En CrowdHandler, hemos desarrollado sofisticados sistemas de defensa contra los bots: detección de anomalías, filtrado de direcciones IP, CAPTCHAs y análisis de comportamiento. Pero cuanto más luchamos contra los bots, más claro queda algo: no existe una solución milagrosa.
En realidad, los «bots» no son la causa del problema. Aunque parezca obvio, detrás de cada ataque a los sistemas de venta de entradas hay una persona. O, para ser más exactos, una red de personas que colaboran entre sí de formas complejas.
Una pregunta divertida que cambió mi forma de pensar
Estaba analizando la actividad de los bots junto con un consultor de una importante empresa de seguridad. Examinamos los registros de comportamientos automatizados, como usuarios que comprobaban la disponibilidad, extraían información de las páginas o sondeaban los sistemas de seguridad.
Los bots seguían un patrón que no tenía mucho sentido, así que el consultor me preguntó:
«¿Qué crees que quieren?»
Era una observación acertada, ya que los bots que estábamos analizando ni siquiera intentaban comprar entradas. Estaban recopilando datos. Eso nos recordó que los bots forman parte de algo mucho más amplio.
Los bots no son «script kiddies», pero tampoco son genios de la inteligencia artificial.
Existe un mito muy extendido: los bots para la venta de entradas son o bien scripts rudimentarios creados por aficionados, o bien una IA hipermoderna capaz de burlar cualquier sistema de defensa.
¿La realidad? Ninguna de las dos.
Lo que vemos en la práctica es un ecosistema mucho más matizado —y humano—. Lo que parece un único bot suele ser una red coordinada de herramientas y tácticas: rastreadores, mapeadores de sesiones, rotadores de proxies, granjas de cuentas y motores de fijación de precios.
Bienvenidos al ecosistema
Una operación con bots de venta de entradas puede incluir:
- Herramientas de recopilación de datos sobre precios y disponibilidad
- Exploradores de planos de butacas para evaluar el valor
- Proxies residenciales para evitar ser detectado
- Programas para resolver captchas (tanto humanos como basados en IA)
- Grupos de Cook para compartir información y guiones
- Creadores de cuentas para la expansión a gran escala
- Bots compatibles con múltiples navegadores, con direcciones IP únicas, tarjetas de crédito y direcciones de envío
- Bots de reventa para publicar al instante las entradas conseguidas
Ni siquiera los eventos con poca demanda se libran. Uno de nuestros clientes regionales en América, que organiza conciertos de música clásica, sigue registrando un tráfico persistente de bots. ¿Por qué? Porque sus datos alimentan a los agregadores de entradas. Las páginas de reventa lo publican todo. Así que, aunque aún no hayan comprado la entrada, pueden conseguirla en cuanto alguien haga clic en «Comprar».
Proxies residenciales
El verano pasado se produjo un cambio importante con la adopción generalizada de los proxies residenciales.
En lugar de proceder de direcciones IP de centros de datos, el tráfico de bots se canaliza a través de direcciones reales de proveedores de acceso a Internet de consumidores. Hay entre 30 y 100 millones de ellas disponibles para alquilar, y son imposibles de distinguir de los seguidores auténticos.
Hoy en día, 1 de cada 4 solicitudes maliciosas de bots procede de proveedores de acceso a Internet residenciales.
Cuando bloqueamos estas cuentas, corremos el riesgo de excluir a usuarios reales: aficionados que, sin saberlo, utilizan las mismas redes. Es un delicado equilibrio en el que hay mucho en juego.
El aspecto social del scalping: los grupos de Cook
Los «grupos de cocina» constituyen el núcleo de la historia de la humanidad.
Se trata de comunidades a las que solo se puede acceder por invitación, en las que los especuladores intercambian secretos, publican alertas, comparten «capturas de pantalla de éxitos» y venden cursos de formación. Suelen funcionar en Discord o en foros privados.
No es necesariamente el dinero lo que motiva a los miembros. También existe el valor social: el reconocimiento, el «derecho a presumir» y el estatus. Los bots son herramientas, pero lo que realmente hay detrás de ellos es humano: se trata de la competencia, la comunidad y la identidad.
Como en todos los esquemas piramidales en línea, los que están en la cima ganan dinero vendiendo herramientas, no entradas. La mayoría de los participantes —los «pringados» de la base— solo buscan sentirse parte del grupo.
Una zona gris jurídica
En Estados Unidos y el Reino Unido, utilizar bots para comprar entradas es ilegal. ¿Pero vender el software? No necesariamente.
Esta laguna legal da lugar a un mercado floreciente de herramientas, servicios y guías prácticas. Muchas de las personas que saturan tu página web no son revendedores profesionales. Son aficionados que, con unas cuantas pestañas abiertas en el navegador, utilizan herramientas de suscripción que han encontrado en Telegram o Reddit.
Los mismos trucos, pero en otro sector
La venta de entradas no es el único objetivo. El uso de bots es una práctica habitual en el mundo de las zapatillas deportivas, los videojuegos y la electrónica. Y los métodos suelen solaparse.
Una vez felicité a un directivo del mundo de la moda por haber evitado el uso de bots durante un gran lanzamiento de zapatillas deportivas, pero él me reveló que ellos mismos habían estado utilizando bots para comprar productos de otras marcas y hacer acopio. Se ha convertido en algo habitual.
Cómo es realmente un bot
Los bots comerciales actuales ofrecen interfaces de usuario elegantes, paneles de control y herramientas de configuración. Los usuarios pueden:
- Selecciona un evento
- Elige la cantidad, el precio y la fecha de entrega
- Carga tu lista de proxies
- Iniciar cientos de instancias de navegador
Cada pestaña del navegador puede tener una tarjeta de crédito, una dirección y una IP diferentes. Es una cuestión de probabilidades. Cuantos más intentos, más aciertos. La cola para comprar entradas se ha convertido en una lotería, y los bots están comprando todas las entradas que pueden.
Que paguen por jugar
Es una carrera por gastar. Piénsalo:
- Los proxies residenciales son más caros que las direcciones IP de los centros de datos
- Los navegadores reales son más caros de mantener que los sin interfaz gráfica
- Los servicios de resolución de CAPTCHA (ya sean de IA o realizados por personas) cobran por cada prueba.
Tu objetivo no es la perfección. Se trata de encarecerles la vida a los revendedores. Muchos de ellos ya tienen márgenes muy ajustados. Además, muchos viven con el miedo a «quedarse sin nada» (no poder revender las entradas que consiguen). Oblígalos a gastar más y muchos se rendirán y se pasarán a páginas más fáciles.
Lo que funciona y lo que no.
Esto es lo que no funciona:
- Basarse únicamente en bloques de direcciones IP
- Retos estáticos que los bots pueden aprender
- Protección deficiente de la API
- No realizar auditorías posteriores a la compra
- Subestimar la connivencia humana
Esto es lo que podría funcionar:
- Incluir CAPTCHAs al inicio del proceso
- Identificación de sesiones del navegador y seguimiento de los traspasos
- Aplicación de políticas de una sola compra por dirección IP
- Revisión de pedidos sospechosos
- Bloquear los rastreadores antes de la puesta a la venta
- Detección de anomalías en el comportamiento de las sesiones
La teoría del oso sobre la defensa contra los bots
Hay un chiste antiguo que dice:
No hace falta que corras más rápido que el oso, solo que corras más rápido que el de al lado.
Lo mismo ocurre con los bots.
No puedes ser invencible. Pero si tu página web es más difícil de piratear que la de tus competidores, los bots centrarán sus ataques en otro sitio. Solo eso ya puede ahorrar miles de entradas a los auténticos aficionados.
No hay soluciones milagrosas, pero sí hay esperanza
Aunque no existe una solución única, hay ciertas medidas que puedes tomar:
- Establecer expectativas realistas con las partes interesadas
- Refuerza tus defensas
- Actualiza tu manual de estrategias con regularidad
- Céntrate en hacer que sea más difícil, no imposible, de explotar
- Celebra los logros, por pequeños que sean
Los bots son herramientas creadas por los humanos. Para vencerlos, tenemos que comprender las motivaciones humanas que hay detrás de ellos.
En CrowdHandler, nuestra misión es ayudar a los profesionales del sector de la venta de entradas a igualar las condiciones. Si comprendemos cómo funciona el juego, podemos cambiarlo.
Regístrate hoy mismo para disfrutar de una prueba gratuita.