Боты в интернет-торговле представляют угрозу для онлайн-безопасности, поэтому владельцам магазинов следует принять меры по борьбе с такими мошенниками. Однако стоит учесть три ключевых аспекта:
- полностью остановить атаки вредоносных ботов невозможно;
- мошенники постоянно развивают свои технологии;
- компании могут защитить себя и своих клиентов от автоматизированных атак и укрепить репутацию своего бренда.
С ростом количества интернет-магазинов произошел и рост мошенничества со стороны киберпреступников.
Недавнее исследование компании Imperva, которая разрабатывает решения в области кибербезопансоти, показало, что 30,8% трафика на сайты электронной коммерции составляли боты, из которых 17,7% были вредоносными.
Это опасная тенденция и большая проблема не только для владельцев ресурсов, но и для покупателей. Кибератаки становятся все более решительными и изобретательными. В ходе опроса, проведенного компанией Kount, которая занимается защитой сайтов от ботов, 88% компаний сообщили, что они прикладывают максимум усилий для борьбы с мошенниками и вредоносными атаками.
Кто такие боты
Бот (сокращение от английского слова robot — робот) — это такая программа или приложение, предназначенное для выполнения автоматизированных задач. Почему используют их вместо обычных людей? С точки зрения совершения рутинных операций, они более эффективны и делают их намного быстрее. При этом они подразделяются на хорошие и плохие.
Чат-боты — это пример “хороших” роботов. Их используют для автоматической обработки запросов потенциальных покупателей и клиентов либо до общения с сотрудниками службы поддержки, либо вместо них, например, в ночное время. Они просто необходимы для интернет-магазинов.
Однако есть и плохие боты. В руках хакера или другого злоумышленника они используются для имитации действий реальных пользователей и совершения различных вредоносных операций с целью получения выгоды тем, кто им управляет.
Согласно исследованию экспертов Kount, 2/3 компаний заявили, что одна такая атака стоила их компании более 100 000 долларов упущенной выгоды.
Генерируя цифровые удостоверения личности, такие боты могут не только совершать покупки в интернет-магазине быстрее любого реального пользователя. Они также используют уязвимости в управлении непрерывным жизненным циклом учетных записей и прав доступа ко всем информационным ресурсам компании и удалять тысячи товаров за считанные секунды. Чаще всего это происходит из-за того, что система не может отличить реального человека от вредоносного бота.
У тех, кто направляет такие атаки на интернет-магазины, различные мотивы. Хакеры, которые совершают злонамеренные атаки не ради выгоды (“black hat” hackers), возможно, просто преследуют цель доказать свои возможности, что для них разрушить чей-то бизнес ничего не стоит. А вот хактивисты уже используют свои навыки для того, чтобы проучить неугодный бренд из-за социальной или этической позиции.
Есть еще и такие мошенники, которые используют ботов уже для быстрой скупки товаров интернет-магазина и их последующей перепродажи на других площадках по завышенной цене. Как правило, это касается дорогих лимитированных брендовых вещей.
Каковы бы ни были мотивы киберпреступников, компании, занятые в интернет-торговле, все чаще становятся жертвами вредоносных атак.
Виды атак и ботов, которые угрожают интернет-торговле
Боты могут приводить к снижению производительности сайта, его простою, раскрытию конфиденциальных данных покупателей и потере дохода владельцами бизнеса. Поэтому крайне важно, чтобы интернет-магазины внедряли и поддерживали надежные меры безопасности против следующих типов вредоносных атак.
Боты для «парковки» товаров («товара нет в наличии»)
Это тот тип ботов, которые выбирают товары на сайте интернет-магазина и добавляют их в корзину, но не оформляют заказ. Таким образом, они «паркуют» товар и делают его недоступным для реальных покупателей.
Причем, делают они это регулярно. Даже если по прошествии определенного времени корзина была автоматически очищена, он снова вернется на сайт и добавит этот товар в корзину. Такие мошеннические действия, как правило, совершаются конкурентами. То есть реальный покупатель придет на сайт интернет-магазина, увидит, что нужного товара нет в наличии (а мы знаем, что он был «припаркован» вредоносным ботом) и уйдет на сайт конкурента. Таким образом, конкурентный бренд получает преимущество и продает нужный товар этому покупателю, а потерпевшая сторона теряет потенциальную выгоду.
В качестве защиты от подобных действий интернет-магазины могут устанавливать лимит на время хранения товаров в корзине без оформления заказа, а также на количество регулярных добавлений в нее одного и того же товара. Однако большинство роботов умеют преодолевать даже такие способы блокировки, и делают они это при помощи использования большого количества разных IP-адресов.
Боты-скупщики
Как и в реальном мире со скупкой билетов на концерты и театры и дальнейшей их перепродажей по более высокой цене, вредоносные боты-скупщики могут делать то же самое с лимитированными коллекциями товаров в интернет-магазинах.
К примеру, вот-вот в продажу должна выйти новая игровая консоль. Покупатели ее с нетерпением ждут. Как только наступает дата релиза, боты, используя свои мощности по скорости и автоматизации, в первые же секунды скупают практически все консоли. Реальные покупатели, не успев опомниться, сразу видят надпись: «Товара нет в наличии». Им больше ничего не остается, кроме как купить эту консоль, но уже на сайте спекулянта и по более высокой цене.
С ними сложно бороться, однако есть специальные решения – антиботы, которые позволяют их определять и блокировать.
Боты-воры контента (скрейперы)
Это то же самое, что и парсеры. В этом случае копируются каталоги с товарами и размещаются на сторонних ресурсах в неизменном виде. Делается это для того, чтобы получать более высокие позиции в выдаче по уникальным карточкам товаров, чем оригинальный сайт интернет-магазина. Таким образом, потерпевшая сторона теряет доход, а иногда и престиж бренда.
К примеру, портал TheFork (проект TripAdvisor), посвященный поиску и бронированию столиков в кафе и ресторанах, испытывал резкие скачки трафика, которые приходились на праздники, во время специальных предложений и т. д. Специалисты компании понимали, что это проделки «плохих» ботов, которые пытаются выкрасть ценный контент, такой как отзывы пользователей и доступность свободных столиков в ресторанах.
Манипуляция с чужими учетными данными
В этом случае боты используют чужие учетные данные (логины и пароли реальных пользователей) с одного сайта и пытаются по ним войти на другие ресурсы. Мошенники получают их после массовой дискредитации («слива») учетных данных из открытых источников или в DarkWeb. Для таких атак привлекается большее количество ботов для совершения множества попыток входа в учетную запись. Такой тип атаки еще называется «перебор по словарю» (метод полного перебора предполагаемых паролей), что требует огромного количества попыток.
Сервис BlaBlaCar, который насчитывает порядка 40 миллионов участников, является крупнейшим в мире сообществом автобаз. Обширная база данных компаний — лакомый кусок для мошенников, кто ищут персональные данные для их использования в преступных целях. В какой-то момент сервис заметил аномальные скачки трафика и нагрузки на систему. Киберпреступники пытались получить доступ к учетным записям пользователей с целью кражи номеров кредитных карт и получения купонов, которые можно было использовать в личных целях или перепродавать.
DDoS-атаки 7 уровня
Цель данных атак на интернет-магазины ботами состоит в том, чтобы перегружать и разрушать сайт лавиной трафика.
Celio — ведущий бренд мужской одежды, представленный более чем в 50 странах по всему миру, насчитывает более 1100 магазинов. Команда Celio, как правило, анализировала трафик в каждом отдельном случае и вручную блокировала нежелательные визиты. Однако это трудоемкая задача и не совсем эффективная, когда боты используют множество IP-адресов. Однажды интернет-магазины бренда начали испытывать нагрузку от DDoS-атак 7 уровня. Атака пробивала ручную блокировку и выводила сайты из строя. В связи с чем, компания приняла решение использовать специальные сервисы защиты.
Как защитить интернет-магазин от ботов
Ниже мы привели несколько способов, которые помогут вам не стать жертвами интернет-злоумышленников и максимально защититься от вредоносных ботов.
1. Правильно интерпретируйте поступающие данные
Инструменты аналитики визитов на сайт магазина дают возможность отслеживать естественность поведения пользователей. Однако все вместе они не дают практически ничего, если их не анализировать детальнее.
К примеру, боты имитируют поведение реальных пользователей и делают это даже слишком хорошо. То есть там, где реальные люди сомневаются, роботы этого делать не будут. Они выполняют все операции автоматически и однотипно. Их конечная цель — накидать товары корзину и сделать это как можно быстрее.
В данном случае стоит отслеживать скорость кликов и перехода по страницам, выбор товаров, отвлечение на всплывающие окна, выбор опций на странице товара и т. д.
2. Создавайте конфиденциальность полного цикла
Внедрение конфиденциальности на стадии разработки (privacy by design) интернет-магазина может повысить доверие и уверенность владельцев бренда и покупателей. Если заранее заложить как можно больше защитных форм от автоматических атак, то это поможет пользователям чувствовать себя в безопасности на всем пути продвижения по сайту: от момента ввода персональных данных до оформления заказа. Пользователь будет больше доверять сайту, а владелец легко определять аномальный трафик и вычислять мошеннические действия.
3. Применяйте новые технологии
Вредоносные боты — это развивающаяся технология, которая представляет угрозу всему интернет-сообществу. Поэтому компании должны быть в курсе событий и внедрять новые технологии в свои сервисы, которые позволят им качественнее и эффективнее работать на реальных клиентов, а не на обслуживание мошенников. Это могут быть современные методы и стандарты аутентификации (например, двухфакторная аутентификация) и т. д.
4. Боритесь с ботами с помощью… ботов
В скором будущем компании, которые имеют представительства в интернете, будут активнее сотрудничать с сервисами защиты от мошеннических атак и внедрять их в свою экосистему для разработки передовых средств автоматизации роботизированных процессов (RPA) и инструментов глубокого анализа данных, чтобы обеспечить себя надежными способами противодействия вредоносным ботам.
Например, RPA можно использовать для мониторинга рынка новых технологий, которые появляются в ответ на активность ботов. Машинное обучение позволяет массово отслеживать привычки и поведение покупателей и создавать маску того, как выглядит поведение реальных людей на сайтах онлайн-магазинов.
5. Используйте антибот для сайта от Botfaqtor
Атаки вредоносных ботов на онлайн-магазины могут поставить под угрозу безопасность вашего бренда, привести к потере конфиденциальной информации, стать причиной упущенной выгоды и потери репутации. Одни лишь стандартные методы, такие как занесение IP-адресов в черный список и ограничение скорости, неэффективны при блокировании ботов в режиме реального времени. Они меняются и совершенствуются. Автоматическая онлайн-защита необходима для предотвращения таких угроз.
Защитить свой контент от скрейперов, спекулянтов и конкурентов поможет специальный антибот для сайта от Botfaqtor. Сервис анализирует всех посетителей сайта, оценивает их качество по сотне параметров и блокирует вредоносных ботов и скликивателей. Достаточно всего лишь установить код на сайт, всё остальное антибот сделает за вас.
