Protección de una aerolínea contra bots malos: Estudio de caso

This post is also available in: Inglés Francés Alemán Italiano Portugués, Brasil Ruso

Esta aerolínea de APAC ofrece vuelos domésticos e internacionales de bajo costo con aeropuertos en todo el Pacífico. Debido a la cantidad de pasajeros que hacen vuelos nacionales e internacionales, se ha convertido en una de las aerolíneas regionales más grandes de APAC.

Desafíos

Debido a su éxito reciente, la plataforma web y las APIs móviles de la aerolínea se han convertido en el objetivo de ciberataques de sus competidores. Su portal de clientes sufre ataques, incluso ataques bajos y lentos, comportamiento malicioso y firmas de bots malos. Los competidores extraen precios de forma periódica y secuestran el inventario de reservas, lo que reduce la disponibilidad para los clientes legítimos. Los ataques de secuestro aumentan las reservas de asientos sin los pagos correspondientes.

Para que la aerolínea anuncie los vuelos disponibles en los sitios de reserva de viajes, se ha suscripto a un sistema de distribución global (GDS) que cobra una tarifa por búsqueda. La aerolínea pagaba por las búsquedas falsas en el GDS iniciadas por bots, lo que le generaba pérdidas de ingresos. Los ataques de bots distribuidos impactaban en la respuesta del portal cuando los clientes reales intentaban comprar un boleto, lo que resultaba en una mala experiencia de usuario. La aerolínea necesitaba evitar que la competencia afectara sus negocios e ingresos.

[También puede interesarte: Bot Manager vs. WAF: Why You Actually Need Both]

La aerolínea usaba el conjunto Dyn Web Application Security de Oracle para la protección de las aplicaciones y bots. El WAF estaba llegando al fin de su servicio y debía reemplazarse. El servicio de gestión de bots de Oracle utilizaba la limitación de velocidad y otras técnicas básicas de mitigación que no podían defender a la aerolínea contra los ataques de bots avanzados parecidos a humanos que estaban experimentando. Los bots usaban direcciones IP rotativas para atacar el sitio web de la aerolínea, lo que dificultaba el bloqueo de estos ataques mediante las prácticas tradicionales de mitigación. Debido a que la solución de Oracle no tenía capacidades basadas en el comportamiento, las APIs móviles y el sitio web de la aerolínea no tenían la protección suficiente.

La aerolínea de APAC es cliente de Limelight Networks, un proveedor de servicios de CDN. Cuando Limelight descubrió el dilema de la aerolínea, le recomendó el servicio WAF en la nube y Bot Manager de Radware. Después de una prueba de concepto exitosa, la aerolínea compró ambos servicios. En los meses siguientes, Bot Manager detectó y mitigó ataques de robo de precios, toma de control de cuentas, reventa y fraude de pagos contra direcciones IP que se alternaban. Durante un ataque prolongado, Bot Manager de Radware redujo la cantidad de aciertos de los bots de 21 millones a cero en un marco de tiempo de dos semanas.

[También puede interesarte: Cómo los WAFs pueden mitigar The OWASP Top 10]

Ventajas

Bot Manager y el servicio WAF en la nube de Radware protegen el sitio web de la aerolínea y las APIs móviles para que la empresa pueda mantener el inventario libre para los clientes legítimos y brindar una mejor experiencia en línea. Por último, la aerolínea está aprovechando estas soluciones para proteger también su sitio web de aplicaciones móviles comprometidas en teléfonos inteligentes Android e iOS.