Entradas agotadas: cómo los 'bots' compran tickets de forma masiva para su reventa

Cuando las entradas del concierto de tu grupo favorito vuelan en pocos minutos solo te queda resignarte y cruzar los dedos para llegar antes la próxima vez (o para encontrar un chollo en la reventa). Aunque muchas de estas compras masivas en internet corresponden a acechantes fans, en ocasiones la mayor parte de los 'aficionados' son en realidad 'bots' que han comprado decenas de tiques en unos segundos, para luego ni acudir al evento.

A los ‘bots’ no les interesa la música de Adele ni los discursos del papa Francisco, pero estos programas han impedido que algunos de sus admiradores humanos pudieran verles y oírles en directo. Los especuladores que manejan sus riendas los programan para entrar en las webs de distribución, comprar cientos de entradas con credenciales falsas y revenderlas después en otra página a un precio más alto. Todo ello en perjuicio de los verdaderos seguidores, que o pagan más o se quedan compuestos y sin autógrafo.

En España, el caso más sonado ha sido el de los conciertos de Bruce Springsteen –celebrados este mes en Madrid, Barcelona y San Sebastián−, cuyas entradas se agotaron en pocas horas. Al otro lado del charco, donde el fenómeno se da más a menudo, ya están tomando cartas legislativas en el asunto.

Cualquier sitio que venda algo valioso, ya sean reservas en restaurantes o ediciones limitadas de zapatillas, es susceptible de sufrir la avalancha ‘bot’

Tras publicar un informe sobre su alcance, el fiscal general de Nueva York ha anunciado las multas impuestas a varias páginas y su intención de modificar la ley para incluir también sanciones penales. Además, varios miembros del congreso quieren hacer realidad la bautizada como BOTS Act, un conjunto de medidas destinadas a evitar la práctica y castigar a los especuladores en todo el país.

Medidas ‘antibot’ para todos

Quienes deben levantar sus barreras tecnológicas contra los intrusos son, en primera instancia, las plataformas de venta oficial. Los responsables de Ticketmaster explican a Teknautas que utilizan varias estrategias, “desde el bloqueo de direcciones IP hasta el análisis de los patrones de tráfico para identificar comportamientos no humanos”.

También cabe la posibilidad de imponer límites al número de entradas que pueden adquirirse, supervisando las compras mediante comprobaciones manuales o automáticas. Estos máximos “los determinan los organizadores del evento, aunque algunas veces nosotros mismos cancelamos reservas duplicadas”, prosiguen.

La bautizada como BOTS Act es un conjunto de medidas destinadas a evitar la práctica y castigar a los especuladores en todo el país

Pero el alcance del fenómeno va más allá de los conciertos: cualquier sitio de internet que venda algo valioso, ya se trate de reservas en restaurantes exclusivos o ediciones limitadas de zapatillas Nike, es susceptible de sufrir la avalancha ‘bot’. Detectan los enlaces y el número de identificación de los productos incluso antes de que salgan a la venta para después adquirirlos directamente.

Lo más curioso es que, pese al rechazo general, estos consumidores programados se pueden conseguir fácilmente en páginas como aiobot.com, ticketbots.net o incluso eBay.

“Tenemos más de 500 clientes de diferentes sectores, entre los que figuran StubHub, AMOMA, Skyscanner e Easyjet”, asegura Rami Essaid, cofundador y CEO de Distil Networks, una empresa que desarrolla herramientas para detectar a los impostores digitales. “Este tipo de actividad siempre ha existido, solo que se ha trasladado a internet y se ha automatizado”, prosigue el experto.

Essaid asegura que no todas las opciones disponibles para combatir el problema resultan eficaces. Muchas aplicaciones web ‘firewall’ han añadido la protección contra ‘bots’ a sus funcionalidades, pero, según el experto en seguridad, estas herramientas “nunca fueron diseñadas para gestionar el volumen, la variedad y sofisticación de los programas actuales”.

Por otro lado, las soluciones que se basan en detectar la dirección IP del usuario y aquellas que se fijan en los rastros que dejan las incursiones tampoco resuelven el problema. “En el mundo de los ‘bots’ no hay huellas, ya que no se limitan a perpetrar ataques, sino que están programados para abusar de las páginas webs de múltiples maneras”, indica Essaid.

Un escudo global

Tampoco los famosos ‘captcha’ ayudan, ya que los sofisticados intrusos saben sortear estos sistemas diseñados para detectar robots. “Necesitas proteger toda la página web, no utilizar una herramienta tan limitada”, señala el CEO de Distil Networks.

El ‘software’ que ofrecen Essaid y su equipo analiza más de 40 bits de información de cada solicitud de acceso a la página y construye un perfil del buscador que realiza la conexión. “Inspecciona cada petición HTTP en tiempo real para detectar a los intrusos y bloquearlos”, explica el responsable de la empresa.

En España, el caso más sonado ha sido el de los conciertos de Bruce Springsteen, cuyas entradas se agotaron en pocas horas.

Puede ejecutarse como una red de distribución de contenidos o como una aplicación en la nube. “El tráfico de la web pasa a través de la herramienta, que examina la dirección de la que proviene cada usuario, el país de origen, cómo navega, si mueve el ratón y otros patrones de comportamiento”, enumera Essaid.

Aplica ‘machine learning’ para comparar los datos de los distintos compradores, identificar diferencias y aprender qué factores distinguen a los clientes reales de los falsos. Así, construye una marca indeleble que vincula a cada ‘bot’ y que le permite detectarlo incluso si proviene de otro ordenador o se esconde detrás de un servidor ‘proxy’ anónimo.

Desde Ticketea, uno de los principales distribuidores de entradas en España, afirman que “de momento”, no han sufrido ningún abuso por parte de ‘bots’, aunque disponen de herramientas antifraude y métodos para validar a los clientes. Si la práctica se vuelve más común y estos compradores automáticos siguen creciendo en número y complejidad, ¿logrará alguna barrera tecnológica detenerlos por completo o es la legislación el muro definitivo?