Les sociétés Internet Google, Amazon et Cloudflare affirment avoir résisté à la plus grande attaque par déni de service jamais réalisée sur Internet et tirent la sonnette d'alarme au sujet d'une nouvelle technique qui, selon elles, pourrait facilement provoquer des perturbations à grande échelle.

Dans un billet de blog publié mardi, Google, qui appartient à Alphabet Inc., a déclaré que ses services en nuage avaient évité une avalanche de trafic malveillant plus de sept fois supérieure à l'attaque record précédente, déjouée l'année dernière.

La société de protection d'Internet Cloudflare Inc. a déclaré que l'attaque était "trois fois plus importante que toutes les attaques précédentes que nous avons observées". La division des services web d'Amazon.com Inc. a également confirmé avoir été touchée par "un nouveau type de déni de service distribué (DDoS)".

Ces trois sociétés ont déclaré que l'attaque avait commencé à la fin du mois d'août ; Google a indiqué qu'elle se poursuivait.

Le déni de service est l'une des formes d'attaque les plus élémentaires sur le web. Il consiste à submerger les serveurs visés par un déluge de fausses demandes de données, rendant impossible le passage du trafic web légitime.

Au fur et à mesure que le monde en ligne s'est développé, la puissance des opérations de déni de service s'est accrue, certaines pouvant générer des millions de fausses demandes par seconde. Les récentes attaques mesurées par Google, Cloudflare et Amazon étaient capables de générer des centaines de millions de requêtes par seconde.

Google a indiqué dans son blog que deux minutes seulement d'une de ces attaques "ont généré plus de requêtes que le nombre total d'articles consultés par Wikipédia pendant tout le mois de septembre 2023". Cloudflare a déclaré que l'attaque était d'une ampleur "jamais vue auparavant".

Les trois entreprises ont déclaré que les attaques de grande ampleur ont été rendues possibles par une faiblesse de HTTP/2 - une nouvelle version du protocole de réseau HTTP qui sous-tend le World Wide Web - qui rend les serveurs particulièrement vulnérables aux requêtes malveillantes.

Les sociétés ont exhorté les entreprises à mettre à jour leurs serveurs web afin de s'assurer qu'ils ne restent pas vulnérables.

Aucune des trois entreprises n'a indiqué qui était responsable des attaques par déni de service, qui ont toujours été difficiles à identifier.

Si elles sont habilement ciblées et ne sont pas contrées avec succès, ces attaques peuvent entraîner des perturbations de grande ampleur. En 2016, une attaque attribuée au réseau "Mirai" de dispositifs détournés a touché le service de noms de domaine Dyn, perturbant un grand nombre de sites web de premier plan.

L'organisme de surveillance de la cybersécurité du gouvernement américain, la CISA, n'a pas immédiatement répondu à un message demandant un commentaire. (Reportage de Raphael Satter, édition de Sandra Maler)