Pourquoi une attaque DDoS sur une application mobile est-elle presque impossible?

L'application mobile elle-même n'est pas directement vulnérable aux attaques DDoS dans le sens classique, car elle ne constitue pas un serveur accessible de l'extérieur. L'attaque vise l'infrastructure serveur (backend), avec laquelle l'application interagit.

Raisons pour lesquelles l'application mobile elle-même ne peut pas être une cible DDoS:

1. Absence d'adresse IP externe: L'application fonctionne sur l'appareil de l'utilisateur et ne possède pas d'adresse IP publique constante accessible pour des requêtes massives.
2. Ressources limitées: Les ressources de l'appareil mobile (réseau, CPU, mémoire) sont trop limitées pour gérer un grand nombre de requêtes entrantes, typiques d'une attaque DDoS.
3. Protocole d'interaction: L'application utilise des protocoles (HTTP/S, WebSocket) pour des requêtes sortantes vers le serveur, et non pour des requêtes entrantes depuis Internet.

L'objectif de l'attaque peut être:

• Serveurs backend: surcharge de l'API, des bases de données, des microservices.
• CDN/WAF: surcharge des systèmes de livraison de contenu ou des applications web.
• DNS: surcharge des serveurs DNS responsables de la résolution du nom de domaine du backend.

Ainsi, une attaque DDoS vise la disponibilité du service fourni via l'application mobile, et non l'application elle-même.

Dans de rares cas, une application mobile malveillante peut faire partie d'un botnet pour mener des attaques DDoS contre d'autres services, en utilisant les ressources de l'appareil de l'utilisateur. Ce n'est pas une attaque contre l'application, mais l'utilisation de l'application pour attaquer.