Noi di CrowdHandler abbiamo sviluppato sofisticati sistemi di difesa contro i bot: rilevamento delle anomalie, filtraggio degli indirizzi IP, CAPTCHA e analisi comportamentale. Ma più combattiamo i bot, più diventa chiaro che non esiste una soluzione miracolosa.
In realtà, i “bot” non sono la causa del problema. Può sembrare ovvio, ma dietro ogni attacco ai sistemi di biglietteria c’è una persona. O, per essere più precisi, una rete di persone che collaborano in modi complessi.
Una domanda divertente che mi ha fatto cambiare modo di pensare
Stavo analizzando l’attività dei bot insieme a un consulente di un’importante società di sicurezza. Abbiamo esaminato i log relativi a comportamenti automatizzati, come utenti che verificavano la disponibilità, estraevano informazioni sui layout o sondavano i sistemi di sicurezza.
I bot seguivano uno schema che non aveva molto senso, quindi il consulente mi ha chiesto:
"Cosa pensi che vogliano?"
Era un’osservazione azzeccata, dato che i bot che stavamo analizzando non stavano nemmeno cercando di acquistare biglietti. Stavano raccogliendo dati. Ci ha ricordato che i bot fanno parte di qualcosa di molto più grande.
I bot non sono dei “script kiddies”, ma non sono nemmeno dei geni dell’intelligenza artificiale.
C'è un mito diffuso: i bot per l'acquisto dei biglietti sono o semplici script amatoriali o intelligenze artificiali estremamente avanzate, in grado di aggirare qualsiasi sistema di difesa.
La realtà? Nessuna delle due.
Quello che osserviamo in ambiente reale è un ecosistema molto più articolato — e simile a quello umano. Quello che sembra un singolo bot è spesso una rete coordinata di strumenti e tattiche: scraper, seat mapper, rotatori di proxy, account farm e motori di determinazione dei prezzi.
Benvenuti nell'ecosistema
Un'operazione con bot per la vendita di biglietti può comprendere:
- Strumenti per il monitoraggio dei prezzi e della disponibilità
- Esploratori delle piantine dei posti a sedere per valutare il valore
- Proxy residenziali per evitare di essere individuati
- Programmi per la risoluzione dei Captcha (gestiti da esseri umani e dall’intelligenza artificiale)
- Crea gruppi per condividere informazioni e script
- Strumenti per la creazione di account su larga scala
- Bot compatibili con diversi browser, dotati di indirizzi IP univoci, carte di credito e indirizzi di spedizione
- Bot di rivendita per mettere subito in vendita i biglietti acquistati
Anche gli eventi meno gettonati non ne sono immuni. Uno dei nostri clienti regionali negli Stati Uniti, che organizza concerti di musica classica, continua a registrare un traffico persistente generato dai bot. Perché? Perché i suoi dati alimentano gli aggregatori di biglietti. I siti di rivenditori illegali pubblicano tutto. Quindi, anche se non hanno ancora acquistato il biglietto, possono procurarselo non appena qualcuno clicca su “Acquista”.
Proxy residenziali
La scorsa estate si è verificato un cambiamento significativo con la diffusione su larga scala dei proxy residenziali.
Anziché provenire dagli indirizzi IP dei data center, il traffico dei bot passa attraverso indirizzi ISP reali di utenti finali. Ne sono disponibili per l’affitto dai 30 ai 100 milioni, e sono indistinguibili dai fan autentici.
Oggi, 1 richiesta su 4 proveniente da bot dannosi ha origine da provider di servizi Internet residenziali.
Quando li blocchiamo, rischiamo di escludere gli utenti reali, ovvero i fan che, senza saperlo, utilizzano le stesse reti. È un equilibrio delicato, in cui la posta in gioco è alta.
Il lato sociale dello scalping: i gruppi di Cook
I “gruppi di cucina” sono il fulcro della storia dell’umanità.
Si tratta di comunità accessibili solo su invito, in cui gli scalper si scambiano informazioni riservate, pubblicano avvisi, condividono “screenshot di successo” e vendono corsi di formazione. Spesso operano su Discord o su forum privati.
Non è necessariamente il denaro a motivare i membri. C’è anche una “moneta sociale”: il riconoscimento, il “diritto di vantarsi” e lo status. I bot sono strumenti, ma il vero gioco che si cela dietro di essi è umano: riguarda la competizione, la comunità e l’identità.
Come in tutti gli schemi piramidali online, chi sta ai vertici guadagna vendendo strumenti, non biglietti. La maggior parte dei partecipanti — i “polli” ai livelli inferiori — cerca semplicemente di sentirsi parte del gruppo.
Una zona grigia dal punto di vista giuridico
Negli Stati Uniti e nel Regno Unito, l'uso dei bot per acquistare biglietti è illegale. Ma la vendita del software? Non necessariamente.
Questa scappatoia dà vita a un fiorente mercato di strumenti, servizi e guide pratiche. Molte delle persone che intasano il tuo sito web non sono rivenditori professionisti. Sono semplici appassionati con poche schede aperte nel browser, che utilizzano strumenti in abbonamento trovati su Telegram o Reddit.
Stessi trucchi, settore diverso
La vendita dei biglietti non è l'unico obiettivo. L'uso dei bot è ormai una pratica diffusa nel settore delle sneakers, dei videogiochi e dell'elettronica. E spesso i metodi si sovrappongono.
Una volta mi sono congratulato con un dirigente del settore della moda per essere riuscito a evitare i bot durante il lancio di una collezione di sneakers di grande successo, solo per scoprire poi che erano stati proprio loro a utilizzare i bot per fare scorta di prodotti di altri marchi. Ormai è diventata una pratica normale.
Come si presenta effettivamente un bot
I bot commerciali odierni offrono interfacce utente intuitive, dashboard e strumenti di configurazione. Gli utenti possono:
- Seleziona un evento
- Scegli la quantità, il prezzo e i tempi di consegna
- Carica il tuo elenco di proxy
- Avvia centinaia di istanze del browser
Ogni scheda del browser potrebbe avere una carta di credito, un indirizzo e un IP diversi. È una questione di probabilità: più tentativi si fanno, più possibilità ci sono di vincere. La coda per l'acquisto dei biglietti è ormai una lotteria, e i bot stanno acquistando tutti i biglietti possibili.
Fai in modo che paghino per giocare
È una gara a chi spende di più. Pensateci:
- I proxy residenziali costano di più degli indirizzi IP dei data center
- I browser reali hanno costi di gestione più elevati rispetto a quelli headless
- I servizi di risoluzione dei CAPTCHA (basati su IA o su operatore umano) applicano una tariffa per ogni sfida
Il tuo obiettivo non è la perfezione. È quello di rendere la vita più difficile agli scalper. Molti di loro hanno già margini di guadagno ridotti. Inoltre, molti vivono nella paura di “rimanere a mani vuote” (di non riuscire a rivendere i biglietti che riescono a procurarsi). Costringili a spendere di più e molti si arrenderanno e passeranno a siti più facili.
Cosa funziona e cosa no.
Ecco cosa non funziona:
- Affidarsi esclusivamente ai blocchi IP
- Sfide statiche che i bot possono imparare
- Protezione API insufficiente
- Mancata applicazione delle verifiche successive all'acquisto
- Sottovalutare la collusione tra gli esseri umani
Ecco cosa potrebbe funzionare:
- Inserire i CAPTCHA all'inizio del percorso
- Identificazione delle sessioni del browser e monitoraggio dei passaggi di controllo
- Applicazione delle politiche che prevedono un solo acquisto per indirizzo IP
- Verifica degli ordini sospetti
- Bloccare gli scraper prima della messa in vendita
- Monitoraggio delle anomalie nel comportamento delle sessioni
La teoria dell’orso nella difesa dai bot
C'è una vecchia battuta che dice:
Non devi correre più veloce dell’orso, basta che superi il tizio che ti sta accanto.
Lo stesso vale per i bot.
Non puoi essere invincibile. Ma se il tuo sito è più difficile da violare rispetto a quelli dei tuoi concorrenti, i bot concentreranno i loro attacchi altrove. Già questo può far risparmiare migliaia di biglietti ai veri tifosi.
Non esistono soluzioni miracolose, ma c’è speranza
Sebbene non esista una soluzione unica, ci sono alcune misure che puoi adottare:
- Definire aspettative realistiche con le parti interessate
- Rafforza le tue difese
- Aggiorna regolarmente il tuo manuale tattico
- Concentrati sul diventare più difficile da sfruttare, non impossibile da sfruttare
- Festeggia le vittorie, per quanto piccole siano
I bot sono strumenti creati dall'uomo. Per sconfiggerli, dobbiamo comprendere le motivazioni umane che li animano.
Noi di CrowdHandler abbiamo come missione quella di aiutare i professionisti del settore della biglietteria a garantire condizioni di parità. Comprendendo le regole del gioco, possiamo cambiarle.
Iscriviti oggi stesso per una prova gratuita.