Umgehen Bots Ihre Abwehrmaßnahmen? 3 Trends, vor denen Sie sich schützen sollten
In der heutigen digitalen Landschaft, in der Applications und APIs das Lebenselixier von Unternehmen sind, lauert eine stille Bedrohung: hochentwickelte Bot-Gegner. Während sich herkömmliche Sicherheitsmaßnahmen auf die Verhinderung bösartiger Angriffe konzentrieren, schlüpfen automatisierte Bedrohungen unentdeckt durch, indem sie menschliches Verhalten nachahmen und Lücken in der Application auf unerwartete Weise ausnutzen.
Der kürzlich veröffentlichte „Advanced Persistent Bots Report 2025“ von F5 Labs beleuchtet die sich entwickelnden Taktiken von Advanced Persistent Bots und die Herausforderungen, die sie darstellen. Obwohl Sie den gesamten Bericht lesen möchten, sind hier drei Trends, die mir bei der diesjährigen Untersuchung aufgefallen sind, und was Unternehmen tun können, um sich zu schützen.
1.Credential Stuffing: Wenn gestohlene Passwörter wertvolle Daten preisgeben
Stellen Sie sich ein Szenario vor, in dem Cyberkriminelle leicht verfügbare gestohlene Anmeldeinformationen verwenden, um auf vertrauliche Benutzerkonten zuzugreifen. Dies ist die Realität des Credential Stuffing, eines weit verbreiteten Bot-gesteuerten Angriffs, der die weit verbreitete Praxis der Wiederverwendung von Passwörtern ausnutzt. Laut F5 Labs sind in manchen Organisationen über 80 % des Anmeldeverkehrs auf Credential Stuffing -Angriffe zurückzuführen, die von Bots gestartet werden. Der Bericht hebt hervor, dass selbst bei einer geringen Erfolgsquote von 1 bis 3 % pro Angriffskampagne allein die Menge der automatisierten Anmeldungen zu einer beträchtlichen Anzahl kompromittierter Konten führt.
Vorfälle wie der PayPal-Datendiebstahl im Jahr 2022, bei dem auf fast 35.000 Benutzerkonten zugegriffen wurde, um persönliche Informationen preiszugeben, die sich mit hoher Wahrscheinlichkeit monetarisieren ließen , führen zur Bereitstellung riesiger Datenbanken mit Benutzernamen und Passwörtern für die böswillige Verwendung bei anderen Online-Diensten. Da viele Leute Passwörter wiederverwenden, kann selbst eine geringe Erfolgsquote zu einem erheblichen Erfolg führen. Diese Daten können dann für betrügerische Transaktionen oder Datendiebstahl verwendet oder im Darknet für gezielte Angriffe verkauft werden.
In den letzten Jahren haben mehrere bekannte Marken von Credential Stuffing -Angriffen berichtet. Der Niedergang des Gentestunternehmens 23andMe war teilweise auf eine Credential Stuffing -Kampagne zurückzuführen, bei der Gesundheits- und Abstammungsinformationen von Kunden offengelegt wurden. Im Darknet wurden Daten zum Verkauf angeboten, die zu einem Preis von 1.000 US-Dollar für 100 Profile und bis zu 100.000 US-Dollar für 100.000 Profile angeboten wurden.
Als Hauptgrund für das Versagen nannte das Unternehmen die mangelnde Akzeptanz der Multi-Faktor-Authentifizierung (MFA) der Site durch die Kunden. Tatsächlich liegt die heimtückische Natur des Credential Stuffing jedoch in seiner Fähigkeit, herkömmliche Sicherheitsmaßnahmen zu umgehen. Da die Bots legitime Anmeldeinformationen verwenden und nicht versuchen, Schwachstellen auszunutzen, lösen sie keine typischen Alarme aus. MFA kann zwar hilfreich sein, ist aber aufgrund der zunehmenden Verwendung von Echtzeit-Phishing-Proxys (RTPP) nicht narrensicher. Unternehmen müssen intelligente Lösungen zur Bot-Erkennung implementieren, die Anmeldemuster, Gerätefingerabdrücke und Verhaltensanomalien analysieren, um herauszufinden, was wirklich vor sich geht.
2.Gastfreundschaft unter Beschuss: Geschenkkarten-Bots und der Aufstieg des „Carding“
Während der Finanz- und Einzelhandelssektor oft als Hauptziele für Cyberangriffe gilt, ergab die Forschung von F5 Labs, dass das Gastgewerbe besonders stark von bösartigen Bot-Aktivitäten betroffen ist. Insbesondere haben es „Carding“- und Geschenkkarten-Bots auf Websites und APIs im Gastgewerbe abgesehen. Einige Organisationen verzeichneten im Vergleich zum Vorjahr einen Anstieg der bösartigen Bot-Aktivitäten um 300 %. Der Bericht stellt außerdem fest, dass der Durchschnittswert der von Bots angegriffenen Geschenkkarten steigt.
Beim Carding werden Bots verwendet, um gestohlene Kreditkartennummern zu validieren, indem diese schnell auf Checkout-Seiten und APIs getestet werden. Geschenkkarten-Bots nutzen Treueprogramme und Geschenkkartensysteme aus. Angreifer nutzen sie, um Guthaben abzufragen, Punkte zu übertragen oder Prämien illegal einzulösen. Diese Bots zielen häufig auf Schwachstellen wie einfache Muster und fortlaufende Geschenkkarten-IDs ab.
Die Anfälligkeit der Hotel- und Gaststättenbranche ergibt sich aus der Tatsache, dass Treuepunkte und Geschenkkarten im Wesentlichen digitale Währungen sind. Cyberkriminelle können diese Vermögenswerte problemlos in Bargeld umwandeln oder zum Kauf von Waren und Dienstleistungen verwenden.
Um sich zu schützen, müssen Unternehmen im Gastgewerbe robuste Strategien zur Bot-Erkennung und -Eindämmung implementieren, die speziell auf diese Art von Bedrohungen zugeschnitten sind. Hierzu gehört die Überwachung der Geschenkkartenaktivität, die Analyse von Transaktionsmustern und die Implementierung von Lösungen, die zwischen Menschen und Bots unterscheiden können. CATPCHAs, einst die Standardlösung zum Blockieren von Bots, konnten von Bot-Betreibern jahrelang problemlos umgangen werden – wie wir als Nächstes sehen werden.
3.Umgehung der Gatekeeper: Residential Proxies und die Nutzlosigkeit von CAPTCHAs
Herkömmliche Bot-Abwehrmaßnahmen wie CAPTCHAs und IP-Blockierung versagen angesichts immer ausgefeilterer Umgehungstaktiken. Bot-Betreiber können das Lösen von CAPTCHAs problemlos an menschliche Klickfarmen auslagern, wo Einzelpersonen kleine Beträge dafür erhalten, dass sie auf Anfrage Herausforderungen lösen.
Darüber hinaus ist der Aufstieg von Residential-Proxy-Netzwerken ein bedeutender Faktor. Diese Netzwerke leiten den Bot-Verkehr über kompromittierte Geräte durch private IP-Adressen und maskieren so die wahren IP-Adressen der Bots. Der Bericht von F5 Labs legt nahe, dass Residential Proxies mittlerweile weit verbreitet von Bot-Betreibern verwendet werden und dass der Großteil des Bot-Verkehrs mittlerweile aus diesen Netzwerken zu stammen scheint.
Der Identitätsmanagement-Anbieter Okta wies auf die Rolle der breiten Verfügbarkeit von Residential-Proxy-Diensten bei einer Welle von Credential Stuffing -Angriffen auf seine Benutzer im letzten Jahr hin. Das Unternehmen gab an, dass Millionen gefälschter Anfragen über Residential Proxies geleitet wurden, um den Anschein zu erwecken, als stammten sie von Mobilgeräten und Browsern alltäglicher Benutzer und nicht aus dem IP-Bereich von Anbietern virtueller privater Server (VPS).
Um diese fortschrittlichen Umgehungstechniken wirksam bekämpfen zu können, müssen Unternehmen über herkömmliche Abwehrmaßnahmen hinausgehen und auf intelligente Bot-Lösungen zurückgreifen. Diese Lösungen nutzen maschinelles Lernen und Verhaltensanalysen, um Bots anhand ihrer einzigartigen Merkmale zu identifizieren. Indem sie sich auf menschenähnliches Verhalten konzentrieren, anstatt sich auf IP-Adressen oder CAPTCHAs zu verlassen, können Unternehmen ausgeklügelte Bot-Angriffe genauer erkennen und blockieren.
Navigation in der Risikolandschaft: Finden Sie die optimale Bot-Abwehr
Letztendlich hängt das Ausmaß der Bot-Abwehr, die ein Unternehmen implementiert, von seiner Risikobereitschaft ab. Jedes Unternehmen muss die potenziellen Kosten und Vorteile verschiedener Risikominderungsstrategien abwägen und das Risikoniveau bestimmen, das es bereit ist einzugehen.
Eine vollständige Beseitigung des gesamten Bot-Verkehrs ist möglicherweise nicht machbar – oder sogar wünschenswert –, da einige automatisierte Aktivitäten legitim und nützlich sind. Wenn jedoch gegen bösartige Bot-Aktivitäten nicht vorgegangen wird, kann dies zu erheblichen finanziellen Verlusten, Rufschädigungen und Kundenfrust führen.
Der Schlüssel liegt darin, das richtige Gleichgewicht zu finden. Wenn Sie die verschiedenen Arten von Bots verstehen, die es auf Ihr Unternehmen abgesehen haben, die potenziellen Auswirkungen ihrer Aktivitäten einschätzen und entsprechende Maßnahmen zur Erkennung und Eindämmung implementieren, können Sie Ihr Bot-Risiko wirksam managen und Ihr Unternehmen – und Ihre Kunden – vor Advanced Persistent Bot-Bedrohungen schützen.
Um mehr zu erfahren, lesen Sie hier den vollständigen Bericht. Besuchen Sie auch unsere F5 Distributed Cloud Bot Defense-Webseite .