Qu'est-ce qu'une attaque DDoS ? Définition du déni de service distribué

Une attaque DDoS, pour Distributed Denial of Service ou déni de service distribué en français, consiste à rendre un site web, un serveur ou un réseau inaccessible en le submergeant d'un flot de connexions provenant d'un grand nombre de machines à la fois. Le principe ressemble à celui d'un standard téléphonique que des milliers de personnes appelleraient en même temps sans rien avoir à dire : les lignes sont saturées et les vrais clients n'obtiennent plus de réponse. Contrairement à d'autres cyberattaques, le DDoS ne cherche généralement pas à voler des données ni à s'introduire dans un système, mais à bloquer un service, parfois pendant quelques minutes, parfois pendant des jours. Les conséquences peuvent pourtant être lourdes : boutique en ligne qui ne vend plus, jeu en ligne inaccessible, administration injoignable, image de marque écornée. Ces attaques s'appuient le plus souvent sur des réseaux d'appareils piratés à l'insu de leurs propriétaires, des ordinateurs aux caméras connectées. Cette définition explique ce qu'est un DDoS, comment il fonctionne, quelles en sont les grandes familles, pourquoi des attaquants y recourent et comment les organisations s'en protègent ou réagissent lorsqu'elles en sont victimes.

Qu'est-ce qu'une attaque DDoS ? Définition du déni de service distribué

Tout service en ligne dispose de ressources limitées : la bande passante de sa connexion à Internet, c'est-à-dire la quantité de données qu'elle peut faire passer chaque seconde, la puissance de calcul de ses serveurs, leur mémoire et le nombre de connexions qu'ils savent gérer simultanément. Une attaque par déni de service, ou DoS, cherche à épuiser l'une de ces ressources pour empêcher le service de répondre aux utilisateurs légitimes. Lorsqu'elle est menée depuis une seule machine, elle est relativement facile à contrer, car il suffit de bloquer l'adresse d'où elle provient. L'attaque devient distribuée, et prend alors le nom de DDoS, lorsqu'elle est lancée depuis des milliers, voire des centaines de milliers de sources différentes réparties dans le monde entier : il devient alors très difficile de distinguer les requêtes malveillantes du trafic normal et impossible de toutes les bloquer une à une. Pour brouiller encore les pistes, certains attaquants falsifient l'adresse d'expédition de leurs paquets, selon une technique d'usurpation bien connue des spécialistes, le spoofing, ce qui complique l'identification des machines réellement impliquées. Le résultat, vu de l'extérieur, est simple : le site devient extrêmement lent, affiche des erreurs ou ne répond plus du tout.

Les botnets, l'armée invisible du DDoS

La force de frappe d'une attaque DDoS provient presque toujours d'un botnet, contraction de robot et network, que l'on appelle aussi réseau de machines zombies. Il s'agit d'un ensemble d'appareils infectés par un programme malveillant qui les place sous le contrôle à distance d'un pirate, sans que leurs propriétaires s'en aperçoivent, l'appareil continuant le plus souvent à fonctionner normalement. Longtemps, ces réseaux ont été constitués d'ordinateurs personnels mal protégés. Depuis le milieu des années 2010, les attaquants exploitent massivement les objets connectés : caméras de surveillance, enregistreurs vidéo, routeurs et autres équipements souvent laissés avec leur mot de passe d'usine et rarement mis à jour. Le botnet Mirai, apparu en 2016, a marqué les esprits en mobilisant des centaines de milliers de ces appareils pour lancer des attaques d'une ampleur alors inédite, qui ont notamment perturbé l'accès à de grands sites américains en visant un fournisseur de services DNS. Le pirate, appelé « botmaster », envoie ses ordres à ses zombies par l'intermédiaire de serveurs de commande ; certains louent même la puissance de leur botnet à d'autres criminels, sous forme de services d'attaque à la demande, faussement présentés comme des outils de « test de charge ».

Comment fonctionne une attaque DDoS ? Les grandes familles

Les spécialistes distinguent plusieurs familles d'attaques DDoS selon la ressource visée. Les attaques volumétriques cherchent simplement à remplir le « tuyau » : elles envoient tellement de données que la connexion de la cible est engorgée, comme une autoroute bouchée par un afflux de véhicules. Elles recourent souvent à l'amplification : l'attaquant envoie de petites requêtes à des serveurs publics mal configurés, par exemple des serveurs DNS ou de synchronisation de l'heure, en se faisant passer pour la victime ; ceux-ci répondent par des messages beaucoup plus volumineux, tous dirigés vers la cible. Les attaques sur les protocoles exploitent les règles de communication du réseau pour épuiser les équipements : la plus connue, l'inondation de demandes de connexion dite SYN flood, multiplie les connexions commencées mais jamais terminées, jusqu'à ce que le serveur ou le pare-feu ne puisse plus en ouvrir de nouvelles. Enfin, les attaques applicatives visent directement le site ou l'application en imitant le comportement de visiteurs, par exemple en réclamant en boucle une page de recherche coûteuse à calculer. Plus discrètes, elles peuvent faire tomber un service avec un trafic modeste, ce qui les rend particulièrement difficiles à détecter.

Pourquoi lance-t-on une attaque DDoS ? Motivations et cibles

Les motivations derrière une attaque DDoS sont très variées. La plus répandue est sans doute l'extorsion : l'attaquant lance une démonstration de force, puis exige une rançon, souvent en cryptomonnaie, pour cesser ou ne pas recommencer. Il s'agit d'une forme de chantage différente du rançongiciel, qui chiffre les fichiers de sa victime, mais qui poursuit le même but financier. D'autres attaques relèvent de l'activisme, ou « hacktivisme », lorsqu'un groupe veut protester contre une entreprise, un gouvernement ou une décision politique en rendant ses sites inaccessibles ; certaines sont liées à des tensions géopolitiques et visent des administrations, des collectivités ou des infrastructures d'un pays. Il existe aussi des cas de concurrence déloyale, des règlements de comptes entre joueurs en ligne ou de simples défis lancés par des amateurs qui louent un service d'attaque pour quelques euros. Le DDoS peut enfin servir de diversion : pendant que les équipes techniques luttent pour rétablir le service, une autre intrusion, plus discrète, tente de dérober des données. Les cibles privilégiées sont les sites de commerce en ligne, les plateformes de jeux, les banques, les médias, les services publics et, plus largement, toute organisation dont l'activité dépend de sa disponibilité en ligne.

Les conséquences d'une attaque DDoS pour une organisation

L'impact d'une attaque DDoS dépasse largement les quelques heures d'interruption visibles par le public. Il y a d'abord les pertes directes : ventes non réalisées sur une boutique en ligne, réservations manquées, services facturés au temps de disponibilité qui ne peuvent être assurés, pénalités contractuelles envers des clients professionnels. S'y ajoutent les coûts de la réponse elle-même, en heures de travail des équipes techniques, en recours à des prestataires spécialisés ou en souscription en urgence à une offre de protection. La réputation souffre également, car un site indisponible inquiète les utilisateurs, qui peuvent se tourner vers un concurrent, et une attaque médiatisée laisse des traces dans l'image d'une marque. Pour les services publics ou les établissements de santé, l'indisponibilité peut gêner l'accès des citoyens à des démarches importantes. Il faut enfin garder à l'esprit le risque de diversion évoqué plus haut, qui impose de vérifier, une fois le calme revenu, qu'aucune autre intrusion n'a eu lieu. À l'inverse, un DDoS n'endommage généralement pas les données elles-mêmes : une fois l'attaque terminée, le service redevient accessible tel qu'il était, ce qui le distingue de nombreuses autres menaces informatiques.

Comment se protéger d'une attaque DDoS ?

Se protéger d'une attaque DDoS commence par une évidence : une petite infrastructure ne peut pas absorber seule une attaque de grande ampleur. La plupart des organisations s'appuient donc sur leur hébergeur ou sur des prestataires spécialisés, qui disposent de réseaux aux capacités considérables et répartis dans le monde. Les réseaux de diffusion de contenu, ou CDN (Content Delivery Network), servent les pages d'un site depuis de nombreux points de présence et diluent ainsi le trafic hostile. Les centres de nettoyage, appelés scrubbing centers, reçoivent l'ensemble du trafic destiné à la cible, écartent les requêtes jugées malveillantes et ne transmettent que le trafic légitime. Au niveau du site lui-même, un pare-feu applicatif, ou WAF (Web Application Firewall), repère les comportements anormaux, et la limitation du nombre de requêtes par visiteur empêche qu'une seule source monopolise le serveur. Les bonnes pratiques de base restent essentielles : maintenir les systèmes à jour, fermer les services inutiles, surveiller le trafic pour repérer rapidement une hausse anormale et prévoir un plan de réponse décrivant qui fait quoi en cas d'incident. Pour les particuliers, la meilleure contribution consiste à sécuriser leurs propres appareils connectés afin qu'ils ne deviennent pas des zombies.

Que faire en cas d'attaque DDoS ?

Face à une attaque DDoS en cours, le premier réflexe consiste à prévenir son hébergeur ou son fournisseur d'accès, qui peut souvent activer des filtres en amont, rediriger le trafic vers un service de protection ou, en dernier recours, isoler temporairement la cible pour protéger le reste de son réseau. Il est fortement déconseillé de céder à une demande de rançon : payer ne garantit en rien la fin de l'attaque, finance les criminels et signale la victime comme une cible rentable, susceptible d'être visée à nouveau. Il faut au contraire conserver les preuves : journaux des serveurs, messages de menace, horaires et caractéristiques du trafic, autant d'éléments utiles à l'analyse technique comme à une éventuelle enquête. En France, le fait d'entraver volontairement le fonctionnement d'un système informatique est un délit puni par le Code pénal, et la victime peut déposer plainte auprès de la police ou de la gendarmerie ; la plateforme publique Cybermalveillance.gouv.fr oriente les particuliers, les entreprises et les collectivités vers des professionnels compétents. Une fois l'attaque terminée, il reste à vérifier qu'aucune intrusion n'a profité de la diversion, à changer les mots de passe sensibles par précaution et à tirer les leçons de l'incident pour renforcer le dispositif de protection.

Le DDoS dans le paysage des cybermenaces

L'attaque DDoS occupe une place particulière parmi les menaces informatiques. Elle est relativement simple à lancer, puisque des services illégaux de location d'attaques existent, mais elle peut être très difficile à arrêter lorsqu'elle est massive et bien organisée. Les records d'ampleur sont régulièrement battus, à mesure que les connexions deviennent plus rapides et que le nombre d'appareils connectés vulnérables augmente, ce qui pousse les fournisseurs de protection à accroître sans cesse leurs capacités. Le DDoS ne doit pas être confondu avec d'autres attaques souvent citées dans les mêmes articles : le rançongiciel s'introduit dans un système pour chiffrer ses données, l'hameçonnage cherche à tromper un utilisateur pour lui soutirer des identifiants, alors que le déni de service se contente de rendre un service inaccessible, sans y pénétrer. Ces menaces peuvent toutefois se combiner, ce qui justifie une défense en profondeur, faite de plusieurs couches de protection complémentaires : surveillance du trafic, services d'absorption chez l'hébergeur, mises à jour régulières, sensibilisation des équipes et, au plus près des serveurs, le firewall, qui filtre les connexions selon des règles précises et constitue l'une des premières barrières contre les flux indésirables.