Près de la moitié du trafic commercial mondial provient de bots IA
Selon Akamai Technologies (rapport de juillet 2026), 47,9% du trafic commercial mondial en décembre 2025 était constitué de bots IA. Presque un visiteur sur deux n’est donc pas un client. Et le terrain d’action d’une criminalité qui s’automatise.
Pendant longtemps, un bot se contentait de moissonner des prix ou de gonfler des statistiques de visites. Ces bots passifs ont cédé la place à des outils beaucoup plus dangereux. Les bots malveillants mènent aujourd’hui des attaques coordonnées à grande échelle : test de cartes bancaires volées, création de comptes frauduleux, campagnes de credential stuffing menées en temps réel. Le credential stuffing consiste à injecter automatiquement des couples identifiant/mot de passe issus de fuites précédentes, en espérant que vos clients aient réutilisé les mêmes sur votre boutique. Il suffit d’un taux de réussite minuscule, multiplié par des millions de tentatives, pour que l’opération soit rentable.
Dans son rapport du 15 juillet 2026, Akamai établit que le commerce est devenu le secteur le plus ciblé par les cybercriminels, avec une montée des attaques par bots IA et des tactiques de fraude autonomes. Le qualificatif « autonomes » compte. Ces outils adaptent leur comportement, imitent des parcours de navigation plausibles et contournent les défenses fondées sur des règles statiques.
La conséquence pour une boutique est directe. Les anciens garde-fous, pensés pour des bots maladroits, (simples CAPTCHA, listes d’adresses IP bloquées) ne suffisent plus. Quand la moitié du trafic est artificielle, vos indicateurs de performance, vos taux de conversion et vos budgets publicitaires sont eux-mêmes faussés. Avant de parler de sécurité, vous avez déjà un problème de lisibilité de votre activité.
Pendant les fêtes 2025, les bots malveillants égalaient presque le trafic des vrais clients
Radware Ltd. a révélé en juin 2026 que 43% du trafic des sites de commerce électronique pendant la saison des fêtes de 2025 provenait de bots malveillants. Ce chiffre vaut qu’on le regarde de près, car la période des fêtes est précisément celle où une boutique réalise une part décisive de son chiffre d’affaires et où elle a le moins de marge pour absorber un incident.
Le tableau ci-dessous met en regard les deux mesures dont nous disposons. Elles ne couvrent pas exactement le même périmètre (l’une porte sur le trafic commercial mondial, l’autre sur les sites de commerce électronique en période de fêtes), mais elles convergent.
| Indicateur | Source | Part du trafic | Période |
|---|---|---|---|
| Bots IA dans le trafic commercial mondial | Akamai Technologies, 2026 | 47,9% | Décembre 2025 |
| Bots malveillants sur les sites e-commerce | Radware Ltd., 2026 | 43% | Saison des fêtes 2025 |
Que retenir de cette comparaison ? D’abord, que les deux chiffres se situent dans la même fourchette, entre 43% et 47,9%. Deux instituts différents, deux approches différentes, un même ordre de grandeur. Ce n’est pas un artefact de mesure.
Dans la même rubrique : Paiement en ligne 2026 : vers l’intégration totale.
Ensuite, que le trafic humain et le trafic malveillant se rapprochent dangereusement. Radware l’exprime sans détour : en période de fêtes, les bots malveillants égalent presque les acheteurs réels. Chaque pic de fréquentation que vous célébrez en décembre doit donc être relu avec prudence : une partie de ces visites ne rapportera jamais un euro et une autre peut vous coûter cher.
Surtout, ce qu’on oublie souvent : ce trafic coûte en bande passante, en puissance serveur et en heures d’équipe. Même sans fraude aboutie, il dégrade l’expérience des vrais clients au pire moment de l’année.
Les ransomwares ont augmenté de 389%: une trajectoire explosive qui menace chaque boutique en ligne
Fortinet a publié le 30 avril 2026 un rapport montrant que le nombre de victimes de ransomware a grimpé de 389% en un an. C’est un chiffre global qui déborde le seul commerce, mais il en dit long : la pression criminelle n’a pas ralenti, elle s’accélère.
Le commerce de détail n’est pas épargné, loin de là. Comparitech a rapporté le 7 juillet 2026 une hausse de 28% des attaques par ransomware ciblant l’industrie de la vente au détail au premier semestre 2026, par rapport à la même période en 2025. Et Kaspersky, dans son Bulletin de sécurité 2025, indique que 8,25% des entreprises du secteur du commerce de détail et du commerce électronique ont subi des attaques par ransomware en 2025.
Ces trois chiffres convergent vers une même histoire. Fortinet montre la tendance générale, Comparitech souligne comment elle s’accélère dans le retail, Kaspersky mesure l’exposition réelle. Ensemble, ils esquissent une stratégie criminelle bien huilée.
Pourquoi les e-commerçants sont-ils des cibles de choix ? Parce qu’ils concentrent exactement ce qu’un attaquant monnaie le mieux : des données clients, des stocks pilotés par des systèmes informatiques, des flux de paiement. Un ransomware qui chiffre votre base commandes en pleine période de ventes ne bloque pas seulement des fichiers, il arrête votre chiffre d’affaires. Cette pression temporelle améliore le rapport de force du côté des attaquants.
Soyons honnêtes sur les limites : nous ne disposons pas ici de données sur le montant moyen des rançons ni sur le coût d’une interruption pour une PME. Nous ne les inventerons pas. Mais l’ordre de grandeur de l’exposition suffit à justifier un plan de réponse écrit et testé.
Voir également : Paiements mobiles 2026 : la révolution est déjà là.
Tableau : comparaison des menaces cybersécurité e-commerce 2025-2026
Voici un tableau des menaces clés, avec leurs sources et le périmètre exact. C’est important : mélanger les périmètres est l’erreur la plus courante, elle fausse tout le diagnostic.
| Menace | Chiffre clé | Source | Périmètre |
|---|---|---|---|
| Bots IA | 47,9% du trafic commercial | Akamai Technologies, 2026 | Mondial, décembre 2025 |
| Bots malveillants | 43% du trafic e-commerce | Radware Ltd., 2026 | Saison des fêtes 2025 |
| Ransomware (exposition) | 8,25% des entreprises du retail et e-commerce | Kaspersky, 2026 | Année 2025 |
| Ransomware (retail) | +28% d’attaques | Comparitech, 2026 | 1er semestre 2026 vs 2025 |
| Ransomware (victimes) | +389% d’une année sur l’autre | Fortinet, 2026 | Tous secteurs |
Deux constats ressortent. Les bots représentent un volume massif dès maintenant, tandis que le ransomware monte en gravité. Les premières abîment vos marges et vos indicateurs au quotidien ; le second peut mettre l’entreprise à l’arrêt.
Important : ces pourcentages ne s’additionnent pas. Un site peut être inondé de bots ET visé par une demande de rançon simultanément. Et pire : les deux se renforcent mutuellement, car les identifiants volés par credential stuffing servent souvent d’accès initial pour des attaques plus profondes.
Trois mesures de protection immédiate que tout e-commerçant doit déployer dès maintenant
Plan d’action en trois temps
- Mesurer votre trafic réel. Avant d’acheter quoi que ce soit, analysez vos journaux serveur et vos outils d’analyse pour distinguer humains et automates. Si près de la moitié de vos visites est artificielle, vos décisions marketing reposent sur du sable.
- Verrouiller les accès clients. Face au credential stuffing, activez l’authentification multifacteur sur les comptes clients et sur tous les accès d’administration, limitez le nombre de tentatives de connexion par adresse et par compte et surveillez les pics d’échecs d’authentification.
- Préparer la réponse au ransomware. Conservez des sauvegardes hors ligne ou immuables, testez leur restauration, segmentez le réseau pour que la caisse ne partage pas ses accès avec la messagerie et rédigez un plan de crise précisant qui décide, qui appelle qui et dans quel ordre.
Aucune de ces trois ne demande le budget d’un grand groupe. C’est surtout une question de méthode, de configuration et d’organisation. Ce qui vraiment coûte, c’est d’attendre l’incident pour bouger.
Dernier point : un outil de gestion des bots (Akamai, Radware, etc.) peut aider, mais il n’est jamais un substitut à l’authentification forte ou aux sauvegardes testées. La défense s’empile en couches. Et la couche la plus oubliée, c’est la procédure, c’est-à-dire l’humain.
Piège à éviter : une sauvegarde jamais restaurée n’est pas une sauvegarde, c’est une hypothèse. Programmez un test de restauration complet au moins une fois avant la prochaine saison de forte activité.
À découvrir aussi : IA agentique : qui décide vraiment dans vos finances en 2026 ?.
FAQ : les questions que se posent les directeurs IT des sites e-commerce
Comment identifier un bot malveillant parmi 47,9% de trafic bot ?
Tous les bots ne sont pas hostiles : certains indexent votre catalogue. Observez les comportements plutôt que les identités : rythme de requêtes inhumain, parcours sans logique commerciale, pics de tentatives de connexion, multiplication de petits paiements de test. Croisez ces signaux avec vos journaux, puis confiez le tri en continu à une solution spécialisée.
Que faire si mon site subit une attaque par ransomware ?
Isolez immédiatement les systèmes touchés pour limiter la propagation, activez votre plan de crise, préservez les traces pour l’enquête et alertez votre prestataire d’hébergement ainsi que les autorités compétentes. Si des données personnelles sont concernées, une notification à la CNIL est à envisager. Restaurez depuis des sauvegardes saines plutôt que de négocier à la hâte.
Quels investissements sécurité sont réellement rentables en 2026 ?
Nous n’avons pas de ROI vérifié à vous proposer et nous le disons plutôt que de l’inventer. Ce que nous savons : l’authentification multifacteur, les sauvegardes testées et la segmentation réseau offrent beaucoup de couverture pour peu de coût. La gestion des bots devient justifiée dès que votre trafic artificiel biaise vos choix ou ralentit le site.
En 2026, ignorer la cybersécurité e-commerce, c’est accepter de devenir victime
Nous sommes directs. Les données sont claires : 43 à 47,9% de trafic artificiel, 8,25% des sites retail et e-commerce frappés par ransomware en 2025, 28% d’attaques de plus dans le retail au premier semestre 2026. Rester sans vrai plan de sécurité, c’est de la négligence, pas de la prudence budgétaire.
Deux pièges nous guettent. Le fatalisme d’abord : « on est tous attaqués, pourquoi s’efforcer ? » Faux. Les attaquants ciblent la proie facile et un site bien armé devient trop coûteux pour eux. Le second piège est la solution magique : l’outil qui règle tout. Il n’existe pas.
Ce qu’il faudrait avoir mis en place en octobre 2026 : savoir qui compose vraiment son trafic, verrouiller les comptes clients, pouvoir relancer l’activité sans verser une rançon. C’est simple, pas sexy, mais c’est de l’ordre dans les murs avant que le problème arrive.
La question n’est plus « faut-il investir en cybersécurité ? » mais « combien de temps pouvez-vous vous permettre de rester sans protection complète ? » Avant la prochaine saison de forte activité, la réponse raisonnable est : plus un jour.
