Venta de entradas fraudulentas y bloqueo de asientos por bots
¿Qué ha ocurrido?
El responsable de una empresa de gestión y venta de entradas se puso en contacto con la Línea de Ayuda en Ciberseguridad a través de nuestro formulario, solicitándonos una atención presencial en nuestras instalaciones en la ciudad de León para asesorarse acerca de dos incidentes que estaban afectando a su actividad.
El día de la cita nos contó que, en primer lugar, habían detectado la venta de entradas falsas en Internet. Aunque estas no reproducían exactamente el formato oficial, utilizaban logotipos y elementos de su identidad corporativa que podían confundir a los usuarios y generar confianza.
Por otro lado, durante los lanzamientos de eventos muy demandados, su plataforma de venta había sufrido ataques de denegación de servicio que saturaban el sistema.
Tras analizarlo, detectaron un patrón mediante el cual los bots bloqueaban de forma masiva los asientos durante el proceso de compra de entradas para generar una falsa sensación de escasez. Esto facilitaba que los revendedores las ofrecieran a precios desorbitados en canales externos, de tal forma que, cuando encontraban comprador, intentaban adquirir las entradas de forma legítima en cuanto el sistema se estabilizaba y los asientos se liberaban.
Decidió consultarnos, ya que estas prácticas estaban impactando negativamente en sus usuarios y en la empresa, con consecuencias económicas y un claro daño reputacional.
¿Qué pautas le hemos dado?
Por nuestra parte, le ofrecimos orientación sobre cómo proceder, proporcionándole las siguientes pautas reactivas:
En relación a las entradas fraudulentas:
Recopilar todas las evidencias posibles.
Interponer una denuncia ante las Fuerzas y Cuerpos de Seguridad del Estado.
Reportarnos las URLs fraudulentas.
Emitir un aviso público en su web y redes sociales informando de la situación a sus usuarios, para evitar posibles fraudes y proteger su reputación digital.
Incluir en la web y redes sociales recomendaciones hacia los usuarios para que compren sólo en canales oficiales.
En caso de que datos personales o derechos digitales de los usuarios se hayan visto vulnerados, comunicarlo en un plazo máximo de 72 horas a la Agencia Española de Protección de Datos (AEPD).
Solicitar la retirada de las entradas falsas en las plataformas donde se estén vendiendo.
Realizar egosurfing para detectar posibles webs donde se estén vendiendo las entradas falsas.
En relación con los ataques de denegación de servicio (DDoS):
Activar medidas de protección para reducir el impacto y estabilizar el servicio:
Establecer reglas para bloquear accesos sospechosos y filtrar el tráfico no legítimo.
Apoyarse en la red de distribución de contenidos para repartir el tráfico y evitar saturaciones.
Activar sistemas de detección y prevención de accesos automáticos, como verificaciones CAPTCHA.
Valorar incluir otras características como limitación de compra por IP, colas virtuales y/o tiempo máximo de reservas.
Contactar con el proveedor de hosting para recibir soporte técnico y análisis de tráfico.
Recopilar información técnica del incidente y remitirla al equipo de gestión de incidencias de INCIBE.
Finalmente, le recordamos que, si tuviera más dudas sobre este tema u otra cuestión relacionada con la ciberseguridad, estamos a su disposición en la Línea de Ayuda en Ciberseguridad todos los días del año, de 8 a 23 horas.
