Het internet wordt tegenwoordig meer bezocht door robots dan door mensen. En veel van die bots hebben kwaadaardige intenties.

Mensen zijn niet de enigen die zich op het internet begeven. Er zijn ook ontelbaar veel bots, softwareprogramma’s die dag en nacht geautomatiseerde taken uitvoeren. Veel bots zijn nuttig; ze helpen zoekmachines zoals Google bijvoorbeeld om nuttige websites te vinden, of houden voor bedrijven in de gaten of hun website goed functioneert.

Maar er bestaan ook enorm veel kwaadaardige bots. Deze proberen bijvoorbeeld websites plat te leggen door er enorm veel verkeer naartoe te sturen, zogenoemde DDoS-aanvallen. Ze kunnen ook gegevens stelen of accounts overnemen met gelekte wachtwoorden. Je ziet kwaadaardige bots ook in de reacties op berichten op sociale media, bijvoorbeeld om de zichtbaarheid van bepaalde accounts of berichten te vergroten, nepinformatie te verspreiden of nepaanbiedingen te promoten.    

Volgens een recent rapport van het Franse bedrijf Thales, dat zich onder andere bezighoudt met cybersecurity, is inmiddels 53 procent van al het internetverkeer afkomstig van bots. Het internet wordt dus niet meer gedomineerd door mensen, maar door geautomatiseerde robots. Uit hetzelfde rapport blijkt ook dat zo’n 40 procent van al het internetverkeer bestaat uit kwaadaardige bots.

Lees ook:

• Cybersecurity-expert Geert Baudewijns onderhandelt met hackers: ‘Wanneer mensen denken alles kwijt te zijn, help ik ze uit de brand’
• Zeppelinachtige vliegmachine belooft razendsnel internet voor iedereen

Bots krijgen hulp van AI

Vanwege deze dreiging vragen steeds meer websites je om te bewijzen dat je geen robot bent. Soms hoef je daarvoor alleen een vakje aan te vinken en andere keren krijg je een aantal foto’s te zien en moet je bijvoorbeeld aanwijzen op welke er een fiets staat. Bots gedragen zich anders dan menselijke bezoekers, waardoor deze simpele tests de ongewenste robot-bezoekers vaak gemakkelijk kunnen identificeren en blokkeren.

Maar deze tools zijn niet meer voldoende, waarschuwt Thales. Steeds meer bots krijgen hulp van AI, waardoor ze zich veel menselijker gedragen en het moeilijker is om ze te identificeren. Het aantal aanvallen met AI-bots in 2025 was 12,5 keer hoger dan in het jaar daarvoor. Dat is al een gigantisch snelle toename, maar het daadwerkelijke aantal ligt waarschijnlijk nog hoger, omdat niet alle AI-bots worden gedetecteerd.

Het beveiligen van websites en digitale diensten wordt hierdoor ingewikkelder; bots zijn niet meer simpel te herkennen. Extra lastig is de komst van AI-assistenten, die in opdracht van een menselijke internetgebruiker taken uitvoeren. Het is moeilijk om deze goedbedoelde AI-hulpjes te onderscheiden van kwaadwillende AI-bots.

Kwetsbaar doelwit

Thales waarschuwt ook dat steeds meer aanvallen (27 procent) zijn gericht op zogenoemde application programming interfaces (API’s). Een API is de manier waarop softwareprogramma’s met elkaar communiceren en gegevens uitwisselen. Veel websites, apps en digitale diensten zijn afhankelijk van zulke interfaces om goed te functioneren. Zo gebruikt een webwinkel API’s bijvoorbeeld voor betalingen, voorraadbeheer of klantaccounts.

API’s zijn aantrekkelijk voor hackers omdat ze vaak directe toegang geven tot gegevens en functionaliteiten van een dienst, zonder dat daar een gewone website aan te pas komt. Daardoor kunnen ze sneller en op grotere schaal geautomatiseerde aanvallen uitvoeren. Bots kunnen bijvoorbeeld proberen massaal in te loggen met gestolen wachtwoorden of grote hoeveelheden gegevens verzamelen. Ook zijn API’s soms onvoldoende beveiligd, waardoor bots of hackers toegang kunnen krijgen tot informatie of functies waarvoor ze eigenlijk geen toestemming hebben.

In het rapport geeft Thales bedrijven verschillende tips om hun websites en digitale diensten beter te beschermen. Volgens het bedrijf is het niet langer voldoende om bots alleen te herkennen en blokkeren. Door de opkomst van AI-bots wordt het moeilijker om onderscheid te maken tussen legitieme en kwaadwillende automatisering. Daarom moeten organisaties volgens Thales niet alleen kijken óf iets een bot is, maar vooral wat die bot probeert te doen en of dat gedrag is toegestaan. Daarnaast adviseert het bedrijf om API’s veel beter te beveiligen.

Bron: Thales

Beeld: Andriy Onufriyenko/Getty Images