Une vague de trafic bot inexpliqué déferle sur le web mondial

Depuis l’automne dernier, un phénomène étrange perturbe les propriétaires de sites web du monde entier. Des millions de visiteurs fantômes, prétendument originaires de Lanzhou en Chine et de Singapour, envahissent les statistiques de trafic sans jamais lire une seule ligne de contenu. Cette invasion silencieuse de bots touche aussi bien les petits blogs personnels que les sites gouvernementaux américains, créant confusion et inquiétude dans l’écosystème numérique.

L’histoire commence de manière presque comique. Alejandro Quintero, analyste de données basé à Bogotá, gère un site consacré aux phénomènes paranormaux rédigé en “Spanglish”. Un matin d’octobre, il découvre avec stupéfaction que plus de la moitié de son trafic provient désormais de Chine et de Singapour. Son premier réflexe ? “Je dois partir en Chine immédiatement, je suis une star là-bas !” raconte-t-il avec autodérision.

Mais l’euphorie fut de courte durée. En analysant les données via Google Analytics, la réalité s’impose brutalement : tous ces visiteurs chinois proviennent d’une seule ville, Lanzhou, restent exactement 0 seconde sur les pages, ne scrollent jamais et ne cliquent sur rien. L’évidence était là, implacable : son site subissait un bombardement de bots sophistiqués 🤖.

Un phénomène global qui touche tous les types de sites

Ce que Quintero considérait d’abord comme un incident isolé s’est révélé être un problème d’ampleur mondiale. Sur les réseaux sociaux et forums spécialisés, les témoignages affluent depuis septembre. Un magazine lifestyle indien, un blog consacré à une petite île canadienne, des portfolios personnels, une plateforme météo comptant plus de 15 millions de pages, des boutiques Shopify et même des domaines gouvernementaux américains rapportent le même scénario 🌍.

Les chiffres parlent d’eux-mêmes. Selon Analytics.usa.gov, au cours des 90 derniers jours, 14,7% des visites sur les sites gouvernementaux américains provenaient de Lanzhou, et 6,6% de Singapour. Ces deux villes se classent ainsi comme les sources numéro un et deux de trafic vers l’administration américaine, devant Washington ou New York. Une aberration statistique qui en dit long sur l’ampleur du phénomène.

Malgré des adresses IP traçables jusqu’en Chine et à Singapour, l’identité réelle des responsables reste un mystère complet. Les propriétaires de sites ciblés s’accordent généralement sur un point : ces bots ne semblent pas avoir d’intention immédiatement malveillante. Aucune cyberattaque n’a été associée à cette vague, aucun scan de vulnérabilités détecté.

L’hypothèse la plus répandue dans la communauté tech ? Ces bots seraient liés à des entreprises collectant massivement des données web pour entraîner des modèles d’intelligence artificielle. En 2025, l’activité des bots IA a explosé sur internet, ces robots parcourant le web à la recherche de textes et informations pour alimenter des modèles de langage avides de données.

Lanzhou, épicentre improbable d’une invasion numérique

Une ville chinoise sans vocation technologique

La première réaction de nombreux webmasters en découvrant leurs statistiques fut de se demander : “Mais où se trouve Lanzhou, au fait ?” Cette ville de second rang du nord-ouest chinois est connue pour ses industries manufacturières lourdes et son rôle historique sur la Route de la Soie. Mais elle n’est ni un hub technologique majeur, ni un centre important de data centers.

Gavin King, fondateur de Known Agents, une entreprise spécialisée dans l’analyse du trafic automatisé en ligne, apporte un éclairage crucial. Son propre site web a également été ciblé par ces bots mystérieux. Après une analyse approfondie des détails techniques des visites, King affirme que Lanzhou n’est probablement pas la véritable source des bots. Google Analytics aurait simplement fait une estimation éduquée plutôt qu’une localisation précise 🔍.

Le rôle suspect des géants chinois du cloud

La seule certitude technique établie par King ? Tout ce trafic transite finalement par Singapour. Plus révélateur encore, il a découvert que ces bots utilisent les serveurs de plusieurs grandes entreprises chinoises de cloud computing. Le trafic reçu par son site provenait intégralement de l’ASN (Autonomous System Number) 132203, un identifiant unique dans le système de routage internet attribué à un fournisseur d’accès opéré par le géant chinois Tencent.

Andy, gestionnaire d’un important groupe de sites météorologiques qui préfère utiliser uniquement son prénom, confirme avoir détecté du trafic bot provenant d’ASN associés à Tencent, Alibaba et Huawei. Ces trois mastodontes sont des fournisseurs majeurs de services cloud. Impossible toutefois de déterminer si les bots proviennent de projets internes à ces entreprises ou de clients utilisant leurs infrastructures.

Des caractéristiques qui distinguent ces bots des autres

Ce qui rend cette vague de bots particulièrement intrigante, c’est qu’elle se distingue nettement des autres activités de bots IA connues. Le volume est d’abord incomparable : King rapporte que sur son site web, le trafic chinois et singapourien représente 22% du trafic total, tandis que tous les autres bots IA combinés comptent pour moins de 10%.

Les grandes entreprises d’IA, qu’il s’agisse d’OpenAI, Anthropic ou Google, identifient généralement clairement leurs bots auprès des opérateurs de sites. Cela permet aux webmasters de les autoriser ou de les bloquer facilement. Brent Maynard, directeur senior chez Akamai, explique que les laboratoires d’IA de pointe “ne cherchent pas vraiment à esquiver” les règles de blocage de bots ✨.

Ces bots chinois, en revanche, se sont déguisés en utilisateurs humains normaux dès le départ. Plusieurs propriétaires de sites ont confirmé qu’ils ont même réussi à contourner les règles communes de blocage de bots. Cette sophistication dans la dissimulation suggère une approche délibérément furtive, à l’opposé de la transparence affichée par les grandes entreprises d’IA occidentales.

Au-delà des entreprises d’IA, d’autres acteurs ont des motivations pour aspirer massivement le contenu web : les crawlers de moteurs de recherche alternatifs, les sociétés de veille concurrentielle, ou encore les entreprises de collecte de renseignements stratégiques.

Les impacts concrets sur les propriétaires de sites

Des coûts qui s’envolent et des données faussées

Si ces bots ne semblent pas avoir d’objectif explicitement malveillant pour l’instant, leur présence massive n’est pas sans conséquences. Plusieurs propriétaires de sites s’inquiètent que les bots scannent du matériel protégé par des droits d’auteur sans autorisation. D’autres rapportent être contraints de payer davantage pour la bande passante, le trafic bot encombrant les ressources au détriment des visiteurs humains réels.

Les visites fantômes faussent également les analyses de trafic web, rendant difficile la compréhension des comportements réels des visiteurs. Pour les équipes marketing et les développeurs qui s’appuient sur ces données pour optimiser leurs stratégies, cette pollution statistique représente un véritable casse-tête.

Un cauchemar pour les revenus publicitaires

Mais ce sont les propriétaires de sites qui vivent de la publicité en ligne qui subissent les impacts les plus douloureux. “Cela détruit mes stratégies AdSense”, déplore Quintero, le propriétaire du blog paranormal. “On me dit que mon site n’est visité que par des bots, donc mon contenu n’a pas de valeur pour les spectateurs.”

Les conséquences sont directes et financièrement significatives :

• Baisse des revenus publicitaires liée à une perception dégradée de la qualité du trafic
• Pénalités potentielles de Google pour suspicion d’activité frauduleuse
• Désintérêt des annonceurs qui considèrent ces sites comme moins rentables
• Difficulté à prouver que le trafic légitime existe réellement

Cette situation crée un cercle vicieux où les sites victimes voient leurs revenus chuter alors même qu’ils n’ont rien fait de répréhensible 💸.

Les solutions de fortune adoptées par les webmasters

Face au silence relatif des grandes plateformes, de nombreux propriétaires de sites ont décidé de prendre les choses en main. Sur Reddit et d’autres forums spécialisés, les victimes des bots ont commencé à échanger leurs stratégies artisanales pour identifier et bloquer ces visiteurs indésirables.

Techniques d’identification développées par la communauté

Au fil des semaines, les webmasters ont appris à reconnaître certaines caractéristiques communes à ces bots. Ils se présentent souvent comme utilisant d’anciennes versions de Windows et des ratios d’écran inhabituels. Ces particularités techniques permettent de les regrouper et de les bloquer collectivement.

Certains sites qui ne dépendent pas du trafic asiatique ont opté pour une approche plus radicale : bloquer purement et simplement toutes les adresses IP localisées en Chine ou à Singapour. Une solution drastique qui pose évidemment des questions d’accessibilité et d’ouverture du web.

Les blocages ciblés par ASN

Andy, le gestionnaire de sites météo, a choisi une approche plus chirurgicale. Il a fini par bloquer quatre ASN spécifiquement associés à Tencent, Alibaba et Huawei. Cette méthode s’est révélée efficace pour réduire significativement le volume de bots, même si elle ne les a pas complètement éliminés. Les visites quotidiennes provenant des bots chinois sur son site sont passées de 127 000 au pic à un peu plus de 2 000 au moment de son témoignage 🎯.

Le silence assourdissant des grandes plateformes

Contacté par WIRED, WordPress a reconnu avoir reçu des signalements concernant une augmentation du trafic provenant de bots ou scrapers IA suspects. La société a expliqué que la structure optimisée de ses sites, qui facilite l’indexation par les moteurs de recherche, les rend également facilement exploitables par l’IA. Google, Cloudflare et Squarespace n’ont pas répondu aux demandes de commentaires.

Cette absence de communication officielle laisse les propriétaires de sites dans l’incertitude. Sans directives claires ni outils adaptés fournis par les hébergeurs et plateformes, chacun doit improviser ses propres défenses, avec des résultats variables.

FAQ

Comme le résume parfaitement Brent Maynard d’Akamai : “C’est le prix à payer pour être sur internet dans une certaine mesure. Vous êtes ouvert et visible publiquement.” À mesure que les outils d’IA autonomes prolifèrent sur le web, apprendre à les combattre deviendra probablement un mal de tête de plus en plus courant pour les propriétaires de sites. Cette vague mystérieuse de bots depuis Lanzhou n’est peut-être que le début d’une nouvelle ère où distinguer humains et machines devient un défi quotidien 🌐.