Rapport Akamai : Les attaques Web ont augmenté de 33 %, et les API en sont les cibles principales

Le rapport met également en lumière que les API sont devenues les cibles principales : Akamai a recensé 150 milliards d'attaques ciblant les API entre janvier 2023 et décembre 2024. Le marché des API basées sur l'IA se développe rapidement, et l'intégration d'outils optimisés par l'IA aux plateformes principales via ces mêmes API a considérablement étendu la surface d'attaque. La majorité de ces API sont accessibles en externe et reposent sur des mécanismes d'authentification insuffisants, une faille aggravée par la multiplication des attaques. Akamai révèle que les API jouant le rôle de connecteur avec les services alimentés par l'IA sont encore plus vulnérables que les API traditionnelles, l'IA agissant comme adjudant auprès des acteurs malveillants pour augmenter le volume comme la sophistication des attaques.
En outre, Akamai observe une augmentation spectaculaire des attaques par déni de service distribué (DDoS) de couche 7 (couche applicative) ciblant les applications Web et les API. Le volume de requêtes mensuelles a augmenté de 94 %, passant de 500 milliards début 2023 Là plus de 1 100 milliards en décembre 2024. Cette hausse s'explique par la sophistication croissante des attaques par bots, et la persistance des HTTPS floods comme vecteur d'attaque principal (inondation de requêtes HTTPS) ciblant le secteur des hautes technologies.

D'autres enseignements clés du rapport :

Plus de 230 milliards d'attaques applicatives Web ont ciblé les entreprises du retail, ce qui en fait le secteur le plus impacté cette année. C'est près du triple du volume d'attaques subies par le secteur des hautes technologies, qui arrive en deuxième position.
7 000 milliards d'attaques DDoS de couche 7 ont touché le secteur des hautes technologies entre janvier 2023 et décembre 2024, ce qui en fait le secteur le plus visé.
Le nombre d'incidents au classement Top 10 OWASP API a augmenté de 32 %, illustrant des failles en matière d'authentification et d'autorisation menant à l'exposition de données et de fonctionnalités sensibles.
Les alertes de sécurité liées au cadre de sécurité MITRE ont augmenté de 30 %, en raison de l'utilisation de techniques avancées, comme l'automatisation et l'intelligence artificielle, pour exploiter les API.
Les API fantômes et zombies (c'est-à-dire hors inventaire ou obsolètes) constituent des surfaces d'attaque particulièrement vulnérables au sein des écosystèmes d'API de plus en plus complexes.

L'étude État des lieux de la sécurité des applications et des API en 2025 : l'impact de l'IA sur le paysage digital présente également l'analyse d'une attaque ciblant les API d'une entreprise d'e-commerce. Elle met en lumière les différences entre les attaques contre les sites Web et celles ciblant les API, et comprend des données régionales et sectorielles, ainsi que des stratégies d'atténuation recommandées. Ce rapport fournit des informations uniques sur l'évaluation des risques et les méthodes techniques conçues pour aider les responsables de la sécurité Internet.

« L'IA transforme la sécurité des sites Web et des API ; bien qu'elle améliore la détection des menaces, elle crée aussi de nouveaux défis », déclare Rupesh Chokshi, Senior Vice President et General Manager du portefeuille de sécurité applicative d'Akamai. « Ce rapport est essentiel pour comprendre les facteurs du changement et la façon dont les responsables de la sécurité Internet peuvent garder une longueur d'avance en mettant en œuvre les bonnes stratégies de défense. »