オンラインストアには、bot が通り抜けられる扉がいくつもあります。商品ページ、カート、ログイン、チェックアウト、ギフトカードの残高照会です。扉ごとに集まる bot の種類が違い、ストアが被る損失の形も違います。
bot がストアにすること
- 価格と在庫のスクレイピング。競合や転売業者が一日中カタログを読み取り、値下げで対抗したり、入荷のタイミングを把握したりします。
- 限定商品の買い占め。スニーカー、ゲーム機、コレクターズアイテムの発売は数秒で bot に売り切れ、転売サイトに再登場します。
- 在庫の確保。購入されることのない商品でカートが埋まり、本当の顧客には「在庫切れ」と表示されます。
- リスト型攻撃。漏えいしたパスワードをアカウントに試し、保存されたカード、ポイント、住所を盗みます。
- カードのテスト。盗まれたカード番号が少額の注文で確認され、手数料やチャージバックが発生し、決済代行会社から問い合わせを受けることになります。
- ギフトカードの抜き取り。残高照会のエンドポイントが大量に叩かれ、残高のあるカードが探し出されます。
兆候
- データセンターからの商品ページへのトラフィックで、カート追加率がほぼゼロ。
- 決済失敗がまとまって発生し、1 台のデバイスに多数のカード、少額の取引。
- ログイン失敗率が通常をはるかに上回っている。
- 商品ページを一度も読み込んでいないクライアントから、カートやチェックアウトの API へのリクエストがある。
どこで確認するか
- 限定商品のカート追加：
bot_highは拒否します。botには顧客 1 人あたりの購入上限を低くします。 - ログイン：
bot_highには通常の「パスワードが違います」を返します。botには第 2 要素を求めます。詳しくはログインでのリスト型攻撃をご覧ください。 - チェックアウトとギフトカード残高照会：
bot_highは拒否します。botには 3-D セキュアを求めます。 - 検索と商品 API：
bot_highには遅く、またはキャッシュから応答し、スクレイピングのコストが得られるものを上回るようにします。
完了した注文とチャージバックをフィードバックとして送ってください。注文が配達された顧客は人であり、チャージバックはその逆の証拠です。