Segurança do comércio eletrônico para as festas de final de ano
Preparar os varejistas para ameaças iminentes de segurança cibernética
Sem surpresa, a temporada das festas de final de ano traz maiores oportunidades para ataques cibernéticos, sendo o setor de comércio eletrônico o alvo principal. Eventos especiais levam a picos de tráfego na internet, alguns dos quais são maliciosos. E os líderes de TI e segurança de comércio eletrônico geralmente ficam sobrecarregados durante esse período, especialmente se precisarem gerenciar várias soluções pontuais especializadas.
Com base nesta tendência, a questão não é se preparar para um ataque, mas sim, que tipos de ataques representam o maior risco para a sua empresa.
A prontidão para as festas de final de ano no comércio eletrônico requer algum grau de priorização. Além de estabelecer uma forte linha de base de proteção contra ameaças comuns contra aplicativos web,como ataques DDoS e explorações de vulnerabilidade de dia zero, os varejistas on-line devem planejar e se preparar adequadamente para os tipos de ataques especializados que provavelmente afetarão suas empresas e receita durante as festas de final de ano.
Answering the three questions below can help kickstart the prioritization process. In doing so, ecommerce organizations will be better positioned to succeed this holiday season — which may make up nearly 20% of their total sales revenue.
Como os preços interferem em seus produtos?
Qual o grau de suscetibilidade de sua empresa à escassez de estoques?
Você depende de APIs para aumentar sua presença on-line?
Pergunta 1: Como os preços interferem em seus produtos?
Para alguns produtos e serviços, tais como os de menor custo, altamente comoditizados ou amplamente disponíveis, pequenas diferenças de preço em relação às empresas concorrentes podem ter um impacto significativo nas decisões de compra. Se uma empresa tiver um preço, mesmo que seja ligeiramente superior ao de um concorrente, durante uma promoção de final de ano, ela poderá ter uma queda significativa nas vendas.
Por esta razão, as empresas cujos produtos são sensíveis aos preços devem ser particularmente cautelosas durante a temporada das festas de final de ano em relação a bots de raspagem, que examinam um site para obter informações sobre preços e as transmitem a um concorrente. Embora a raspagem da web não seja uma novidade, devido aos avanços da IA, os bots se tornaram muito mais eficientes na raspagem de dados de preços, conteúdo e muito mais. Usando essas informações, o concorrente pode garantir que seus produtos sejam marginalmente mais baratos, uma vantagem significativa.
Os bots que fazem extração de preços podem ser mais difíceis de identificar do que outros tipos de bots, uma vez que não causam consequências óbvias como um aumento na autenticação falha, compras incomuns ou picos em novas contas de usuários. Os sinais para ajudar a identificar os bots que fazem extração de preços incluem:
Picos de tráfego que não correspondem ao comportamento esperado do consumidor, uma vez que os bots que fazem extração de preços examinam continuamente seu site
Desempenho do site degradado, pela mesma razão
Aumento do volume de tráfego de crawlers de IA para seus sites/aplicativos
Origens de tráfego de IP apontando de volta para os sites dos concorrentes
Se você identificar bots que fazem raspagem de preços em seu site (ou suspeitar que eles podem visar você durante as promoções das festas de final de ano), táticas como limitação de taxa podem ajudar a impedir que eles afetem o desempenho do site. Mas, provavelmente ainda será necessário investir em um serviço mais avançado de gerenciamento de bots, que combine inteligência contra ameaças em tempo real com a capacidade de identificar e filtrar automaticamente os bots ruins (incluindo raspadores de IA).
Pergunta 2: Qual é o grau de suscetibilidade de sua empresa à escassez de estoques?
A escassez de produtos pode resultar de táticas de marketing planejadas, cadeias de suprimentos sobrecarregadas ou demanda excessiva. Exemplos do primeiro tipo incluem eletrônicos de consumo de alto perfil, ingressos para shows e edição limitada de moda.
As empresas que vendem esses produtos devem ser extra cautelosas com bots de acumulação de estoque (também conhecidos como "grinch bots") durante a temporada de compras das festas de final de ano. Estes bots compram automaticamente produtos ou serviços mais rapidamente do que os humanos são capazes, normalmente para vendê-los por um valor maior em um mercado de segunda mão. Os tênis de edição limitada, por exemplo, têm sido o alvo de uma categoria especializada de bots; "bots de tênis". Um musico que teve sucesso em vendas até tentou combater os bots de tênis cobrando um acréscimo de preço de 100 vezes se os compradores não tivessem seu código de fã-clube.
Os efeitos dos bots de acumulação de estoque, produtos que são comprados em minutos, não são difíceis de detectar. O problema é que o dano já está feito nesse ponto. Para bloquear esses bots antecipadamente, considere táticas como estas:
Desafios gerenciados: o uso de desafios gerenciados garante que somente usuários reais possam fazer uma compra. No entanto, o padrão do setor para desafios, CAPTCHA, pode criar atrito com os clientes e também pode ser superado por modelos de IA todas as vezes. As alternativas CAPTCHA agora, estão disponíveis como desafios gerenciados que confirmam que um usuário é real sem os inconvenientes dos CAPTCHAs.
Limitação de taxa: limite a frequência com que alguém (ou algo) pode repetir uma ação dentro de um determinado período de tempo. Isso ajuda a limitar a frequência com que bots e usuários falsos podem adicionar itens ao carrinho, apenas para abandoná-los.
Configurar um "honeypot": um honeypot é um alvo falso para agentes mal-intencionados que, quando acessado, expõe o agente mal-intencionado como malicioso. No caso de um bot, um honeypot pode ser uma página web no site, proibida para bots pelo arquivo robots.txt. Os bots bons vão ler o arquivo robots.txt e evitar essa página web, alguns bots maliciosos vão interagir com a página web. Ao rastrear o endereço de IP dos bots que acessam o honeypot, os bots ruins podem ser identificados e bloqueados.
Infelizmente, algumas dessas táticas podem prejudicar a experiência do usuário e talvez nem consigam deter os bots ruins mais avançados. Aqueles que correm maior risco com a acumulação de estoque, devem investir em gerenciamento de bots dedicado que usam aprendizado de máquina e análise comportamental avançada.
Pergunta 3: O quanto você depende de APIs para aumentar sua presença on-line?
Além de ameaças perenes, como interrupções do site e fraudes de pagamento, os varejistas enfrentam um risco maior com a expansão das superfícies de ataque. Por exemplo, muitas empresas de comércio eletrônico dependem fortemente de APIs para gerenciar seus CMS, inventário de produtos, chatbots, sistemas de pagamento e muito mais. A maior adoção de comércio headless para ajudar a habilitar experiências hiperpersonalizadas aumenta ainda mais a dependência de APIs.
Cada nova API é uma nova superfície de ataque em potencial. Mas você não pode proteger o que não pode ver, e cerca de um terço das organizações carecem de inventários de APIs precisos. "APIs ocultas" desconhecidas deixam as organizações vulneráveis à exposição de dados, movimento lateral e outros riscos cibernéticos.
Por exemplo, se uma API tiver uma vulnerabilidade desconhecida ou for suscetível aos dez principais riscos de segurança da API, os invasores podem interceptar informações de cartão de crédito. A mesma consequência poderia ocorrer em um ataque de autenticação, no qual o invasor rouba uma chave de API relevante, ou intercepta e usa um token de autenticação.
O primeiro passo para evitar esses ataques é identificar as APIs em primeiro lugar. Um serviço de descoberta de endpoint de API no período que antecede a temporada das festas de final de ano ajuda a identificar quaisquer endpoints em risco e, em seguida, emprega as seguintes táticas:
Validação de esquema: especificamente, bloquear as chamadas de API que não estejam em conformidade com o "esquema" da API, ou seja, o padrão de solicitações que ela deve receber.
Detecção de abuso específica de APIs: entenda o tráfego abusivo e utilize a limitação de taxa centrada em APIs para bloquear o tráfego excessivo e abusivo de APIs, com base na compreensão minuto a minuto do tráfego de cada endpoint de API.
As pegadas digitais dos varejistas continuam a crescer com a ascensão da IA generativa, da venda ao vivo e de outras tecnologias que usam APIs. No longo prazo, mudar para uma abordagem DevSecOps pode garantir que a segurança seja integrada a todas as fases do ciclo de desenvolvimento de aplicativos e APIs.
Continuando o processo de priorização
Responder a estas perguntas é um passo importante no processo de priorização de risco, mas elas são apenas um começo. Idealmente, uma empresa será capaz de analisar dados de ataques de temporadas de final de ano anteriores para prever ameaças futuras. Ela também podem considerar fatores como:
Que tipos de ataques podem ter o maior impacto financeiro, seja por perda de receita ou custos de mitigação
Que tipos de ataque trazem o maior risco de perda ou comprometimento de dados
Quais ataques têm maiores chances de causar indisponibilidade do site
Se a segurança de seu aplicativo/API pode ser integrada à segurança que protege seus usuários internos (ou seja, funcionários, contratados, desenvolvedores)
Alcançar uma operação de comércio eletrônico mais íntegra com uma nuvem de conectividade
Ficar à frente dos ataques e tendências do comércio eletrônico durante o ano todo requer uma plataforma de segurança nativa de nuvem, de baixa latência, segura e confiável.
Para ajudar a reduzir custos, melhorar a agilidade, proteger dados confidenciais e se defender contra ameaças em evolução, a nuvem de conectividade da Cloudflare oferece melhorias de segurança e desempenho. Uma nuvem de conectividade é uma plataforma unificada e inteligente de serviços programáveis nativos de nuvem que oferece às organizações maior visibilidade e controle sobre seus ambientes de TI.
A Cloudflare une segurança de aplicativos web, segurança de APIs, segurança de ferramentas de terceiros, serviços Zero Trust e muito mais em um único plano de controle, com todos os serviços alimentados por inteligência contra ameaças inigualável.
Juntos, a Cloudflare pode ajudar você a alcançar segurança e desempenho de alto nível em toda a experiência digital do cliente, ao mesmo tempo em que recupera o controle e melhora a agilidade em todos os níveis da pilha de TI.
Este artigo é parte de uma série sobre as tendências e os assuntos mais recentes que influenciam os tomadores de decisões de tecnologia hoje em dia.
Principais conclusões
Estratégias de segurança cibernética no varejo a serem priorizadas durante os picos das festas de final de ano
Dicas de segurança para o comércio eletrônico e se proteger contra os bots ruins que prejudicam a experiência do usuário e ameaçam a receita
Estratégias de prontidão para as festas de final de ano para defesa contra o abuso de APIs
Recursos relacionados
Saiba mais sobre esse assunto
O desempenho dos sites e aplicativos de comércio eletrônico voltados para o cliente é constantemente ameaçado por explorações de dia zero, ataques DDoS, bots ruins, APIs ocultas e muito mais. Saiba mais sobre a evolução dos riscos de segurança de aplicativos e dicas para mitigá-los no Relatório sobre a situação da segurança de aplicativos.