Как боты и мошенники атакуют мобильные и веб-приложения: угрозы и решения

Фальшивый трафик: сколько денег вы теряете на ботах прямо сейчас

Два года назад руководитель крупного интернет-магазина обнаружил, что скидочные товары исчезают за секунды. Проверка показала: почти все такие запросы поступали от ботов. Капча, чёрные списки IP и лимиты запросов не помогали. Это не единичный случай.

Глобальная картина бот-активности в 2025 году

По итогам 2025 года доля ботов в интернет-трафике российских компаний впервые превысила 41%. За два года показатель вырос с 30%. Специалисты F6 прогнозируют сохранение тенденции в 2026 году.

Усреднённые показатели активности на действующих клиентах F6, использующих антибот-решение (2025 г.):

• 55% — обычные пользователи
• 41% — плохие (вредоносные) боты
• 4% — хорошие боты (легитимные роботы, например, поисковые системы)

Таким образом, вредоносный трафик почти сравнялся с реальными людьми. На каждый миллион сессий приходится до 410 тысяч ботовых запросов. Все это напрямую бьет по бюджету.

Какие бизнес-потери создают боты?

• Кража акционного бюджета. Боты выкупают товары по скидке, накручивают бонусы, обнуляют промокоды — деньги уходят мошенникам, а не реальным клиентам.
• Потеря конверсии и клиентов. L7-атаки парализуют работу сервиса: пользователи не могут оформить заказ, платёж зависает, сайт долго отвечает.
• Ущерб репутации. Взломанные аккаунты, спам с именем компании, негативные отзывы из-за дефицита товаров подрывают доверие.
• Рост операционных издержек. Команды тратят время на разбор ложных срабатываний, увеличение мощностей и ручную модерацию.

Почему традиционные методы не спасают?

IP-адрес легко подменить через прокси; современные боты эмулируют движения мыши и паузы, успешно проходя капчу; скорость адаптации злоумышленников выше (обход правил занимает от одного дня). Атаки сместились на уровень приложений (L7), где классические WAF часто бессильны. Решение — внедрение специализированной защиты от ботов на базе машинного обучения.

Кража прибыли: как боты забирают ваши деньги

Боты делятся на легитимные (индексация сайтов поисковыми системами) и вредоносные. Последние созданы для извлечения выгоды за счёт бизнеса. Они эмулируют действия человека, но их цель — нанести ущерб: украсть бюджет, данные или товар.

Мотивация мошенников

• Репутационные атаки — нанесение финансового или репутационного ущерба сервису (создание ажиотажа и последующего негатива из-за дефицита).
• Получение или пробив информации — атаки, направленные на кражу и переиспользование пользовательских данных (пароли, платёжные реквизиты, персональные данные).
• Обучение, развлечение, исследование — атаки, не несущие прямого ущерба, но влияющие на сервис и антифрод (тестирование защит, перегрузка систем в «учебных» целях).

Главные сценарии атак

• Взлом аккаунтов (credential stuffing). Злоумышленники проверяют украденные пары логин-пароль на вашем сайте. Взломанный аккаунт — кража бонусов, несанкционированные заказы и рассылка спама от имени компании. Бизнес теряет лояльность клиентов и несёт прямые убытки.
• Копирование контента и цен (скрейпинг). Конкуренты выгружают ваш каталог и цены, чтобы мгновенно перебивать предложения. Потеря уникальности и ценовое давление снижают маржинальность.
• Проверка украденных карт (кардинг). Боты тестируют номера карт через микроплатежи на вашем сайте. Для бизнеса это всплеск чарджбэков, блокировка мерчант-аккаунта и претензии от платёжных систем.
• Обман с промокодами и бонусами. Боты регистрируют тысячи фейковых аккаунтов, накручивают бонусы и выводят их. Акционный бюджет сгорает впустую, не привлекая реальных клиентов.
• Бронирование дефицита. Боты резервируют популярные товары (смартфоны, билеты) для перепродажи. Реальные покупатели уходят к конкурентам, продавец теряет выручку и получает негатив.
• Абьюз сервисов отправки SMS. Боты массово инициируют запросы на подтверждение по SMS (регистрация, восстановление пароля, одноразовые коды). Это приводит к нецелевым расходам на SMS-шлюзы, перегрузке провайдера и блокировке номера отправителя как спам-источника. Реальные пользователи не могут получить код, бизнес теряет конверсию и платит за фальшивый трафик.

Как Fraud Protection возвращает бизнесу контроль над трафиком

Fraud Protection от F6 — решение для выявления, предупреждения и устранения мошенничества в приложениях в реальном времени. Принцип работы: на сайт или в мобильное приложение интегрируется SDK, который собирает данные об устройстве, поведении пользователя и окружении. Машинное обучение выявляет аномалии.

Что анализируется для защиты прибыли?

• Цифровой отпечаток устройства. Даже после смены IP и очистки кук бот выдаёт себя через уникальные характеристики (шрифты, разрешение, версия WebGL), а также отклонения в несоответствии платформ.
• Поведенческие метрики. Человек двигает мышь по естественной траектории с микропаузами, случайными отклонениями и возвратами. Даже современные боты, имитирующие движения, выдают себя неестественной плавностью, отсутствием микроколебаний или идеальной линейностью траектории.
• Временные аномалии. Бот отправляет форму через 0.2 секунды после загрузки — человеку нужно хотя бы 5 секунд.

Автоматическое принятие решений

Система оценивает каждый запрос по шкале риска (0–100) и автоматически решает: пропустить, запросить дополнительную проверку (капча, SMS) или заблокировать. Время обработки — миллисекунды, реальные клиенты не замечают защиты. Результат: бюджет не утекает, серверы не перегружены, честные пользователи спокойно оформляют заказы.

Ключевые тренды и цифры: аналитика F6

• По итогам 2025 года доля ботов в интернет-трафике российских компаний впервые превысила 41%. За два года показатель вырос с 30%.
• Рост ресурсов с Android-троянами — в 6 раз.
• Экономия на снижении ложных тревог при использовании Fraud Protection — до 5 млн рублей на крупных проектах.

Статистика на примере пилотного проекта

• 14 316 837 сессий проанализировано за период пилота.
• 42% событий признаны событиями ботов (почти каждая вторая сессия содержала ботовую активность).

Это подтверждает, что реальный уровень зашумлённости трафика может быть даже выше усреднённых 41%.



«Больше 40% трафика — это не боты, это экономика и упущенная прибыль. Сгоревший акционный бюджет, лишняя нагрузка на серверы, потерянная конверсия, истощение SMS-бюджета. Большинство компаний детально не контролируют нагрузку, а потому и не видят, сколько из экономики забирают боты. Preventive Proxy блокирует их на периметре — до того, как они коснутся ваших денег. Трафик без примесей — результат без потерь».

Что бизнес получает после внедрения Fraud Protection или Preventive Proxy

Fraud Protection

Что получает бизнес:

• Настоящий трафик. Мошенники отсекаются ещё на этапе входа, не создавая ложных заявок.
• Рост конверсии. Честные клиенты проходят путь быстро и без лишних преград за счёт бесшовной проверки.
• Увеличение LTV. Аккаунты реальных пользователей надёжно защищены от угона, они дольше остаются с компанией.

Preventive Proxy

Что получает бизнес:

Preventive Proxy

— это продукт, который входит в линейку Fraud Protection. Он анализирует и применяет политики реагирования на бот-активность, выявляет автоматизированные средства для сбора данных и совершения действий на защищаемом ресурсе.
• Снижение нагрузки на серверы. Боты отсеиваются на периметре, не создавая затрат на обработку.
• Автоматизация защиты. Подозрительные сессии анализируются без участия человека, пользовательские запросы проверяются в реальном времени.
• Остановка скрейпинга, накрутки, брутфорса, SMS-бомбинга до того, как они коснутся бизнес-логики.

Настройки под бизнес-сценарии: гибкость без аналитиков

Fraud Protection позволяет гибко настраивать правила под разные бизнес-процессы. Пороги риска задаются без привлечения аналитиков.

Сценарий	Параметры анализа	Действие при высоком риске
Подбор паролей	Частота попыток входа, отпечаток устройства, репутация IP	Временная блокировка, уведомление службы безопасности
Проверка карт	BIN карты, страна эмитента, время между заполнением формы и отправкой	Отклонение платежа, повторный запрос 3D-Secure
Воровство данных	Однотипность запросов, отсутствие движений мыши, высокая скорость	Подмена ценовых данных или возврат пустого каталога
Накрутка промокодов	Один отпечаток на много аккаунтов, временная почта	Отказ в начислении бонуса, сообщение о недействительности промокода
Фейковые регистрации	Проверка номера телефона по базе временных сервисов	Запрос подтверждения через голосовой звонок

Критерии выбора системы защиты от ботов для бизнеса

При выборе антибот-решения для компании важно проверить пять параметров:

• Работа в реальном времени. Задержка >100 мс ухудшает опыт клиентов и снижает конверсию.
• Поддержка мобильных приложений. Без сбора данных с акселерометра и гироскопа бот на эмуляторе пройдёт защиту.
• Автоматическое обучение. Ручное ведение чёрных списков неэффективно; алгоритмы должны адаптироваться без участия ИТ-команды.
• Интеграция с бизнес-логикой. Возможность задать правила: например, не блокировать поисковых роботов, но блокировать массовое копирование.
• Базы данных об угрозах. Наличие актуальных списков прокси, недоверенных хостингов и иностранных IP-адресов.

Подробнее об активности ботов и рекомендации по защите — в пресс-релизе «Клик-кряк: атаки ботов занимают более 40% в интернет-трафике российских компаний».

Итог: инвестиция в безопасность веб-приложений

Боты и мошенники напрямую сокращают выручку: крадут акционные бюджеты, подрывают конверсию, увеличивают операционные расходы и портят репутацию. Традиционные методы (капча, IP-блокировки) лишь создают иллюзию безопасности, пропуская больше чем 40% вредоносного трафика (по итогам 2025 года). В пилотных проектах доля ботовых сессий достигает 42%, а структура трафика: 55% обычных пользователей, 41% плохих ботов и 4% хороших ботов. Мошенники преследуют как прямой финансовый интерес, так и репутационный ущерб, а также исследуют системы защиты.

Fraud Protection от F6 возвращает бизнесу контроль: чистый трафик, защищённые аккаунты, автоматическое отсечение ботов на периметре. Внедрение Fraud Protection или использование Preventive Proxy как самостоятельного решения позволяет снизить потери, сохранить бюджет и повысить лояльность реальных клиентов. Защита от ботов перестаёт быть статьёй расходов и становится прямым драйвером прибыли.