Cosa sono i Ticket Scalping Bots

Lo scalping nella sua iterazione moderna, noto anche come acquisto in massa o automatizzato, è una minaccia per i siti di eCommerce e ticketing che vendono prodotti e servizi richiesti. Gli scalper sono attori cattivi che acquistano biglietti o unità di prodotti utilizzando metodi scalabili che non sono disponibili agli utenti ordinari. I ticket bots sono software automatizzati usati per acquistare biglietti in massa.

Nella maggior parte dei mercati, oltre il 40% di tutte le prenotazioni di biglietti online è ora fatto da software automatizzati, per essere rivenduto in seguito, nonostante le leggi siano state approvate appositamente per affrontare la situazione. Questo rende lo scalping, e in particolare lo scalping guidato da bot, una grande preoccupazione per i venditori.

L’industria del Ticket Scalping

Lo scalping è solitamente associato ai biglietti venduti per eventi, ma i robot scalper possono anche essere usati per acquistare prodotti fisici all’ingrosso da rivendere.

Lo scalping è un business redditizio che esiste dal 1800. Man mano che sempre più scalper passano ad usare strumenti automatizzati, la portata del problema sta crescendo. I bot di scalping sono economici, facili da eseguire e forniscono un ritorno sugli investimenti molto elevato per gli scalper.

C’è un controllo normativo limitato e praticamente nessun procedimento giudiziario contro gli scalper, permettendo loro di operare senza interruzioni. I bagarini preferiscono operare da piccoli paesi con poche spese generali di regolamentazione, così come da paradisi fiscali come l’Isola di Man. L’importazione di biglietti è un’industria che genera 15 miliardi di dollari all’anno di entrate globali.

Gli scalper studiano i prossimi eventi e lanci di prodotti con settimane o mesi di anticipo, per prepararsi al lavoro. Quando c’è una vendita su Internet, i bot di scalping sono pronti ad acquistare un prodotto popolare o i biglietti per un evento entro millisecondi dal suo lancio. Gli scalper superano i singoli acquirenti, raccogliendo l’inventario e causando una carenza per i consumatori regolari, facendo salire i prezzi di mercato.

Come funzionano gli attacchi automatizzati di scalping

Gli scalper usano i bot di biglietti per attaccare i siti web in tre fasi:

1. Monitorando i siti web di destinazione e creando account – noti anche come drop checking o spinning, gli scalper usano i bot per sondare costantemente i siti dei rivenditori, i siti degli eventi e anche Twitter e altri feed dei social media, per identificare nuovi lanci interessanti. In parallelo i bagarini usano i bot per creare automaticamente degli account falsi, o .
2. Aggiungi al carrello – i bot bagarini devono essere i primi ad aggiungere l’articolo desiderato al carrello della spesa. Per essere in grado di fare acquisti multipli senza essere rilevati bloccati, i bot scalper hanno bisogno di aggirare i controlli di sicurezza come le limitazioni di inventario, s, e altro. In genere si affidano a reti di proxy residenziali in modo che ogni richiesta provenga da un indirizzo IP legittimo completamente diverso. Gli operatori avanzati rasano ulteriori millisecondi dal processo di acquisizione, distribuendo i server, mettendoli più vicini ai siti web dei rivenditori o degli eventi per minimizzare la latenza.
3. Checkout automatizzato- infine, i bot scalper automatizzano l’acquisto effettivo. Accedono per creare nuovi account, o inseriscono tutte le informazioni necessarie per utilizzare un account ospite, e inseriscono il pagamento tramite una lista a rotazione di carte di credito. Per evitare il rilevamento, usano profili di fatturazione diversi per ogni acquisto, e mescolano credenziali, nomi e formati di indirizzo.

Strategie di difesa facili contro i ticket bot

Puoi usare le seguenti strategie per difendere il tuo sito di eventi o eCommerce dai ticket bot:

• Blocca le versioni obsolete del browser, o applica una protezione potente, perché la maggior parte dei bot usa browser virtualizzati con versioni non aggiornate.
• Imposta limiti di velocità per API, applicazioni mobili e siti web per prevenire l’abuso automatico.
• Blocca i provider di hosting e i proxy comunemente usati dai bagarini, come Digital Ocean, OVH SAS, OVH Hosting e Choopa.
• Guarda i login non riusciti, che spesso indicano attività dei bot.

Tecniche di difesa avanzate

Le seguenti tecniche forniscono una protezione più completa contro i bot cattivi in generale, e i ticket bot in particolare.

Device fingerprinting

I bot che tentano lo scalping devono operare in scala, e non possono cambiare il loro dispositivo ogni volta. Dovranno cambiare browser, svuotare la cache, o usare la modalità browser in incognito, usare macchine virtuali o emulatori. Il fingerprinting del dispositivo può aiutare a identificare un insieme di parametri del browser e del dispositivo che rimangono gli stessi tra le sessioni, il che probabilmente significa che la stessa entità si sta connettendo più volte.

Convalida del browser

Alcuni bot maligni possono fingere di eseguire un particolare browser, quindi passare attraverso gli user agent per evitare di essere rilevati. La convalida del browser comporta la conferma che ogni browser dell’utente sia davvero quello che dichiara di essere. Per esempio, questo può essere fatto controllando che il browser abbia l’agente JavaScript previsto, che effettui le chiamate nei modi previsti e che esibisca i modelli di comportamento attesi dagli utenti umani.

Analisi della reputazione

Ci sono bot software noti con modelli comportamentali e tecnici prevedibili, o anche IP identificabili. Avere accesso a un database di modelli di bot ti permette di identificare i bot conosciuti che accedono al tuo sito. Il traffico che può apparire a prima vista come un vero utente umano, può essere facilmente identificato come un bot incrociandolo con i modelli noti di bot cattivi.

Analisi del comportamento del machine learning

Gli utenti umani di un sito di pagamento hanno modelli di comportamento prevedibili. I bot si comportano tipicamente in modo diverso, ma in modi che non è sempre possibile specificare o identificare in anticipo. L’analisi comportamentale di metriche come gli URL richiesti, il coinvolgimento del sito web, i movimenti del mouse e le strisciate del cellulare, rende possibile scoprire utenti o transazioni che sono anomale o sospette. Questo può aiutare a identificare i bot cattivi.

Sfide progressive

Quando si sospetta un bot, si dovrebbero avere diversi modi per verificare se il traffico è davvero umano. Al fine di evitare interruzioni agli utenti reali, è meglio provare diverse sfide progressivamente difficili, in modo che tutti i bot, tranne i più avanzati, falliscano nelle prime fasi della sfida:

• Cookies-verifica se l’utente/robot accetta i cookies (invisibile agli utenti reali)
• JavaScript-verifica se il bot può renderizzare Javascript (rallenta leggermente la pagina per un utente)
• -controlla se il bot può eseguire un’azione complessa per l’utente (disturba gli utenti)

Imperva Bot Management

La soluzione Advanced Bot Protection di Imperva può proteggerti dai bot dei biglietti utilizzando tutte le misure di sicurezza avanzate di cui sopra, permettendoti di identificare i bot cattivi con il minimo disturbo al traffico reale degli utenti:

• Device fingerprinting
• Convalida del browser
• Analisi comportamentale
• Analisi della reputazione
• Sfide progressive

Inoltre, Imperva copre le misure di sicurezza aggiuntive che completano una strategia bot difensiva. Offre l’autenticazione a più fattori e la sicurezza API – assicurando che solo il traffico desiderato possa accedere al tuo endpoint API, e blocca gli exploit delle vulnerabilità.

Oltre alla protezione dei bot, Imperva fornisce una protezione a più livelli per assicurarsi che i siti web e le applicazioni siano disponibili, facilmente accessibili e sicuri, tra cui:

• Protezione DDoS – mantiene l’uptime in ogni situazione. Impedisci a qualsiasi tipo di attacco DDoS, di qualsiasi dimensione, di impedire l’accesso al tuo sito web e all’infrastruttura di rete.
• CDN: migliora le prestazioni del sito web e riduci i costi della larghezza di banda con un CDN progettato per gli sviluppatori. Memorizza nella cache le risorse statiche sul bordo mentre accelera le API e i siti web dinamici.
• La soluzione WAF-cloud-based permette il traffico legittimo e impedisce il traffico cattivo, salvaguardando le applicazioni sul bordo. Gateway WAF mantiene sicure le applicazioni e le API all’interno della vostra rete.
• Protezione dall’acquisizione di account: utilizza un processo di rilevamento basato sulle intenzioni per identificare e difendere dai tentativi di acquisizione degli account degli utenti per scopi dannosi.
• RASP: mantiene le vostre applicazioni al sicuro dall’interno contro gli attacchi noti e zero-day. Protezione veloce e accurata senza firma o modalità di apprendimento.