O que são Scalping Bots de Bilhetes

Scalping na sua iteração moderna, também conhecido como compra a granel ou automatizada, é uma ameaça aos sites de comércio electrónico e de venda de bilhetes que vendem produtos e serviços procurados. Os escaladores são maus atores que compram ingressos ou unidades de produtos usando métodos escaláveis que não estão disponíveis para usuários comuns. Bots de bilhetes são softwares automatizados usados para comprar bilhetes em massa.

Na maioria dos mercados, mais de 40% de todas as reservas de bilhetes online são agora feitas por software automatizado, a fim de serem revendidos mais tarde, apesar de leis serem aprovadas especificamente para lidar com a situação. Isto torna o escalping, e especificamente o bot-driven scalping, uma grande preocupação para os vendedores.

A indústria de escalping de bilhetes

O escalping está normalmente associado a bilhetes vendidos para eventos, mas os robôs scalper também podem ser usados para comprar produtos físicos a granel para revenda.

O escalping é um negócio lucrativo que existe desde os anos 1800. À medida que mais scalpers passam a usar ferramentas automatizadas, o escopo do problema está crescendo. Os bots de escalonamento são baratos, fáceis de operar e proporcionam um retorno de investimento muito alto para os scalpers.

Existe um controle regulatório limitado e praticamente nenhum processo judicial contra os scalpers, permitindo que eles operem sem interrupções. Os scalpers preferem operar a partir de países pequenos com pouca sobrecarga regulatória, assim como a partir de paraísos fiscais como a Ilha de Man. A importação de ingressos é um setor que gera US$ 15 bilhões por ano em receitas globais.

Os scalpers estudam os próximos eventos e lançamentos de produtos com semanas ou meses de antecedência, para se prepararem para um trabalho. Quando há uma venda pela Internet, os bots de escalada estão prontos para comprar um produto popular ou ingressos para um evento em milissegundos após o seu lançamento. Os scalpers superam os compradores individuais, reunindo estoques e causando escassez para consumidores regulares, elevando os preços de mercado.

Como funcionam os ataques automatizados de scalping

Os scalpers usam bots de ingressos para atacar sites em três etapas:

1. Monitorando sites-alvo e criando contas – também conhecidos como drop checking ou spinning, os scalpers usam bots para constantemente sondar sites de varejistas, sites de eventos e até mesmo Twitter e outros feeds de mídias sociais, para identificar novos lançamentos interessantes. Em paralelo os scalpers usam bots para criar automaticamente contas falsas, ou .
2. Adicionar ao carrinho – os scalpers precisam ser os primeiros a adicionar o item desejado ao carrinho de compras. Para poder fazer várias compras sem ser detectado bloqueado, os bots scalper precisam ignorar controles de segurança como limitações de estoque, s, e muito mais. Eles geralmente dependem de redes de proxy residenciais, portanto cada pedido vem de um endereço IP completamente diferente e legítimo. Operadores avançados raspam milissegundos adicionais do processo de aquisição, distribuindo servidores, colocando-os mais perto de sites de varejo ou de eventos para minimizar a latência.
3. Checkout-finally, scalper bots automatizam a compra real. Eles fazem login para criar novas contas, ou introduzem todas as informações necessárias para usar uma conta de convidado, e introduzem o pagamento através de uma lista rotativa de cartões de crédito. Para evitar a detecção, eles usam perfis de faturamento diferentes para cada compra, e misturam credenciais, nomes e formatos de endereço.

DIY Defense Strategies Against Ticket Bots

Pode usar as seguintes estratégias para defender o seu evento ou site de eCommerce contra bots de bilhetes:

• Bloquear versões obsoletas de browsers, ou aplicar uma protecção poderosa, porque a maioria dos bots usam browsers virtualizados com versões desactualizadas.
• Definir limites de taxa para APIs, aplicações móveis e sites para evitar abusos automatizados.
• Provedores de hospedagem de bloco e proxies comumente usados por scalpers, como Digital Ocean, OVH SAS, OVH Hosting e Choopa.
• Vigilância para logins malsucedidos, que muitas vezes indicam atividade de bot.

Técnicas Avançadas de Defesa

As técnicas a seguir fornecem uma proteção mais abrangente contra bots ruins em geral, e bots de bilhetes em particular.

Dispositivo de impressão digital

Bots que estão tentando escalar precisam operar em escala, e não podem mudar seu dispositivo toda vez. Eles precisarão mudar os navegadores, limpar o cache ou usar o modo de navegador incógnito, usar máquinas virtuais ou emuladores. A impressão digital do dispositivo pode ajudar a identificar um conjunto de parâmetros de navegador e dispositivo que permanecem os mesmos entre sessões, o que provavelmente significa que a mesma entidade está se conectando novamente e novamente.

Validação do navegador

Alguns bots maliciosos podem fingir que estão rodando um navegador em particular, e depois passar por agentes do usuário para evitar serem detectados. A validação do navegador envolve confirmar que cada navegador do usuário é realmente o que ele diz ser. Por exemplo, isso pode ser feito verificando se o navegador tem o agente JavaScript previsto, se está fazendo chamadas de maneiras esperadas e exibe padrões de comportamento esperados dos usuários humanos.

Análise de Reputação

Existem bots de software conhecidos com padrões comportamentais e técnicos previsíveis, ou mesmo identificando IPs. Ter acesso a um banco de dados de padrões de bot permite identificar bots conhecidos que acessam o seu site. O tráfego que pode parecer à primeira vista ser um verdadeiro usuário humano, pode ser facilmente identificado como um bot, cruzando-o com padrões conhecidos de bot ruins.

Análise do comportamento de aprendizagem da máquina

Usuários humanos de um site de pagamento têm padrões de comportamento previsíveis. Bots normalmente se comportarão de maneira diferente, mas de maneiras que você nem sempre pode especificar ou identificar com antecedência. A análise comportamental de métricas como URLs solicitadas, envolvimento do site, movimentos do mouse e swipes móveis, torna possível descobrir usuários ou transações que são anômalas ou suspeitas. Isto pode ajudar a identificar maus bots.

Desafios progressivos

Quando você suspeitar de um bot, você deve ter várias maneiras de verificar se o tráfego é realmente humano. A fim de evitar perturbações para utilizadores reais, é melhor tentar vários desafios progressivamente difíceis, para que todos os bots, excepto os mais avançados, falhem nos estágios iniciais do desafio:

• Cookies-check se o usuário / bot aceita cookies (invisível para usuários reais)
• JavaScript-checks se o bot pode renderizar Javascript (torna a página um usuário um pouco mais lenta)
• verifica se o bot pode executar uma ação complexa do usuário (perturbadora para os usuários)

Imperva Bot Management

A solução Advanced Bot Protection da Imperva pode protegê-lo contra bots de bilhetes usando todas as medidas avançadas de segurança cobertas acima, permitindo que você identifique bots ruins com interrupção mínima do tráfego real do usuário:

• Dispositivo de impressão digital
• Validação do navegador
• Análise comportamental
• Análise de reputação
• Desafios progressivos

Além disso, a Imperva cobre as medidas de segurança adicionais que complementam uma estratégia defensiva de bot. Ele oferece autenticação multi-factor e segurança API – garantindo que apenas o tráfego desejado possa acessar o seu terminal API, e bloqueia exploits de vulnerabilidades.

Além da proteção de bot, a Imperva fornece proteção multi-camadas para garantir que websites e aplicativos estejam disponíveis, facilmente acessíveis e seguros, incluindo:

• Proteção DDoS – mantenha o tempo de atividade em todas as situações. Impede que qualquer tipo de ataque DDoS, de qualquer tamanho, impeça o acesso ao seu website e infra-estrutura de rede.
• CDN – melhore o desempenho do website e reduza os custos de largura de banda com um CDN projetado para desenvolvedores. Cache de recursos estáticos na borda enquanto acelera APIs e sites dinâmicos.
• Solução baseada em WAF-cloud permite tráfego legítimo e previne tráfego ruim, salvaguardando aplicações na borda. Gateway WAF mantém as aplicações e APIs dentro da sua rede segura.
• Proteção de tomada de conta – utiliza um processo de detecção baseado em intenção para identificar e defender contra tentativas de tomar conta de usuários para fins maliciosos.
• RASP – mantém suas aplicações seguras de dentro contra ataques conhecidos e de dia zero. Proteção rápida e precisa sem assinatura ou modo de aprendizagem.