Le gaspillage invisible : ce que la cybercriminalité coûte vraiment à la planète

par Serge Van Cutsem

Pendant que gouvernements et médias exhortent les citoyens à baisser le chauffage d'un degré et à débrancher leurs chargeurs, une industrie parallèle brûle chaque jour, sans le moindre débat public, des quantités d'électricité colossales pour ne rien produire rien d'utile. Spam, botnets, attaques DDoS, cryptojacking : la face immatérielle de la criminalité numérique a un poids bien réel sur les centrales électriques et les ressources de la planète, et pourtant personne, ou presque, n'en parle.

Une fois n'est pas coutume, je reviens cette fois au cœur de ma profession, car ce qui suit est trop important pour que cela reste (trop) méconnu. Ce sujet n'est jamais abordé par les médias mainstream... On nous répète, avec la régularité d'un métronome, que le numérique pèse lourd sur le climat. Le grand public a fini par intégrer que streamer une série, entraîner une intelligence artificielle ou stocker des photos de vacances dans le cloud a un coût énergétique. Selon l'Agence internationale de l'énergie, les data centers ont consommé environ 415 TWh d'électricité en 2024, soit quelque 1,5% de la consommation électrique mondiale. Leur consommation progresse rapidement, à un rythme nettement supérieur à celui de la demande mondiale d'électricité. C'est un débat légitime, mais il occulte presque totalement une autre facture, tout aussi réelle, jamais présentée à l'addition collective : celle du gigantesque gâchis énergétique produit par les activités numériques malveillantes, celles qui n'ont d'autre finalité que de nuire, d'escroquer ou de détruire, et dont l'utilité sociale est non seulement strictement nulle, mais en plus très négative.

Le chiffre a de quoi donner le vertige, et pourtant il ne fait la une d'aucun média. Pire, on culpabilise les actes utiles qui utilisent l'IA et Internet, mais aucun média ne comptabilise cette consommation inutile et malveillante. Il faudrait peut-être un jour s'interroger sur cette différence de traitement. Selon le Bad Bot Report 2026 de Thales, établi à partir des données observées en 2025, 53% du trafic web est désormais automatisé : 40% provient de bots malveillants et 13% de bots considérés comme légitimes. Le trafic humain ne représente plus que 47%. Autrement dit : une part considérable de la bande passante mondiale, des serveurs qui la traitent, des routeurs qui l'acheminent et de l'électricité qui fait tourner tout cela sert à des robots qui scannent des serveurs à la recherche de failles, testent des mots de passe volés par millions, aspirent du contenu pour le revendre ou nourrissent des attaques automatisées. Ce trafic n'est pas gratuit. Chaque requête consomme du courant quelque part : dans un data center qui la traite, dans un pare-feu qui tente de la filtrer, dans un serveur qui doit être surdimensionné pour l'absorber. Et l'activité liée à l'intelligence artificielle générative n'a rien arrangé : selon Thales, les attaques de bots pilotées par IA ont été multipliées par 12,5 en un an, passant d'environ deux à vingt-cinq millions d'attaques quotidiennes observées entre 2024 et 2025.

Ce trafic fantôme n'est pas seulement une nuisance abstraite car il oblige les entreprises et les infrastructures publiques à surdimensionner leurs serveurs, leurs pare-feux et leurs capacités de filtrage, et donc à consommer plus d'électricité et à fabriquer plus de matériel, simplement pour absorber un flot de sollicitations qui n'a d'autre fonction que de nuire. C'est un peu comme si une ville devait doubler la largeur de toutes ses routes uniquement parce que la moitié des véhicules qui y circulent ne transportent personne et ne servent qu'à créer des embouteillages volontaires.

Il existe une seule étude d'ampleur mondiale ayant tenté de chiffrer précisément l'empreinte énergétique du spam : celle commandée par McAfee et menée avec ICF International, en 2009. Les résultats, à l'époque, avaient de quoi surprendre : l'envoi, le filtrage et la suppression des spams consommaient environ 33 milliards de kWh par an dans le monde, soit l'équivalent de la consommation électrique de 2,4 millions de foyers américains, pour environ 17 millions de tonnes de CO2 émises chaque année, soit à peu près l'empreinte de 3 millions de voitures particulières. Personnellement, je n'ai pas du tout le même avis que le GIEC concernant ce CO2, mais puisqu'il faut en parler... Le détail le plus révélateur de cette étude n'était même pas le volume d'énergie consommé par l'envoi des messages eux-mêmes, mais le fait que 80% de cette énergie provenait du temps passé par les êtres humains à trier, supprimer et rechercher, dans leurs filtres anti-spam, les messages légitimes noyés au milieu des "pourriels".

Ce chiffre a aujourd'hui près de vingt ans. Il a été établi avant l'explosion du cloud, avant la généralisation des smartphones et avant l'avènement de l'intelligence artificielle générative, qui permet désormais de produire des campagnes de spam et de phishing hyper-personnalisées à une échelle industrielle avec un minimum d'effort humain. Ces chiffres de 2009 ne peuvent évidemment pas être transposés tels quels à 2026 : ils démontrent surtout qu'il était déjà possible de mesurer cette consommation. Or aucune estimation mondiale comparable et largement reconnue n'a depuis lors actualisé cette facture. Le volume de courriels indésirables, frauduleux ou malveillants reste gigantesque, mais les statistiques disponibles mélangent souvent spam commercial, phishing et messages contenant effectivement une charge malveillante ; il serait donc hasardeux d'en déduire un nombre mondial précis de courriels "malveillants" par jour. Ce silence statistique n'est pas neutre : il maintient hors du champ de vision collectif une pollution numérique pourtant considérable, simplement parce qu'elle ne rentre dans aucune ligne budgétaire officielle, dans aucun bilan carbone d'entreprise, dans aucun rapport climatique national. Pourquoi ? Rien que ce mystère devrait inquiéter.

Le phénomène le plus spectaculaire, et sans doute le plus tangible physiquement, reste celui des botnets utilisés pour les attaques par déni de service distribué (DDoS). Ces réseaux d'appareils infectés, ordinateurs, mais aussi et surtout caméras de surveillance, routeurs domestiques, imprimantes connectées, téléviseurs intelligents, sont détournés à l'insu total de leurs propriétaires pour submerger des cibles de trafic parasite. L'ampleur mondiale du phénomène est difficile à mesurer, chaque opérateur ne voyant qu'une partie d'Internet. Mais Cloudflare affirme avoir, à lui seul, détecté et neutralisé 47,1 millions d'attaques DDoS en 2025, soit une moyenne d'environ 5376 attaques par heure - près de 129 000 par jour sur son infrastructure - et une progression de 121% en un an. La puissance des attaques explose également : Cloudflare a neutralisé fin 2025 une attaque record culminant à 31,4 Tbps. Le botnet Aisuru, l'un des plus actifs récemment identifiés, mobilisait à lui seul entre 1 et 4 millions d'appareils infectés. Un autre botnet géant suivi par Qrator Labs illustre cette croissance : lors d'une attaque détectée en mars 2025, 1,33 million d'adresses IP avaient dû être bloquées ; elles étaient environ 4,6 millions en mai et 5,76 millions lors d'une nouvelle attaque en septembre. Il ne s'agit pas nécessairement de 5,76 millions de machines physiques distinctes, mais l'ordre de grandeur donne une idée de la capacité de mobilisation de ces réseaux. Le célèbre botnet Mirai, qui a marqué les esprits en 2016 en paralysant une partie de l'internet américain, avait quant à lui infecté plus de 600 000 objets connectés, simplement parce que leurs identifiants de connexion par défaut n'avaient jamais été changés.

Chacune de ces machines zombies, souvent un objet aussi anodin qu'une caméra de vidéosurveillance bon marché ou une box internet oubliée dans un coin, continue de fonctionner normalement aux yeux de son propriétaire, tout en consommant en permanence de l'électricité pour le compte d'un réseau criminel qu'il ignore totalement héberger. Sur plusieurs millions d'appareils, cumulés sur des mois, voire des années d'activité continue, l'addition électrique est nécessairement considérable, même si, là encore, aucun organisme ne s'est donné la mission de la chiffrer précisément à l'échelle mondiale. À cela s'ajoute une dimension trop souvent oubliée : ces appareils compromis s'usent plus vite, chauffent davantage, tombent en panne prématurément, et finissent leur vie utile plus tôt que prévu, nourrissant un peu plus la montagne de déchets électroniques que la planète peine déjà à absorber. Le gaspillage n'est donc pas seulement électrique ; il est aussi matériel, avec son cortège de métaux rares extraits, de composants fabriqués, de transport international, pour des appareils dont une partie de la durée de vie utile aura été volée par des criminels.

Il existe une forme de détournement de ressources plus directe encore : le cryptojacking, cette pratique consistant à installer secrètement, sur l'ordinateur ou le serveur d'une victime, un logiciel de minage de cryptomonnaie qui tourne à son insu. Ici, il ne s'agit même plus d'un effet collatéral : c'est le vol pur et simple de puissance de calcul et d'électricité qui constitue le modèle économique de l'attaque. Le processeur ou la carte graphique de la victime tourne à plein régime, sa facture d'électricité grimpe, ses ventilateurs s'emballent, son matériel s'use prématurément, pendant que le profit généré par ce travail de calcul atterrit intégralement dans la poche de l'attaquant. Sur un serveur d'entreprise laissé compromis pendant des semaines, ou sur des parcs entiers de machines cloud détournées, la facture peut se chiffrer en dizaines de milliers d'euros d'électricité... pure perte, sans même parler de l'empreinte carbone quand elle n'est pas d'origine renouvelable. Non, le GIEC n'en parle jamais...

Mise bout à bout, cette économie du nuisible a un poids financier vertigineux : Cybersecurity Ventures estimait le coût mondial de la cybercriminalité à 10 500 milliards de dollars pour 2025. L'organisme estime désormais que la croissance de ce coût devrait ralentir et projette environ 12 200 milliards de dollars par an à l'horizon 2031. L'ordre de grandeur reste colossal : si la cybercriminalité était assimilée à une économie nationale, son coût annuel théorique la placerait parmi les toutes premières économies mondiales. Les seuls dégâts liés aux rançongiciels sont estimés à environ 156 millions de dollars par jour. Ces chiffres, largement relayés dans la presse spécialisée en cybersécurité, sont systématiquement présentés sous un angle exclusivement financier : coût pour les entreprises, primes d'assurance, pertes de productivité. Jamais, ou presque, ils ne sont mis en regard de leur contrepartie physique et énergétique, alors que derrière chaque euro de préjudice économique se cache un serveur qui a tourné, une machine qui a chauffé, un kilowattheure qui a été produit puis brûlé pour rien.

C'est là que réside le véritable angle mort. Le débat sur l'empreinte écologique du numérique et le débat sur la cybercriminalité vivent dans deux mondes hermétiques qui ne se parlent jamais. Les rapports sur le climat pointent du doigt les data centers, l'intelligence artificielle, le streaming vidéo, soit des usages légaux, visibles, mesurables, attribuables à des entreprises identifiées qui peuvent, à la rigueur, être sommées de rendre des comptes. Les rapports sur la cybersécurité, eux, chiffrent des pertes financières, des rançons payées, des données volées, mais ne s'aventurent jamais sur le terrain de l'empreinte carbone, parce que ce n'est simplement pas leur mandat, et parce que l'origine diffuse, criminelle et largement anonyme de cette consommation la rend difficile à attribuer à qui que ce soit de façon comptable. Résultat : une part sans doute considérable, mais scandaleusement non quantifiée, de la pollution numérique mondiale échappe purement et simplement à toute forme de responsabilité, de débat public ou de politique de réduction, alors même qu'elle ne produit, par définition, strictement aucune valeur sociale, économique ou culturelle en échange de l'énergie qu'elle engloutit.

Ce silence n'est sans doute pas totalement un hasard. Il arrange les grands acteurs du numérique, qui préfèrent qu'on scrute leur propre consommation plutôt que celle, largement indépendante d'eux, des réseaux criminels qui parasitent leurs infrastructures. Il arrange une partie de l'industrie de la cybersécurité, dont le discours reste focalisé sur la peur financière, plus vendeuse auprès des directions d'entreprise qu'un argumentaire écologique. Il arrange enfin, plus largement, un système où l'attention collective sur les enjeux climatiques est savamment orientée vers les usages légitimes et mesurables, donc vers les comportements individuels des citoyens, sommés de trier leurs déchets et de réduire leur usage d'internet, plutôt que vers une criminalité organisée, parfois tolérée voire instrumentalisée par certains États dans le cadre de guerres hybrides, et dont le coût écologique reste, lui, entièrement externalisé sur la collectivité.

Il ne s'agit pas non plus de sombrer dans une lecture complotiste : la majorité de cette criminalité relève d'organisations mafieuses purement lucratives, et non d'un plan concerté. Mais son invisibilité statistique n'est pas une vue de l'esprit : si quelques travaux scientifiques commencent à s'intéresser à l'empreinte environnementale des cyberattaques, il n'existe toujours pas de comptabilité mondiale systématique et reconnue permettant d'isoler la consommation énergétique directement ou indirectement imputable à la cybercriminalité.

Il ne s'agit pas ici de relativiser l'impact bien réel du numérique légal, ni de minimiser la responsabilité individuelle de chacun. Il s'agit de rappeler une évidence trop souvent oubliée : une part significative, et probablement croissante, à mesure que l'intelligence artificielle facilite l'industrialisation de ces attaques, de l'énergie mondiale part chaque jour en fumée pour des activités dont l'unique fonction est de nuire, d'extorquer ou de détruire, sans qu'aucun organisme international ne juge utile d'en tenir une comptabilité sérieuse. Tant que cette part du problème restera un angle mort statistique, tout discours sur la sobriété numérique restera, par construction, partiel et profondément inéquitable : on demandera des efforts à ceux qui utilisent le réseau pour créer, échanger ou apprendre, en épargnant soigneusement ceux qui ne l'utilisent que pour détruire.

Sources principales

• Imperva / Thales, Bad Bot Report 2026 : Bots in the Agentic Age
• Help Net Security, "Bad bots make up 40% of internet traffic", avril 2026
• McAfee / ICF International, The Carbon Footprint of Email Spam Report, 2009
• Cloudflare, DDoS Threat Report 2025 Q4, bilan annuel 2025
• Cybersecurity Ventures, projections mondiales du coût de la cybercriminalité, 2025 et mise à jour 2026-2031
• SaaSUltra, Statistiques sur la cybersécurité 2026
• Avast, fiche technique sur le botnet Mirai
• Agence internationale de l'énergie (AIE), Energy and AI, données 2024 sur la consommation électrique des data centers

 Serge Van Cutsem

 reseauinternational.net