Wat zijn Ticket Scalping Bots

Scalping in zijn moderne iteratie, ook wel bekend als bulk of geautomatiseerd kopen, is een bedreiging voor eCommerce en ticketing websites die gewilde producten en diensten verkopen. Scalpers zijn slechte actoren die tickets of producteenheden kopen met behulp van schaalbare methoden die niet beschikbaar zijn voor gewone gebruikers. Ticketbots zijn geautomatiseerde software die wordt gebruikt om in bulk tickets te kopen.

In de meeste markten wordt nu meer dan 40% van alle online ticketboekingen gedaan door geautomatiseerde software, om later te worden doorverkocht, ondanks wetten die speciaal zijn aangenomen om de situatie aan te pakken. Dit maakt scalping, en specifiek bot-gedreven scalping, een grote zorg voor verkopers.

The Ticket Scalping Industry

Scalping wordt meestal geassocieerd met tickets die worden verkocht aan evenementen, maar scalperrobots kunnen ook worden gebruikt om fysieke producten in bulk te kopen voor wederverkoop.

Scalping is een winstgevende business die al sinds de jaren 1800 bestaat. Naarmate meer scalpers overgaan op het gebruik van geautomatiseerde hulpmiddelen, neemt de omvang van het probleem toe. Scalping-bots zijn goedkoop, gemakkelijk te gebruiken en leveren scalpers een zeer hoog rendement op.

Er is beperkte regulerende controle en vrijwel geen vervolging van scalpers, waardoor ze ongestoord hun gang kunnen gaan. Scalpers opereren bij voorkeur vanuit kleine landen met weinig regelgeving en vanuit belastingparadijzen zoals het eiland Man. Het importeren van tickets is een industrie die wereldwijd $15 miljard per jaar aan inkomsten genereert.

Scalpers bestuderen komende evenementen en productlanceringen weken of maanden van tevoren, om zich voor te bereiden op een klus. Wanneer er een internetverkoop is, staan scalping bots klaar om een populair product of kaartjes voor een evenement te kopen binnen milliseconden na de lancering ervan. Scalpers concurreren individuele kopers voorbij, verzamelen voorraden en veroorzaken een tekort voor gewone consumenten, waardoor de marktprijzen stijgen.

Hoe geautomatiseerde scalping-aanvallen werken

Scalpers gebruiken ticketbots om websites in drie fasen aan te vallen:

1. Het monitoren van doelwebsites en het maken van accounts – ook bekend als drop checking of spinning, scalpers gebruiken bots om voortdurend websites van verkopers, evenementensites en zelfs Twitter en andere sociale media-feeds te onderzoeken, om interessante nieuwe lanceringen te identificeren. Tegelijkertijd gebruiken scalpers bots om automatisch nepaccounts aan te maken, of .
2. Toevoegen aan winkelwagentje-de scalper bots moeten als eerste het gewenste artikel aan het winkelwagentje toevoegen. Om meerdere aankopen te kunnen doen zonder geblokkeerd te worden, moeten scalper-bots veiligheidscontroles omzeilen, zoals inventarisbeperkingen, s, en meer. Ze vertrouwen over het algemeen op residentiële proxy-netwerken zodat elk verzoek afkomstig is van een volledig ander, legitiem IP-adres. Geavanceerde exploitanten scheren extra milliseconden van het acquisitieproces, door servers te distribueren, waardoor ze dichter bij de retailer of evenement websites om latency.
3. Automated checkout-finally, scalper bots automatiseren de eigenlijke aankoop. Ze loggen in om nieuwe accounts aan te maken, of voeren alle vereiste informatie in om een gastaccount te gebruiken, en voeren de betaling in via een roterende lijst van creditcards. Om detectie te voorkomen, gebruiken ze voor elke aankoop een ander factureringsprofiel, en mengen ze referenties, namen en adresformaten.

DIY Defense Strategies Against Ticket Bots

U kunt de volgende strategieën gebruiken om uw evenement- of e-commercesite tegen ticketbots te verdedigen:

• Blokkeer verouderde browserversies, of pas krachtige bescherming toe, omdat de meeste bots gevirtualiseerde browsers met verouderde versies gebruiken.
• Stel tarieflimieten in voor API’s, mobiele applicaties en websites om geautomatiseerd misbruik te voorkomen.
• Blokkeer hosting providers en proxies die vaak worden gebruikt door scalpers, zoals Digital Ocean, OVH SAS, OVH Hosting, en Choopa.
• Waak voor mislukte logins, die vaak wijzen op bot activiteit.

Geavanceerde verdedigingstechnieken

De volgende technieken bieden meer uitgebreide bescherming tegen slechte bots in het algemeen, en ticket bots in het bijzonder.

Device fingerprinting

Bots die scalping proberen moeten op schaal opereren, en kunnen niet elke keer hun apparaat veranderen. Ze moeten van browser veranderen, hun cache wissen, of incognito browser mode gebruiken, virtuele machines of emulators gebruiken. Device fingerprinting kan helpen bij het identificeren van een set browser- en apparaatparameters die tussen sessies hetzelfde blijven, wat waarschijnlijk betekent dat dezelfde entiteit steeds opnieuw verbinding maakt.

Browser validatie

Sommige kwaadaardige bots kunnen doen alsof ze een bepaalde browser gebruiken, en vervolgens door de user agents heenlopen om niet te worden gedetecteerd. Browservalidatie houdt in dat wordt bevestigd dat elke gebruikersbrowser werkelijk is wat hij beweert te zijn. Dit kan bijvoorbeeld worden gedaan door te controleren of de browser de verwachte JavaScript-agent heeft, op de verwachte manieren aanroepen doet en gedragspatronen vertoont die van menselijke gebruikers worden verwacht.

Reputatieanalyse

Er zijn bekende softwarebots met voorspelbare gedrags- en technische patronen, of zelfs met identificeerbare IP-adressen. Met toegang tot een database met botpatronen kunt u bekende bots identificeren die uw site bezoeken. Verkeer dat op het eerste gezicht een echte menselijke gebruiker lijkt, kan gemakkelijk als bot worden geïdentificeerd door het te vergelijken met bekende slechte botpatronen.

Machine learning behavior analysis

Menselijke gebruikers van een betaalsite hebben voorspelbare gedragspatronen. Bots zullen zich doorgaans anders gedragen, maar op manieren die je niet altijd van tevoren kunt aangeven of identificeren. Gedragsanalyse van metrics zoals aangevraagde URL’s, website-engagement, muisbewegingen en mobiele swipes, maakt het mogelijk om gebruikers of transacties te ontdekken die afwijkend of verdacht zijn. Dit kan helpen om slechte bots te identificeren.

Progressive Challenges

Wanneer u een bot vermoedt, moet u verschillende manieren hebben om te verifiëren of het verkeer echt menselijk is. Om echte gebruikers niet te storen, kunt u het beste verschillende progressief moeilijke uitdagingen proberen, zodat alle bots, behalve de meest geavanceerde, in eerdere stadia van de uitdaging zullen falen:

• Cookies-controleert of de gebruiker / bot cookies accepteert (onzichtbaar voor echte gebruikers)
• JavaScript-controleert of de bot Javascript kan renderen (vertraagt de pagina enigszins voor een gebruiker)
• -controleert of de bot een complexe gebruikersactie kan uitvoeren (verstorend voor gebruikers)

Imperva Bot Management

De oplossing Advanced Bot Protection van Imperva kan bescherming bieden tegen ticketbots door gebruik te maken van alle geavanceerde beveiligingsmaatregelen die hierboven zijn beschreven, zodat u slechte bots kunt identificeren met minimale verstoring van het echte gebruikersverkeer:

• Device fingerprinting
• Browser validatie
• Gedragsanalyse
• Reputatieanalyse
• Progressieve uitdagingen

Daarnaast dekt Imperva de aanvullende beveiligingsmaatregelen die een defensieve botstrategie aanvullen. Het biedt multifactorauthenticatie en API-beveiliging – om ervoor te zorgen dat alleen gewenst verkeer toegang heeft tot uw API-eindpunt, en blokkeert exploits van kwetsbaarheden.

Naast botbescherming biedt Imperva meerlaagse bescherming om ervoor te zorgen dat websites en applicaties beschikbaar, gemakkelijk toegankelijk en veilig zijn, inclusief:

• DDoS-bescherming-handhaaf uptime in alle situaties. Voorkom dat DDoS-aanvallen van welke omvang dan ook de toegang tot uw website en netwerkinfrastructuur verhinderen.
• CDN-verbeter de prestaties van uw website en verlaag de bandbreedtekosten met een CDN dat is ontworpen voor ontwikkelaars. Cache statische bronnen aan de rand terwijl API’s en dynamische websites worden versneld.
• WAF-cloud-gebaseerde oplossing staat legitiem verkeer toe en voorkomt slecht verkeer, het beschermen van toepassingen aan de rand. Gateway WAF houdt toepassingen en API’s binnen uw netwerk veilig.
• Bescherming tegen accountovername-maakt gebruik van een op intentie gebaseerd detectieproces voor het identificeren van en verdedigen tegen pogingen om accounts van gebruikers over te nemen voor kwaadaardige doeleinden.
• RASP-houdt uw toepassingen van binnenuit veilig tegen bekende en ‘zero-day’-aanvallen. Snelle en nauwkeurige bescherming zonder handtekening of leermodus.