Ha llegado el momento de reevaluar tus medidas contra los bots

Jim Downey

Si, como profesional de la seguridad, cree que ha resuelto el problema de la mitigación de bots, piénselo de nuevo.

Los bots provocan enormes pérdidas económicas: los bots de relleno de credenciales permiten tomar el control de cuentas; los bots de revendedores no autorizados convierten en un fiasco los lanzamientos de productos y las ofertas por tiempo limitado; los bots de extracción de datos ralentizan el rendimiento y aumentan los costes de infraestructura; y los bots que descifran tarjetas regalo agotan los saldos y enfurecen a los clientes. El impacto no solo es considerable, sino que la probabilidad de que las empresas en línea sufran un ataque se acerca al 100 %, ya que estos ataques resultan muy lucrativos para los delincuentes. Dado su gran impacto y su elevada probabilidad, está claro que necesita una estrategia de seguridad eficaz. Sin embargo, como demuestran los titulares recientes, los atacantes siguen desarrollando métodos para eludir las defensas contra bots más habituales, por lo que este es el momento adecuado para reevaluar las contramedidas que tiene implantadas contra ellos.

El 24 de enero de 2023, Joe Berchtold, presidente de Live Nation, la empresa matriz de Ticketmaster, declaró ante el Comité Judicial del Senado de Estados Unidos que los bots de reventa fueron los responsables de la mala gestión de la venta de entradas para la próxima gira de Taylor Swift. «Esto es lo que provocó una experiencia terrible para los consumidores, algo que lamentamos profundamente», afirmó Berchtold ante los senadores.

También en enero de 2023, CNET informó de que miles de usuarios del gestor de contraseñas de Norton recibieron avisos de que una parte no autorizada podría haber accedido a su información personal, así como a las contraseñas almacenadas en sus bóvedas. Gen Digital, la empresa matriz de Norton, atribuyó el incidente de seguridad a un ataque de relleno de credenciales impulsado por bots, que detectó cuando su sistema IDS (sistema de detección de intrusiones) señaló un número inusualmente elevado de intentos de inicio de sesión fallidos.

Ticketmaster había invertido en mitigar los bots, y podemos suponer que Gen Digital también contaba con medidas de protección. Sin embargo, los bots siguieron causando daños a la seguridad, afectando a la disponibilidad y la confidencialidad, además de generar mucha publicidad negativa. Esto plantea una pregunta obvia: si las soluciones antibots llevan años disponibles, ¿por qué tantas defensas contra bots no logran mitigar los bots maliciosos?

Para las organizaciones que aún dependen de CAPTCHA, la respuesta es obvia. Además de molestar a los clientes reales y reducir las tasas de conversión del comercio electrónico, CAPTCHA no funciona. Basta con buscar en Internet servicios de resolución de CAPTCHA para encontrar al menos una docena que compiten en precio y rapidez. El creador de una biblioteca de código abierto se ha propuesto conseguir que sea sumamente fácil eludir CAPTCHA:

«Los CAPTCHA, en su forma actual, han fracasado. Suponen un obstáculo y una molestia mucho mayores para las personas que para los robots, lo que los hace inútiles. Mi contribución anarquista a este debate consiste en demostrar este absurdo mediante un complemento para robots con el que basta una sola línea de código para eludir los reCAPTCHA de cualquier sitio web».

Para las organizaciones que dependen de listas de bloqueo de direcciones IP basadas en WAF para mitigar la actividad de los bots, la tarea resulta igualmente imposible. Existen servicios que ofrecen a los creadores de bots decenas de millones de direcciones IP residenciales destinadas a eludir la detección de bots. Estos servicios se anuncian como proxies residenciales rotativos: el bot envía solicitudes http al proxy, de forma similar a como muchos navegadores corporativos envían solicitudes a través de proxies directos, y el servicio cambia continuamente la dirección IP pública utilizada para enviar la solicitud al sitio web o a la API. En el pasado, los bots solían utilizar proxies de centros de datos, a menudo procedentes de servicios en la nube, que son bien conocidos y fáciles de identificar. Sin embargo, estos nuevos servicios de proxy utilizan direcciones IP residenciales de la misma zona geográfica que sus clientes. Dado que, debido al uso de NAT por parte de los ISP, cada dirección IP podría representar simultáneamente a un bot o a un cliente legítimo, no es viable bloquear todas estas direcciones IP sin impedir también el acceso a sus clientes reales.

Yendo un paso más allá, nuevos servicios comerciales como ZenRows, ScrapFly, y ScrapingBee hacen que el web scraping sea tan sencillo como llamar a una API. Estos servicios asumen toda la responsabilidad de eludir las defensas contra bots en su nombre. Aunque estos servicios basados en API se centran exclusivamente en el scraping, que es legal en Estados Unidos y la Unión Europea, los delincuentes tienen acceso a servicios similares en la web oscura que llevan a cabo ataques de bots más maliciosos, como el relleno de credenciales.

Además de los servicios comerciales, varios proyectos de código abierto están abordando la evasión de los sistemas de detección de bots. Un plugin de ocultación para Puppeteer, una popular herramienta de automatización y pruebas para Node.js, permite que Puppeteer eluda la detección. Un activo grupo de desarrolladores mantiene el proyecto en GitHub y publica actualizaciones cada vez que se descubre que algún sistema de defensa contra bots es capaz de detectarlo. Según su documentación: «Dado que este juego del gato y el ratón está en sus inicios y evoluciona rápidamente, el plugin se mantiene lo más flexible posible para facilitar pruebas e iteraciones rápidas». Una biblioteca similar, undetected-chromedriver, está dirigida a desarrolladores de Python. Siguiendo el espíritu del código abierto, estos proyectos tienen como objetivo mantener la web abierta para que los desarrolladores puedan automatizar tareas en aplicaciones. Por desgracia, los delincuentes pueden aprovechar fácilmente esta capacidad.

A medida que más organizaciones participan en la creación de proyectos de código abierto y servicios comerciales, los desarrolladores que se dedican a eludir las defensas contra bots aprenden y comparten información. Estas instrucciones guían a los lectores por los pasos necesarios para desofuscar el código JavaScript de las herramientas de detección y descifrar cómo estas empaquetan sus datos para enviarlos a su servicio de detección. Mediante ingeniería inversa del código del lado del cliente, estos desarrolladores averiguan cómo funcionan las herramientas de detección. Por ejemplo, un desarrollador de ZenRows comparte lo que aprendió sobre el tamaño de las ventanas y la forma en que los servicios de detección de bots identifican incoherencias:

«En la imagen de ejemplo de los datos del sensor, podemos ver que se envía el tamaño de la ventana. La mayoría de los datos están relacionados: el tamaño real de la pantalla, el espacio disponible y las dimensiones interiores y exteriores. Por ejemplo, las dimensiones interiores nunca deberían ser mayores que las exteriores. Los valores aleatorios no servirán en este caso. Se necesitaría un conjunto de dimensiones reales».

Teniendo en cuenta la gravedad de la amenaza, está claro que ha llegado el momento de reevaluar sus medidas para mitigar los bots. Como líder en eficacia de detección de bots, F5 puede ayudarle. Si desea conocer el estado real de la eficacia de sus medidas de mitigación, qué bots no está detectando y cuánto le está costando esto a su empresa, F5 ofrece una evaluación de amenazas y una consulta sobre el impacto de los bots en el negocio gratuitas.

Sobre el autor

Jim Downey

Más artículos de Jim Downey