La chute du trafic chez Yandex après les frappes n’a pas stoppé les bots malveillants. Les données montrent surtout un déplacement rapide vers d’autres clouds.
En bref
- Le trafic Yandex s’est effondré
- Les bots malveillants ont surtout migré
- Le volume réseau ne suffit pas
Quand un réseau tombe de 90% à 99%, on peut croire à un grand ménage. En pratique, non. Les données observées par Cloudflare sur les frappes ayant touché des infrastructures de Yandex entre le 7 et le 11 octobre racontent autre chose, bien plus utile pour la sécurité: un réseau peut s’éteindre, les bots peuvent bouger.
Un trou noir réseau, mais pas la preuve d’un coup d’arrêt
Entre le 7 et le 11 octobre, des frappes signalées ont visé trois sites de Yandex en Russie, jusqu’à provoquer le 11 octobre un quasi-effondrement du trafic. Cloudflare Radar mesure alors une chute de 99% sous le niveau normal pour Yandex Search (AS13238) et de 90% pour Yandex.
Cloud (AS200350). Le 14 octobre à 18h UTC, le trafic revenait à 85% de la normale.
Mais un volume HTTP qui plonge ne dit pas quelle automation a disparu. Avant l’événement, les requêtes automatisées représentaient 36,1% du trafic HTTP mondial vu par Cloudflare, et 35,8% du trafic venant d’IP russes.
Deux ASNs, deux réalités techniques
Le point clé est là. Yandex Search et Yandex.
Cloud ne servaient pas du tout le même usage. Sur l’ASN AS13238, 99,5% des requêtes étaient classées comme automatisées, et 93,6% de ces bots étaient vérifiés. On parle ici d’indexation, de rendu de pages et d’images. Cet ASN pesait environ 7% des requêtes bots d’origine russe, mais seulement 0,05% du total mondial.
À l’inverse, AS200350 ressemblait à un vrai réseau de cloud. Environ 95% des requêtes scorées étaient des bots, sans aucun bot vérifié observé. Beaucoup envoyaient des données vers des sites, certains s’annonçaient comme programmes JavaScript, Python ou Go. Sa part restait modeste, 2% du trafic bots d’origine russe et 0,01% du global.
Ce qui a vraiment baissé: l’indexation, surtout dans les médias
Sur Yandex Search, la chute a surtout concerné le crawl. Les échantillons montrent 78,1% de YandexBot, 11,5% de YandexRenderResourcesBot et 1,9% de YandexImages. Dans la presse et l’édition, le trafic venant des réseaux Yandex a baissé de 44%.
Rien de mystérieux: environ 90% du trafic d’avant-crise vers les sites d’info venait de YandexBot pour indexer les articles, et 40,5% des clients Cloudflare répondaient déjà en HTTP 403. Résultat, moins d’indexation, pas un Internet soudain assaini.
Le trafic malveillant n’a pas disparu, il a migré
Côté Yandex.
Cloud, le trafic bot a reculé d’environ 40%. Le probing de plugins WordPress a chuté de 90%, les requêtes identifiées comme scanners de 93%, et les blocages côté clients ont baissé de 70%. Clairement, moins de trafic agressif passait par cet ASN.
Mais il est réapparu ailleurs. Sur un compte du secteur gambling, les requêtes venant de Yandex.
Cloud sont tombées à zéro après le 8 octobre, pendant que des requêtes identiques surgissaient depuis d’autres ASNs russes, dont Radist et Selectel. Même empreinte JA4, mêmes chemins HTTP peu communs, mêmes headers, mêmes User-Agent personnalisés.
Pourquoi c’est important pour l’écosystème sécurité
Sur la semaine, le trafic bots russe visant les comptes de jeu d’argent est resté quasiment stable, de 167,7 à 170,1 millions de requêtes, soit +1,4%. Et du trafic légitime persistait aussi, notamment vers api.cloudflare.com, avec beaucoup de réponses 200. Bon, le signal est net: les workloads cloud sont portables.
Même constat sur les réseaux sociaux, sans variation inattendue, ni sur le trafic total d’IP russes, ni sur des endpoints précis comme post, reply et like. Pour les équipes sécurité, la leçon est simple: surveiller le comportement des requêtes, les signatures partagées et les règles WAF compte plus que l’ASN d’origine. Un data center tombe. Les scripts, eux, déménagent vite.
