Co to są Ticket Scalping Bots

Skalpowanie w swojej nowoczesnej iteracji, znane również jako masowe lub zautomatyzowane kupowanie, jest zagrożeniem dla eCommerce i witryn biletowych sprzedających poszukiwane produkty i usługi. Scalperzy to źli aktorzy, którzy kupują bilety lub jednostki produktów przy użyciu skalowalnych metod, które nie są dostępne dla zwykłych użytkowników. Boty biletowe to zautomatyzowane oprogramowanie używane do masowego zakupu biletów.

Na większości rynków ponad 40% wszystkich rezerwacji biletów online jest obecnie dokonywanych przez zautomatyzowane oprogramowanie, w celu ich późniejszej odsprzedaży, pomimo przepisów prawnych uchwalonych specjalnie w celu rozwiązania tego problemu. To sprawia, że skalpowanie, a w szczególności skalpowanie napędzane botami, jest głównym problemem dla sprzedawców.

Przemysł skalpowania biletów

Skalpowanie jest zwykle związane z biletami sprzedawanymi na wydarzenia, ale roboty skalpujące mogą być również używane do masowego zakupu produktów fizycznych w celu odsprzedaży.

Skalpowanie jest dochodowym biznesem, który istnieje od 1800 roku. W miarę jak coraz więcej scalperów przechodzi na używanie zautomatyzowanych narzędzi, zakres problemu rośnie. Boty do skalpowania są tanie, łatwe do uruchomienia i zapewniają skalperom bardzo wysoki zwrot z inwestycji.

Na rynku istnieje ograniczona kontrola regulacyjna i praktycznie nie ma ścigania skalperów, co pozwala im działać bez przeszkód. Skalperzy wolą działać w małych krajach o niewielkich ograniczeniach regulacyjnych, a także w rajach podatkowych, takich jak Wyspa Man. Import biletów to branża generująca 15 miliardów dolarów rocznie w globalnych przychodach.

Skalperzy badają nadchodzące wydarzenia i premiery produktów tygodnie lub miesiące wcześniej, aby przygotować się do pracy. W przypadku sprzedaży internetowej, boty scalpingowe są gotowe do zakupu popularnego produktu lub biletów na wydarzenie w ciągu milisekund od jego uruchomienia. Skalperzy prześcigają indywidualnych nabywców, gromadząc zapasy i powodując niedobór dla zwykłych konsumentów, podnosząc ceny rynkowe.

Jak działają zautomatyzowane ataki skalpowania

Skalperzy używają botów biletowych do atakowania stron internetowych w trzech etapach:

1. Monitorowanie docelowych stron internetowych i tworzenie kont – znane również jako sprawdzanie spadków lub przędzenie, skalperzy używają botów do ciągłego sondowania stron internetowych sprzedawców detalicznych, stron wydarzeń, a nawet Twittera i innych kanałów mediów społecznościowych, aby zidentyfikować interesujące nowe premiery. Równolegle scalperzy używają botów do automatycznego tworzenia fałszywych kont, lub .
2. Dodaj do koszyka – boty scalperów muszą być pierwszymi, którzy dodadzą pożądany element do koszyka. Aby móc dokonywać wielokrotnych zakupów bez wykrycia blokady, boty scalające muszą ominąć kontrole bezpieczeństwa, takie jak ograniczenia zapasów, s, i więcej. Zazwyczaj polegają one na domowych sieciach proxy, więc każde żądanie pochodzi z zupełnie innego, legalnego adresu IP. Zaawansowani operatorzy oszczędzają dodatkowe milisekundy z procesu nabycia, poprzez dystrybucję serwerów, umieszczając je bliżej witryn sprzedawców detalicznych lub stron internetowych wydarzeń w celu zminimalizowania opóźnień.
3. Zautomatyzowana kasa- Ostatecznie, boty scalające automatyzują rzeczywisty zakup. Logują się w celu utworzenia nowego konta lub wprowadzają wszystkie wymagane informacje, aby korzystać z konta gościa, a następnie wprowadzają płatność za pomocą rotującej listy kart kredytowych. Aby uniknąć wykrycia, używają różnych profili rozliczeniowych dla każdego zakupu i mieszają dane uwierzytelniające, nazwiska i formaty adresów.

DIY Defense Strategies Against Ticket Bots

Możesz użyć następujących strategii, aby obronić swoje wydarzenie lub witrynę eCommerce przed botami biletowymi:

• Zablokuj przestarzałe wersje przeglądarek lub zastosuj silną ochronę, ponieważ większość botów używa zwirtualizowanych przeglądarek z przestarzałymi wersjami.
• Ustaw limity stawek dla interfejsów API, aplikacji mobilnych i witryn internetowych, aby zapobiec automatycznym nadużyciom.
• Zablokuj dostawców usług hostingowych i serwerów proxy powszechnie używanych przez scalperów, takich jak Digital Ocean, OVH SAS, OVH Hosting i Choopa.
• Obserwuj nieudane logowania, które często wskazują na aktywność botów.

Zaawansowane techniki obrony

Następujące techniki zapewniają bardziej kompleksową ochronę przed złymi botami w ogóle, a botami biletowymi w szczególności.

Device fingerprinting

Boty, które próbują skalpować, muszą działać na skalę i nie mogą zmieniać urządzenia za każdym razem. Będą musiały zmieniać przeglądarki, czyścić pamięć podręczną lub używać trybu incognito przeglądarki, korzystać z maszyn wirtualnych lub emulatorów. Device fingerprinting może pomóc zidentyfikować zestaw parametrów przeglądarki i urządzenia, które pozostają takie same między sesjami, co prawdopodobnie oznacza, że ta sama jednostka łączy się wielokrotnie.

Weryfikacja przeglądarki

Niektóre złośliwe boty mogą udawać, że uruchamiają konkretną przeglądarkę, a następnie cyklicznie przechodzić przez agentów użytkownika, aby uniknąć wykrycia. Walidacja przeglądarki polega na potwierdzeniu, że każda przeglądarka użytkownika jest naprawdę tym, za co się podaje. Na przykład, można to zrobić poprzez sprawdzenie, czy przeglądarka posiada oczekiwanego agenta JavaScript, wykonuje połączenia w oczekiwany sposób i wykazuje wzorce zachowań oczekiwane od ludzkich użytkowników.

Analiza reputacji

Są znane boty programowe z przewidywalnymi wzorcami behawioralnymi i technicznymi, a nawet identyfikujące IP. Posiadanie dostępu do bazy danych wzorców botów pozwala na identyfikację znanych botów wchodzących na Twoją stronę. Ruch, który na pierwszy rzut oka może wydawać się prawdziwym ludzkim użytkownikiem, może być łatwo zidentyfikowany jako bot przez porównanie go ze znanymi wzorcami złych botów.

Analiza zachowań uczenia maszynowego

Ludzcy użytkownicy witryny płatności mają przewidywalne wzorce zachowań. Boty zazwyczaj zachowują się inaczej, ale w sposób, który nie zawsze można określić lub zidentyfikować z wyprzedzeniem. Analiza behawioralna metryk, takich jak żądane adresy URL, zaangażowanie na stronie, ruchy myszką i machnięcia telefonem komórkowym, umożliwia wykrycie użytkowników lub transakcji, które są anomalne lub podejrzane. To może pomóc w identyfikacji złych botów.

Progresywne wyzwania

W każdym przypadku, gdy podejrzewasz bota, powinieneś mieć kilka sposobów weryfikacji, czy ruch jest naprawdę ludzki. Aby uniknąć zakłóceń dla prawdziwych użytkowników, najlepiej jest wypróbować kilka stopniowo trudnych wyzwań, tak aby wszystkie, z wyjątkiem najbardziej zaawansowanych botów, zawiodły na wcześniejszych etapach wyzwania:

• Cookies-sprawdza, czy użytkownik / bot akceptuje ciasteczka (niewidoczne dla prawdziwych użytkowników)
• JavaScript-sprawdza, czy bot potrafi renderować Javascript (nieznacznie spowalnia stronę dla użytkownika)

.

• – sprawdza, czy bot może wykonywać złożone działania użytkownika (zakłócające pracę użytkowników)

Imperva Bot Management

Rozwiązanie Advanced Bot Protection firmy Imperva może chronić przed botami sprzedającymi bilety, wykorzystując wszystkie zaawansowane środki bezpieczeństwa opisane powyżej, pozwalając na identyfikację złych botów przy minimalnym zakłóceniu rzeczywistego ruchu użytkowników:

• Device fingerprinting
• Weryfikacja przeglądarki
• Analiza behawioralna
• Analiza reputacji
• Wyzwania progresywne

Ponadto Imperva obejmuje dodatkowe środki bezpieczeństwa, które uzupełniają defensywną strategię ochrony przed botami. Oferuje uwierzytelnianie wieloczynnikowe i bezpieczeństwo API – zapewniając, że tylko pożądany ruch może uzyskać dostęp do punktu końcowego API, oraz blokuje wykorzystanie luk w zabezpieczeniach.

Poza ochroną przed botami, Imperva zapewnia wielowarstwową ochronę, aby upewnić się, że strony internetowe i aplikacje są dostępne, łatwo dostępne i bezpieczne, w tym:

• Ochrona DDoS – utrzymaj czas działania w każdej sytuacji. Zapobiegaj atakom DDoS dowolnego typu, o dowolnej wielkości, uniemożliwiając dostęp do swojej witryny i infrastruktury sieciowej.
• CDN-zwiększ wydajność witryny i zmniejsz koszty przepustowości dzięki sieci CDN zaprojektowanej dla programistów. Cache statycznych zasobów na brzegu, jednocześnie przyspieszając API i dynamiczne witryny.
• WAF-oparte na chmurze rozwiązanie zezwala na legalny ruch i zapobiega złemu ruchowi, chroniąc aplikacje na brzegu. Gateway WAF zapewnia bezpieczeństwo aplikacjom i interfejsom API wewnątrz sieci.
• Ochrona przed przejęciem konta – wykorzystuje proces wykrywania oparty na intencjach w celu identyfikacji i obrony przed próbami przejęcia kont użytkowników w złych celach.
• RASP – zapewnij swoim aplikacjom bezpieczeństwo od wewnątrz przed znanymi atakami i atakami dnia zerowego. Szybka i dokładna ochrona bez sygnatur lub trybu uczenia się.