Automatisierte Bedrohungen stellen ein zunehmendes Risiko für die Reisebranche dar
Mit der Erholung nach der Pandemie wird die US-Reisebranche zunehmend von automatisierten Bedrohungen ins Visier genommen. Letztes Jahr verzeichnete die Branche fast 21 Prozent aller Bot-Angriffe. Laut dem "2024 Bad Bot Report" von Imperva machten schädliche Bots 2023 44,5 Prozent des Webverkehrs der Branche aus, ein deutlicher Anstieg gegenüber 37,4 Prozent im Jahr 2022.
Die US-Reisebranche hat hohe Erwartungen, dass die Sommerreisezeit und große europäische Sportereignisse die Nachfrage nach Flügen, Unterkünften und anderen Reisedienstleistungen ankurbeln. Imperva warnt, dass steigende Reisetätigkeiten zu einem Anstieg der Bot-Aktivitäten führen könnten. Diese Bots greifen die Branche durch unbefugtes Scraping, Seat Spinning, Kontoübernahme und Betrug an.
Von Scraping zum Betrug
Bots sind Softwareanwendungen, die automatisierte Aufgaben im Internet ausführen. Viele dieser Aufgaben, von der Indizierung von Websites für Suchmaschinen bis zur Überwachung der Website-Leistung, sind legitim, aber eine wachsende Zahl ist es nicht. Bösartige Bots führen verschiedene bösartige Aktivitäten aus, von Denial-of-Service-Angriffen bis hin zu Transaktionsbetrug. Diese automatisierten Bedrohungen können Bandbreite verbrauchen, Server verlangsamen und den Geschäftsbetrieb stören, auch wenn sie nicht direkt sensible Daten stehlen oder betrügerische Transaktionen durchführen.
Die Reisebranche hat schon lange mit komplexen Bot-Problemen zu kämpfen, da böswillige Akteure die verschiedenen Einsatzmöglichkeiten von Geschäftslogik in Reiseanwendungen ausnutzen können. Hier sind einige der häufigsten Methoden, mit denen reisebezogene Anwendungen täglich angegriffen werden:
Fare Scraping (automatisierte Sammeln von Preisinformationen)
Die Nutzung von Bots zum Sammeln von Preisinformationen, Beständen, ermäßigten Tarifen und mehr ist weit verbreitet. Besonders Fluggesellschaften sind von Scraping betroffen, da Bots von Online-Reisebüros (OTAs), Aggregatoren und Wettbewerbern oft unerlaubt Daten sammeln. Dadurch können wichtige Geschäftskennzahlen wie das Verhältnis von Suchanfragen zu Buchungen verfälscht und die API-Kosten erhöht werden. Ein Beispiel: Eine Fluggesellschaft musste monatlich 500.000 US-Dollar an API-Gebühren zahlen, weil ein großer Teil des Bot-Verkehrs ihre Such-API auswertete.
Sitzplatzverschiebung
Die Nutzung von Bots zum wiederholten Buchen und Stornieren von Flugtickets oder Hotelzimmern schafft einen vorübergehenden Reservierungsbestand ohne tatsächlichen Kauf. Diese Praxis erzeugt fälschlicherweise eine Knappheit, wodurch es scheint, als wären weniger Plätze oder Zimmer verfügbar. Dadurch werden Kunden in die Irre geführt und die Preise könnten aufgrund der vermeintlich hohen Nachfrage steigen. Diese künstliche Knappheit kann zu einer Fehlverwaltung der Bestände führen, was es legitimen Kunden erschwert, verfügbare Plätze oder Zimmer zu finden und zu buchen. Infolgedessen können Reiseunternehmen Umsatzeinbußen erleiden, da echte Kunden durch die scheinbare Nichtverfügbarkeit oder überhöhte Preise abgeschreckt werden. Seat Spinning stört auch den normalen Betrieb von Fluggesellschaften und Hotels, was zu Ineffizienz und erhöhten Betriebskosten führt. Dies verschlechtert das Kundenerlebnis, da echte Kunden Schwierigkeiten haben, Plätze oder Zimmer zu finden und zu buchen, was zu Frustration führt.
Kontoübernahme
Die Reisebranche verzeichnete 2023 das zweithöchste Volumen an Kontoübernahmeversuchen (Account Take Overs – ATO), wobei 11 Prozent aller ATO-Angriffe auf diese Branche abzielten und 17 Prozent aller Login-Anfragen mit ATO verbunden waren. Cyberkriminelle haben es auf Benutzerkonten abgesehen, da diese wertvolle persönliche Informationen, gespeicherte Zahlungsmethoden und Treuepunkte enthalten. Zeitkritische, hochwertige Reisetransaktionen ermöglichen eine schnelle Monetarisierung, oft bevor der Betrug entdeckt wird, was zu finanziellen Verlusten, beschädigtem Kundenvertrauen und einem schlechten Ruf des Unternehmens führt. Der Umgang mit ATO erfordert zudem erhebliche Ressourcen für Kundensupport, Rückerstattungen und Sicherheitsverbesserungen. Die vernetzten Systeme der Branche und die zahlreichen Einfallstore verschlimmern die Anfälligkeit weiter.
Nicht alle Bots sind gleich
Imperva kategorisiert bösartige Bot-Aktivitäten in drei Kategorien: einfach, moderat und fortgeschritten:
- Einfache Bots: Einfache bösartige Bots verbinden sich von einer einzigen, vom Internet-Service-Provider (ISP) zugewiesenen IP-Adresse aus mit Websites oder Anwendungen und nutzen automatisierte Skripte, ohne sich als Browser zu erkennen zu geben. Sie führen häufig einfache Web-Scraping-Aktivitäten durch.
- Moderate Bots: Moderate Bad Bots verwenden „Headless Browser“-Software, die Browsertechnologie simuliert und in der Lage ist, JavaScript auszuführen. Diese Bots sind schon anspruchsvoller und schwerer zu erkennen.
- Fortgeschrittene Bots: Fortgeschrittene Bad Bots imitieren menschliches Benutzerverhalten, wie Mausbewegungen und Klicks, um Erkennungssysteme zu umgehen. Sie verwenden Browser-Automatisierungssoftware oder Malware, die in echten Browsern installiert ist. Diese Bots werden für komplexere Betrugs- und Kontoübernahmeversuche genutzt und stellen ein erhebliches Risiko dar, da sie ihre Ziele mit weniger Anfragen und mehr Hartnäckigkeit erreichen können. Im letzten Jahr machten fortgeschrittene Bad-Bot-Aktivitäten 61 Prozent aller bösartigen Bot-Aktivitäten in der Reisebranche aus.
Raffinierte Bot-Betreiber setzen Techniken ein, die sowohl von moderaten als auch von fortgeschrittenen Bots verwendet werden, um der Entdeckung zu entgehen. Dazu gehören das Wechseln zwischen zufälligen IPs, die Nutzung anonymer Proxys, das Umgehen von CAPTCHA-Aufgaben und andere komplexe Taktiken, um Bot-Management-Lösungen zu umgehen.
Mehrschichtige Verteidigungsmaßnahmen
Im Jahr 2023 entfielen fast 50 Prozent des gesamten Datenverkehrs in der Reisebranche auf Bots. Mit steigendem Verbraucherinteresse an Reisen könnten Bot-Betreiber verstärkt Treueprogramme ins Visier nehmen, Konten übernehmen oder Betrug begehen. Imperva empfiehlt mehrere schnelle Maßnahmen, um Bot-Aktivitäten zu bekämpfen:
- Veraltete Browserversionen blockieren
- Zugriff von großen IP-Rechenzentren einschränken
- Erkennungsstrategien für Anzeichen von Automatisierung umsetzen, wie z. B. ungewöhnlich schnelle Interaktionen
Regelmäßiges Monitoring auf Verkehrsanomalien, wie hohe Absprungraten oder plötzliche Spitzen, kann helfen, bösartige Bot-Aktivitäten zu erkennen. Auch die Analyse verdächtiger Verkehrsquellen, wie einzelner IP-Adressen, liefert wertvolle Hinweise.
Mit dem Fortschritt der Bot-Technologie, insbesondere durch KI, wird es zunehmend schwieriger, zwischen gutem und schlechtem Verkehr zu unterscheiden. Daher empfiehlt Imperva, mehrschichtige Verteidigungsmaßnahmen zu ergreifen, darunter die Analyse von Benutzerverhalten, Profilierung und Fingerabdruck-Erkennung als wichtige Schutzmaßnahmen für die Reisebranche.
Weitere Artikel zum Thema: