les comparateurs vérifient prix et disponibilité, et les assistants d’achat nouvellement mis en place recherchent des informations pour recommander des articles ou finaliser des transactions au nom d’un utilisateur.

Le problème, c’est que ces mêmes capacités peuvent être exploitées pour extraire des catalogues, surveiller des prix, accaparer des stocks, tester des identifiants volés ou surcharger une application.

Entre juillet et décembre 2025, les robots utilisés pour collecter des données pour l’entraînement des modèles ont représenté 71 % des bots IA classés par Akamai dans le secteur du commerce. Les fetchers, qui récupèrent des contenus demandés par des assistants ou services, ont représenté 14,8 %, tandis que les robots de recherche IA ont totalisé 13,6 %.

OpenAI a dominé les détections attribuées à des opérateurs précis, avec 37 %, suivi de ByteDance (28 %), Anthropic (18 %), Meta (14 %) et Perplexity (1 %). Ces chiffres décrivent le volume de surveillance et ne signifient pas que ces sociétés ont mené des activités malveillantes.

Les boutiques doivent ainsi faire face à une décision difficile. Bloquer toute automatisation peut réduire les abus, mais aussi exclure leurs produits des résultats générés par les assistants d’achat. Autoriser sans limite facilite la surveillance massive, fausse les métriques et surcharge l’infrastructure.

La majorité préfère observer avant d’agir. Plus de 90 % de l’activité classée comme bots IA reste sous politique de surveillance. Une fois cette catégorie exclue, environ trois quarts du reste du trafic sont laissés passer sans restriction par les entreprises.

Akamai estime que le modèle binaire « autoriser ou bloquer » est dépassé. La nouvelle approche consiste à classifier l’automatisation selon son identité, son comportement, son utilité commerciale et le risque associé. Un robot vérifié par un moteur de recherche ne devrait pas être traité de la même façon qu’un bot changeant d’adresses IP, imitant un navigateur et consultant des milliers de pages en quelques minutes.

Le défi s’intensifiera avec le commerce agentique. Un assistant autorisé peut naviguer, comparer les prix et utiliser des identifiants de paiement en son nom. Si un criminel parvient à prendre le contrôle de cet agent, il héritera d’un lien que les systèmes commerciaux considéraient déjà comme légitime.

Une contribution invitée dans le rapport met en garde aussi contre l’utilisation de modèles pour créer des identités synthétiques. Ces profils mêlent données réelles et éléments inventés, et peuvent durer des mois pour acquérir une apparence normale avant d’être utilisés pour de la fraude. Il s’agit d’une analyse de spécialistes du Retail & Hospitality Information Sharing and Analysis Center (RH-ISAC), et non d’une statistique issue directement de la télémétrie d’Akamai.

Les API deviennent la nouvelle surface d’attaque du magasin

Le site web visible ne contient plus à lui seul toute la logique du commerce électronique. Le catalogue, l’application mobile, l’inventaire, les paiements, les promotions, les programmes de fidélité et les fournisseurs logistiques communiquent via des API.

Les attaques web ciblant ces interfaces ont augmenté de 9 % entre le dernier trimestre 2024 et le même de 2025. Pendant cette période, les alertes contre les API ont dépassé celles visant les applications web classiques.

Sur l’ensemble des deux années analysées, les API ont concentré 49 % des attaques web observées dans le secteur du commerce. La vente au détail a représenté 58 % des alertes, suivie de l’hôtellerie (33 %) et des voyages (9 %).

Le problème ne se limite pas aux vulnérabilités du code. Ces interfaces peuvent être exploitées même si elles fonctionnent exactement comme prévu, via :

• Requêtes automatisées d’inventaire et de prix.
• Tentatives massives de connexion.
• Utilisation de cartes volées pour de petits paiements.
• Extraction de points de programmes de fidélité.
• Contournement des limites lors des promotions ou retours.
• Accès à d’anciens endpoints non contrôlés par l’entreprise.
• Utilisation non autorisée de services IA payés par le commerce.

Ce dernier cas est décrit dans le rapport comme AI token freeloading. Un attaquant envoie ses charges à un chatbot ou un endpoint public d’une société, forçant cette dernière à supporter le coût de l’inférence. Au-delà du coût financier, ces requêtes peuvent dégrader le service pour les clients légitimes.

Une enquête indépendante d’Akamai a révélé que 85 % des acteurs du secteur avaient subi au moins un incident lié aux API au cours des douze derniers mois. Si 77,7 % pensent disposer d’un inventaire complet, seulement 22,3 % savent quelles API exposent des données sensibles. Le problème n’est pas seulement d’avoir des API inconnues, mais de ne pas connaître le contenu qui transite par celles qui sont connues.

Les attaques DDoS de couche 7 constituent une autre contrainte. Akamai a recensé près de 3 billions d’alertes pour le commerce en 2025, dont 31 % visant les API. La vente au détail a représenté 84 %, les voyages 10 %, et l’hôtellerie environ 5 %.

Contrairement à une attaque volumétrique qui vise à saturer la bande passante, une opération de couche 7 peut envoyer des requêtes HTTP apparemment valides vers des fonctions coûteuses. Vérifier un inventaire, lancer un achat ou calculer une promotion peuvent mobiliser des bases de données et des serveurs applicatifs avec un trafic bien moindre.

Les pics ont coïncidé avec le dernier trimestre et la période de fortes ventes. L’attaquant peut dissimuler ses requêtes dans une augmentation légitime du trafic, ce qui cause un plus grand dommage économique en cas d’interruption.

Phishing, malware et fraude : une chaîne ininterrompue

L’étude observe aussi une industrialisation du vol d’identifiants. Entre novembre 2025 et avril 2026, le malware représentait 56,5 % des activités détectées sur les endpoints clients du secteur. Le phishing constituait 37,6 %, et les communications avec des infrastructures de commandement et contrôle (C2) 5,9 %.

Le volume quotidien de détections de phishing est passé d’environ 56 600 en février, à 121 500 en mars, puis à 134 600 en avril.

L’objectif ne s’arrête pas au premier clic. Les identifiants volés alimentent des attaques de prise de contrôle de comptes, des achats frauduleux, du vol de points, des changements d’adresses de livraison et la réutilisation de mots de passe pour d’autres services.

Akamai décrit une chaîne de cyberattaques de plus en plus répétée :

Phishing → exécution → chargeur → commandement et contrôle → persistance

Parmi les familles de malwares observées, figurent des outils d’accès à distance tels qu’AsyncRAT et GoatRAT, ainsi que des infrastructures réutilisées pour maintenir la communication avec les équipements compromis.

Le commerce propose plusieurs moyens rapides de monétisation. Un compte de fidélité peut contenir des points échangeables, un profil client peut sauvegarder ses moyens de paiement, et un compte compromis peut servir à des achats ou à tester le même accès sur d’autres plateformes.

Ainsi, le rapport recommande d’intégrer la cybersécurité avec les équipes de prévention de la fraude. Un centre opérationnel de cybersécurité peut détecter les malwares, tandis que la section antifraude surveille les changements dans les comportements d’achat. Travailler séparément laisse chacune d’elles avec une partie de l’histoire.

Les priorités incluent la tenue d’un inventaire permanent des API, la classification des bots selon leur intention, l’usage de l’authentification multifactorielle basée sur le risque, et la mise en place de mécanismes automatiques pour geler les comptes lors de détections d’un vide de points ou d’achats en chaîne.

La microsegmenta­tion est également recommandée. Bien que 92 % des organisations disposent de segmentation réseau, seulement 35 % ont avancé vers une séparation précise des applications et des charges de travail. L’objectif est d’empêcher qu’un identifiant ou un token valide permette de passer d’une application publique à des bases de données ou systèmes internes.

Pour les responsables de la sécurité, les campagnes commerciales doivent être traitées comme des tests de continuité d’activité. Avant une grande promotion, il faut vérifier la capacité de défense contre les DDoS, contrôler les limites des API, tester les procédures d’urgence et valider l’intégration avec les prestataires de paiement, de logistique et de services cloud.

Le magasin agentique ne remplace pas l’humain. Il introduit de nouveaux intermédiaires pouvant agir à une vitesse et une échelle accrues. Le défi consiste à permettre aux assistants légitimes de découvrir et d’acheter des produits sans faire confiance aveuglément aux automatisations qui cherchent à extraire des données, compromettre des comptes ou utiliser une API comme outil de fraude.

Questions fréquentes

Le trafic général du commerce provient-il de bots IA à 48 % ?

Non. Le secteur a enregistré 48 % des activations de règles associées aux bots IA dans toutes les industries analysées. Les bots IA constituent une petite partie du trafic automatisé total observé par Akamai.

Quel type de bot IA apparaît le plus fréquemment ?

Les robots de collecte de données pour l’entraînement des modèles, avec 71 % des détections IA dans le secteur.

Pourquoi les API sont-elles de plus en plus attaquées ?

Parce qu’elles connectent paiements, stocks, applications mobiles, programmes de fidélité et fournisseurs. La concentration de fonctions et de données en fait une voie privilégiée pour la fraude, l’extraction d’informations et les attaques DDoS.

Les chiffres d’Akamai représentent-ils des attaques réussies ?

Pas nécessairement. Ce sont des alertes et requêtes détectées par leurs outils de sécurité. La méthodologie précise qu’elles n’indiquent pas à elles seules que l’attaquant a compromis le système.

Sources :

• Akamai, rapport Securing the Agentic Storefront : Attaques sur le commerce, State of the Internet/Security, volume 12, n° 3, 2026.