E-commerce sotto attacco: bot, carte rubate e DDoS nei giorni di saldi

Per un negozio online un'ora di sito fermo ha un costo preciso: gli ordini che non arrivano. E proprio per questo gli e-commerce attirano un tipo di attacco in più rispetto a un blog. Non sempre lo scopo è far cadere il sito: spesso i bot vogliono qualcosa dal negozio, e il rallentamento è un effetto collaterale.

I quattro attacchi tipici contro un negozio

1. Carding: prove di carte rubate al checkout

Chi compra online liste di carte di credito rubate deve capire quali funzionano ancora. Il modo più semplice è usare il checkout di un negozio qualsiasi: tanti piccoli ordini, spesso di pochi euro, con carte diverse, uno dopo l'altro.

I segnali:

• decine o centinaia di pagamenti rifiutati in poco tempo;
• ordini con importi bassi, nomi e indirizzi senza senso o tutti uguali;
• email del fornitore dei pagamenti che segnala attività anomala.

Oltre al carico sul sito, il carding costa: commissioni sulle transazioni, contestazioni (chargeback) e il rischio che il fornitore dei pagamenti sospenda il negozio.

2. Bot che occupano il magazzino

Nei lanci di prodotti a tiratura limitata, i bot mettono nel carrello tutta la disponibilità in pochi secondi, per rivenderla o semplicemente per bloccarla. I clienti veri trovano "esaurito" anche se nessuno ha ancora pagato.

3. Scraping di prezzi e catalogo

I concorrenti (o servizi che lavorano per loro) scaricano l'intero catalogo più volte al giorno per confrontare i prezzi. Non è quasi mai illegale di per sé, ma un bot che scarica migliaia di schede prodotto con filtri e ordinamenti diversi pesa sul server quanto un piccolo attacco.

4. DDoS nei giorni che contano

Black Friday, saldi, un lancio pubblicizzato: il momento in cui il sito deve reggere di più è anche quello in cui un attacco fa più danni. A volte è ricatto ("paga o continuiamo"), a volte concorrenza sleale, spesso non si saprà mai.

Picco di clienti o attacco?

Il giorno dei saldi il traffico sale davvero, ed è l'ultima cosa che vuoi bloccare. La differenza:

Come difendersi

Proteggi le pagine sensibili, non tutto il negozio

Il catalogo deve essere velocissimo e accessibile a tutti, Google compreso. Le pagine da proteggere sono poche:

• login e registrazione (tentativi di accesso con password rubate);
• checkout e pagamento (carding);
• aggiunta al carrello (bot che occupano il magazzino);
• ricerca e filtri (pagine che non si possono mettere in cache).

Su queste pagine servono limiti di richieste per indirizzo IP molto più stretti che sul resto del sito.

Lascia lavorare il fornitore dei pagamenti

Attiva tutti i controlli antifrode che il tuo fornitore offre: l'autenticazione forte del cliente (3-D Secure) per i pagamenti con carta, i limiti sui tentativi falliti e gli avvisi sulle transazioni sospette. Contro il carding sono la difesa più efficace, perché fanno fallire le prove prima ancora che arrivino alla banca.

Metti in cache il catalogo

Le pagine dei prodotti e delle categorie, per chi non ha fatto l'accesso, possono stare in cache sui nodi della CDN per qualche minuto. Il giorno dei saldi il server lavora solo per carrelli e pagamenti, cioè per le cose che fanno guadagnare.

Con 1PrimeCDN le pagine richieste da chi ha un cookie di sessione (carrello, accesso) vanno sempre al negozio, mentre immagini, CSS e JavaScript restano in cache per tutti: chi compra vede sempre il suo carrello aggiornato, e il server non deve consegnare ogni volta le stesse foto.

Fai scegliere allo Shield chi è un bot

Lo Shield di 1PrimeCDN guarda come si comporta ogni indirizzo: quante richieste al secondo, quante arrivano al server invece che alla cache, quanti errori, se aggira la cache con parametri sempre diversi, se si presenta come uno strumento automatico. Chi supera la soglia passa da una verifica che le persone risolvono in un secondo senza fare niente; chi esagera viene bloccato per un tempo che raddoppia a ogni recidiva, fino a 24 ore. Ogni decisione è visibile nel pannello, con il motivo.

Se il negozio vende solo in alcuni paesi, puoi anche bloccare o mettere in verifica il traffico dagli altri.

Preparati prima dei giorni caldi

• fai una prova di carico o un benchmark qualche settimana prima;
• tieni basso il TTL dei record DNS, per poter cambiare strada in fretta;
• decidi prima chi fa cosa se il sito cade, e tieni a portata di mano il numero del tuo hosting;
• non fare aggiornamenti di plugin o del tema nei giorni dei saldi.

Se sta succedendo adesso

Se il negozio è sotto attacco in questo momento, la pagina «Sei sotto attacco?» ha i passi da fare subito e un modulo che avvisa il nostro staff. Se usi WordPress e WooCommerce, leggi anche come proteggere wp-login.php e xmlrpc.php.