В 2023 году Chess.com подтвердила утечку данных миллионов профилей. Ни SQL-инъекций, ни компрометации серверов — атакующий просто отправлял валидные GET-запросы к публичному API, подставляя юзернеймы из словаря. Каждый запрос по отдельности выглядел абсолютно легитимно. SIEM молчал. Алертов — ноль.
И это не уникальный случай. Паттерн один и тот же: предсказуемые идентификаторы, одинаковый throttling на всех эндпоинтах и полное отсутствие детектирования до момента, когда дамп уже в продаже.
❓Зачем скраперу ваши профили?
Не стоит недооценивать «просто чтение». Собранные email, username, дата регистрации и привязанные соцсети — это топливо для:
⏺️Credential stuffing — если email активен на вашей платформе, атакующий прицельно бьёт по нему паролями из других утечек
⏺️Таргетированного фишинга — «Поздравляем с рейтингом 1800, подтвердите аккаунт» работает в разы лучше массовой рассылки
⏺️Перепродажи на теневых площадках — базы с tier-статусами подписчиков имеют прямую коммерческую ценность
По OWASP API Security Top 10 это сразу два риска: Unrestricted Resource Consumption и Unrestricted Access to Sensitive Business Flows.
🎯Как распознать скрапера в логах?
Вот реальная картина из практики. Эндпоинт
/api/v2/users/{id} за выходные обработал в 40 раз больше запросов, чем обычно. RPS с одного /24-подсета — стабильные 12 запросов в секунду, ровно на 2 ниже порога rate-limiter'а. Кто-то аккуратно подобрал скорость.Что выдаёт бота:
• Интервал между запросами 83±2 мс — такая периодичность невозможна для человека
• Один и тот же
User-Agent без единой вариации за 48 часов• Последовательный перебор ID:
/api/user/1001, /api/user/1002, /api/user/1003• Нет навигационного контекста — бот бьёт только в один эндпоинт, как дятел
• IP из хостинг-подсетей (DigitalOcean, Hetzner, OVH)
• Доля 404-ответов выше 30% — перебор несуществующих ID
📌Ключевой принцип для SOC: алерт должен срабатывать на паттерн, а не на единичный запрос. По данным Cequence, GET-запросы — это до 99% всех транзакций типичного домена. Инструменты, заточенные под анализ POST, этот вектор просто не видят.
Для РФ контекст ещё жёстче: с 2024 года штрафы за утечку персональных данных стали оборотными. Если регулятор установит, что API работал без базового rate limiting — аргумент «мы не знали» не спасёт.
В полной статье — конкретные SIEM-правила, архитектура защиты и пошаговый план реагирования⬇
https://codeby.net/threads/kak-zashchitit-sya-ot-skrapinga-dannykh-gaid-soc.95935/