De los bots a la sala de juntas: cómo los bots maliciosos afectan negativamente al estado de las cuentas

Los ataques de bots automatizados también pueden generar directamente pérdidas financieras y de oportunidades económicas:

• Pérdida de confianza del cliente después de la apropiación de una cuenta. Los clientes se sienten justificadamente insatisfechos si las defensas inadecuadas de una organización contra bots resultan en la apropiación de cuentas (ATO) y actividades fraudulentas costosas, lo que genera disminuciones en la satisfacción del cliente, daños a la reputación y la terminación de relaciones. Más de una cuarta parte de los consumidores estadounidenses encuestados dicen que cambiarían de banco si no estuvieran satisfechos con la forma en que el banco responde a su caso de fraude. 
   
• Aumento de las pérdidas por fraudes y devoluciones de cargos. Los ataques ATO impulsados por bots y la creación de cuentas fraudulentas afectan el resultado final cuando los delincuentes usan credenciales robadas para realizar compras o crear cuentas falsas. Las devoluciones de cargo dañan la reputación del comerciante ante los procesadores de tarjetas de crédito y dan lugar a sanciones por devolución de cargo.
   
• Aumento de los costes laborales. Los ataques de bots, como el credential stuffing, que conducen a ATO, requieren investigación por parte de analistas de fraude, lo que les quita tiempo que podrían dedicar a sus investigaciones más críticas y profundas. Incluso cuando los bots de credential stuffing no logran tomar el control de una cuenta, a menudo bloquean las cuentas probando muchas contraseñas en rápida sucesión, lo que obliga a los clientes a llamar al soporte técnico, lo que aumenta los costos de soporte con cada llamada.
   
• Distorsionar las valoraciones de los inversores. Cuando la valoración de una empresa que cotiza en bolsa depende de la cantidad de seguidores, usuarios o interacciones, la presencia de cuentas de bots no humanos puede sesgar drásticamente las evaluaciones precisas. Por ejemplo, los intentos de alcanzar una valoración precisa de Twitter, basada en la cantidad de cuentas operadas por humanos frente a bots, dominaron las noticias en 2022. 
   
• Confundir bots con humanos, y viceversa, con soluciones de mitigación de bots poco confiables.  Los esfuerzos deficientes de mitigación de bots producirán estos errores, pero deben limitarse y prevenirse. Los falsos positivos (cuando una herramienta de gestión de bots acusa a un humano real de ser un bot) y los falsos negativos (cuando la herramienta marca a un bot como humano) impactan tanto en los resultados finales como en los ingresos. Uno le hará perder clientes y el otro le causará pérdidas económicas debido al fraude. De hecho, un falso positivo que impide a un cliente estratégico realizar una transferencia de dinero puede ser más perjudicial para un banco que un falso negativo que resulte en fraude o devoluciones de cargos. Ambas situaciones también requerirán el tiempo y el trabajo de un analista de fraude para investigar.
   
• No proteger los datos de los consumidores. Legislación y estándares como el Reglamento General de Protección de Datos (GDPR) en la UE, la Ley de Protección al Consumidor de California (CCPA) y el Estándar de seguridad de datos de la Industria de Tarjetas de Pago (PCI-DSS) están diseñados para garantizar la privacidad de los datos de los consumidores e imponer grandes sanciones monetarias en caso de violaciones de datos. Estos incluyen ataques ATO y de raspado de contenido que exponen datos privados a bots. Las violaciones de datos que resultan del incumplimiento de estas regulaciones pueden ser muy costosas: según el RGPD, las autoridades de protección de datos de la UE pueden imponer multas de hasta 20 millones de euros o el 4 % de la facturación mundial del año financiero anterior. 

Explicar cómo los ataques de bots pueden afectar a las operaciones y las métricas en relación con roles y funciones específicos de una organización es una forma importante de presentar el valor de una gestión de bots satisfactoria.

El CISO se preocupa por la seguridad de la información, el control de costes y la garantía de que las TI permitan la misión empresarial. Los bots afectan a cada una de estas preocupaciones.

Los bots comprometen cada aspecto de la tríada de seguridad de la información: confidencialidad, integridad y disponibilidad. Un bot de credential stuffing que se apropia de una cuenta expone datos que deberían ser confidenciales. Asimismo, estos bots permiten a los atacantes alterar datos y realizar transacciones, violando la integridad. Los bots de scraping sesgan los datos, al igual que los bots de creación de cuentas falsas, lo que viola la integridad de las métricas empresariales clave. Por último, los bots de scraping y scalping pueden sobrecargar la infraestructura de un sitio hasta el punto de hacerlo inaccesible.

Los bots repercuten en los costes de muchas maneras:

• Los bots que realizan ataques de credential stuffing aumentan los costes del soporte debido al bloqueo de cuentas, y aumentan la responsabilidad financiera, ya que los delincuentes vacían los saldos de las cuentas.
   
• Los bots de carding (fraudes relacionados con las tarjetas de crédito) aumentan las comisiones por devolución y pueden dar lugar a multas.
   
• Los bots de scraping y scalping aumentan la carga de tráfico y los costes de infraestructura.
   
• Luchar contra los bots con herramientas ineficaces como un WAF conlleva elevados costes de SecOps.

Los bots también preocupan a los CISO porque impiden que las TI habiliten el negocio. La gestión ineficaz de bots, como el CAPTCHA y la excesiva dependencia de la autenticación multifactor, crean fricciones que perjudican la experiencia del cliente y reducen los ingresos. Los bots sesgan las métricas empresariales hasta tal punto que resulta difícil evaluar la estrategia empresarial. ¿Cómo se aplica una estrategia empresarial cuando ni siquiera se sabe con quién se está interactuando?

El equipo de SecOps se encarga de gestionar eficazmente los riesgos de ciberseguridad para la empresa, y los bots se interponen en el camino de esa misión. Al igual que el CISO, SecOps se preocupará por la confidencialidad, integridad y disponibilidad, que se ven afectadas por los bots. Además de estas preocupaciones compartidas, cuando se trata de abordar eficazmente los riesgos de seguridad, los bots plantean el reto de crear mucho ruido que ahoga la señal, ocultando las amenazas en un mar de tráfico malicioso.

Cuando los bots representan la mayor parte del tráfico de un sitio, es más difícil analizar los registros en busca de indicios de exploración de vulnerabilidades y ataques de inyección. Y las herramientas de seguridad, como los SIEM y los sistemas de detección y prevención de intrusiones, se verán desbordadas, lo que aumentará los costes y provocará demasiados falsos positivos que investigar. Cuando lo normal es tener pocas incidencias, rastrear las anomalías se vuelve poco práctico.

Una gestión eficaz de los bots elimina el ruido y permite a SecOps centrarse eficazmente en las amenazas restantes.

Al igual que SecOps, los bots afectan a los equipos de operaciones de fraude al aumentar drásticamente el ruido. Con tantos bots que se apoderan de cuentas, las bloquean, crean cuentas falsas y activan alertas de anomalías, la carga de trabajo se vuelve inviable.

Cuando los equipos de fraude y seguridad trabajan juntos para gestionar los bots, todos ganan. Los equipos de seguridad pueden centrarse en un conjunto mucho más reducido de incidentes de seguridad, y el nivel de fraude se reduce para que los equipos de fraude puedan centrarse en casos de fraude más complejos que requieran su juicio experto para resolverlos, reduciendo la carga de casos y mejorando las métricas de éxito. Desde el punto de vista del fraude, los bots son un preludio, un medio por el que los defraudadores obtienen acceso, y detener los bots reduce la carga de trabajo posterior.

Los equipos de NetOps son responsables del funcionamiento de la infraestructura que sirve a la empresa, manteniendo el tiempo de actividad y el rendimiento al tiempo que se controlan los costes.

En algunos casos, los bots de scraping en aplicaciones de comercio electrónico representan más del 90 % del tráfico, lo que significa que la mayor parte de la infraestructura está sirviendo a bots, malgastando la mayor parte del presupuesto destinado a infraestructura, una métrica que puede quedar muy clara en una factura de servicios en la nube.

Estos bots no se preocupan por el rendimiento o el tiempo de actividad de un sitio y pueden aumentar el tráfico en cualquier momento sin previo aviso, lo que provoca imprevisibilidad y mayores costes para garantizar la escalabilidad necesaria.

En una cultura de DevOps, los equipos de DevSecOps asumen la responsabilidad de incorporar la seguridad al proceso de integración continua/desarrollo continuo (CI/CD), garantizando una rápida información a los desarrolladores sobre los fallos de seguridad y mejorando continuamente la integración de la seguridad en el flujo de valor tecnológico.

Las DevSecOps desplazan la seguridad al inicio del proceso, asegurándose de estudiar antes las posibles lagunas. Los bots son relevantes en este caso, ya que las nuevas funciones deben evaluarse para determinar cómo podrían explotarlas los bots, qué daños podrían causar y qué medidas deben tomarse en el momento de su despliegue para evitarlos.

Los equipos de DevSecOps están particularmente preocupados por la telemetría. Según el Manual de DevOps¹ La telemetría es esencial para predecir, diagnosticar y resolver problemas en sistemas complejos. Para que DevOps tenga éxito, la telemetría debe cubrir múltiples capas, incluidas las métricas comerciales, el uso de funciones, el rendimiento de la red y la carga de la infraestructura, de modo que un problema en una capa pueda rastrearse a lo largo de la pila para la rápida identificación de las causas raíz.

Los bots distorsionan la telemetría a lo grande. Muchos clientes de F5 Distributed Cloud Bot Defense descubrieron que la mayoría de sus cuentas de usuario eran falsas y que los bots representaban más del 95 % del tráfico de inicio de sesión. En algunos casos, la mayor parte de la infraestructura de una organización no hacía más que servir a bots de scraping. Los equipos de DevSecOps necesitan eliminar esta distorsión de la telemetría si quieren cumplir su misión de seguridad.

Todo se reduce a quién es el dueño de los números. ¿Es el vicepresidente de comercio electrónico responsable del coste del fraude, la infraestructura y las devoluciones? ¿Están esos gastos mermando los beneficios del negocio en línea? ¿Se ven afectados los índices de conversión y los ingresos por fricciones de seguridad, como el CAPTCHA? En caso afirmativo, a este vicepresidente le importará mucho cómo la gestión de bots puede mejorar tanto los ingresos como los beneficios.

Lo mismo se aplica a los líderes de cualquier línea de productos o servicios vendidos en línea a través de aplicaciones web o móviles. Tratar de maximizar los beneficios pasa necesariamente por dirigirse a la mayor fuente de tráfico hacia sus apps.

Los profesionales del marketing tienen sus propias razones para preocuparse por los bots. Los bots que ralentizan el sitio, lo bloquean y se apoderan de las cuentas de los clientes empañan la marca. Los bots distorsionan los análisis del sitio web de los que dependen los profesionales de marketing para tomar decisiones. Y el fraude de clics, impulsado por los bots, agota los presupuestos publicitarios sin producir ingresos.