Невидимі зловмисники: як сучасні боти імітують реальних користувачів

За матеріалами Владислава Букіна, керівника Radware Threat Research Center

Нова реальність бот-атак

Автоматизовані загрози перетворилися на складні скоординовані системи. Сучасний бот — це вже не простий скрипт і не базовий інструмент автоматизації на кшталт Selenium. Зловмисники створюють повноцінні екосистеми, у яких поєднуються:

• резидентські та мобільні проксі-мережі;
• автоматизовані браузери;
• прямі атаки на API;
• емуляція мобільних пристроїв;
• інструменти підміни цифрових відбитків;
• алгоритми ухвалення рішень на основі штучного інтелекту.

Головна мета таких систем — зробити автоматизовану активність максимально схожою на дії звичайного користувача.


Масштаб проблеми продовжує зростати

За даними Radware 2026 Global Threat Analysis Report, кількість шкідливих транзакцій, спрямованих на вебзастосунки та API, у 2025 році зросла на 128% порівняно з попереднім роком. Лише за перші шість місяців 2025 року Radware Cloud Application Protection Service зафіксував обсяг шкідливих транзакцій, еквівалентний 87% від їхньої загальної кількості за весь 2024 рік. У другому півріччі 2025 року показник зріс ще на 63% порівняно з першим півріччям.

Активність шкідливих ботів також різко посилилася. У 2025 році кількість транзакцій, створених такими ботами, збільшилася на 91,8%. Для порівняння: роком раніше зростання становило 35,2%.

Тенденція продовжилася і у 2026 році. У першому кварталі кількість шкідливих транзакцій, спрямованих на вебзастосунки та API, була на 52% вищою, ніж у четвертому кварталі 2025 року та на 273% вищою, ніж у першому кварталі 2025 року. Усього за перший квартал 2026 року Radware заблокувала обсяг шкідливих веб- і API-транзакцій, що дорівнював 60% усіх транзакцій, заблокованих протягом 2025 року.

Ці показники демонструють, що відокремлення реального користувача від автоматизованої системи більше не може ґрунтуватися на простих детермінованих правилах. Традиційні механізми — блокування IP-адрес, CAPTCHA та статичне обмеження частоти запитів — не були розраховані на атаки, які адаптуються в режимі реального часу.

Як розвивалася бот-автоматизація

Можливості ботів змінювалися разом із розвитком вебзастосунків. Перші покоління ботів використовували:

• статичні HTTP-запити;
• передбачувані часові інтервали;
• одну або обмежену кількість IP-адрес;
• незмінні заголовки запитів;
• спрощені послідовності дій.

Такі боти часто не виконували JavaScript і не підтримували повноцінні користувацькі сесії. Їх було відносно легко розпізнати, оскільки вони взаємодіяли із застосунком не так, як це робить людина.

Ситуація змінилася після поширення повноцінних фреймворків браузерної автоматизації, зокрема Playwright і Puppeteer. Вони дають ботам змогу:

• виконувати JavaScript;
• відображати сторінки у справжньому браузерному середовищі;
• працювати з cookie;
• підтримувати сесії;
• переходити за перенаправленнями;
• заповнювати форми;
• проходити багатокрокові сценарії;
• імітувати повний шлях користувача.

Таким чином зловмисники перейшли від автоматичної відправки окремих запитів до автоматизації цілісних користувацьких сценаріїв.



Сучасний цифровий шлях користувача більше не обмежується веббраузером. Він може охоплювати:

• мобільні застосунки;
• API автентифікації;
• пошукові сервіси;
• перевірку наявності товарів;
• кошики та платіжні операції;
• програми лояльності;
• особисті кабінети;
• системи відновлення доступу.

Зловмисникам не обов’язково завантажувати сторінку сайту, якщо потрібну дію можна виконати безпосередньо через API. Наприклад, автоматизація може звертатися напряму до функцій:

• входу в обліковий запис;
• перевірки балансу;
• пошуку товару;
• резервування;
• додавання товару до кошика;
• застосування промокоду;
• оформлення замовлення;
• зміни персональних даних.

Тому сучасний бот-захист має охоплювати не лише вебсторінки, а й контекст виклику API, бізнес-логіку транзакцій, мобільні SDK та механізми автентифікації.



Ще один етап розвитку — використання штучного інтелекту для адаптації ботів. Такі системи можуть аналізувати відповідь застосунку та змінювати подальші дії. Зокрема, вони здатні:

• повторювати невдалі операції;
• знижувати швидкість при появі захисної перевірки;
• змінювати маршрут навігації;
• обирати інший API;
• коригувати цифровий відбиток;
• оптимізувати сценарій відповідно до результатів попередніх спроб.

Мета полягає вже не в тому, щоб виконувати операції якомога швидше. Сучасний бот намагається діяти якомога правдоподібніше. Зловмисники перейшли від імітації трафіку до імітації користувачів.

Основні методи обходу бот-захисту

Складні бот-атаки використовують багаторівневе маскування. Однієї підробленої IP-адреси або зміненого заголовка User-Agent вже недостатньо. Зловмисники прагнуть створити узгоджену цифрову ідентичність, у якій інфраструктура, браузер, протокол, API-запити, мобільне середовище та поведінка розповідають одну й ту саму історію.


Маскування інфраструктури

Першим рівнем часто стає приховування джерела трафіку. Для цього використовуються:

• резидентські проксі-мережі;
• проксі-пули інтернет-провайдерів;
• IP-адреси мобільних операторів;
• розподілені мережі заражених або орендованих пристроїв;
• часта ротація IP-адрес.

Резидентська IP-адреса належить мережі, якою користуються звичайні домогосподарства. Трафік із такої адреси складніше відокремити від легітимного, ніж запити з відомого дата-центру. Мета зловмисників — знизити ефективність перевірки репутації IP-адреси. Одна й та сама мережа може одночасно обслуговувати як реальних користувачів, так і шкідливу автоматизацію. У результаті блокування всієї адреси або підмережі може порушити роботу легітимних клієнтів.


Імітація браузера та пристрою

Наступний рівень — підробка цифрового відбитка клієнтського середовища. Сучасні системи виявлення аналізують не лише User-Agent, а й десятки інших характеристик:

• Canvas fingerprint;
• WebGL;
• встановлені шрифти;
• роздільну здатність екрана;
• параметри операційної системи;
• часовий пояс;
• мову інтерфейсу;
• властивості об’єкта Navigator;
• підтримувані функції браузера;
• характеристики графічного адаптера;
• сенсорні можливості пристрою.

Розвинені боти намагаються змінювати ці параметри так, щоб вони залишалися взаємно узгодженими. Наприклад, недостатньо просто повідомити, що запит надходить із мобільного браузера. Роздільна здатність екрана, операційна система, сенсорне введення, часовий пояс і мережеві параметри також мають відповідати заявленому пристрою. Мета полягає не лише в тому, щоб виглядати як браузер, а й у тому, щоб послідовно виглядати як один і той самий браузер за всіма ознаками.


Імітація мережевих протоколів

Навіть за умови підміни User-Agent мережеві характеристики автоматизованого інструмента можуть відрізнятися від поведінки реального браузера. Тому зловмисники намагаються узгоджувати:

• TLS-відбитки;
• набір і порядок криптографічних параметрів;
• HTTP-заголовки;
• порядок передавання заголовків;
• версію HTTP;
• налаштування з’єднання;
• поведінку під час повторних запитів.

Якщо User-Agent вказує на Chrome, але TLS-профіль і порядок заголовків відповідають іншому клієнту, система захисту може виявити невідповідність. Сучасні боти намагаються усунути й ці суперечності.


Обхід захисту через API

API створюють для ботів окрему поверхню атаки. Замість відтворення графічного інтерфейсу зловмисник може безпосередньо взаємодіяти з серверною функцією. Серед поширених сценаріїв:

• credential stuffing;
• підбір паролів;
• масова перевірка облікових записів;
• скрейпінг даних;
• перебір промокодів;
• автоматизоване резервування;
• маніпуляції з товарними запасами;
• створення фальшивих акаунтів;
• зловживання програмами лояльності;
• автоматизоване оформлення операцій.

Для виявлення таких атак недостатньо перевірити синтаксис запиту. Необхідно аналізувати:

• послідовність викликів API;
• характеристики клієнта;
• контекст запиту;
• автентифікаційний сценарій;
• цілісність токенів;
• повторне використання облікових даних;
• кількість невдалих входів;
• відповідність бізнес-логіці.

Radware API Security Service використовує ці сигнали для виявлення ботів, емуляторів, спроб реверс-інжинірингу, циклічної заміни токенів і масових невдалих спроб входу.


Імітація поведінки людини

Щоб сесія виглядала переконливіше, боти імітують поведінкові особливості користувача:

• нерівномірні затримки між діями;
• рухи миші;
• прокручування сторінки;
• переходи між розділами;
• повернення до попередніх сторінок;
• різну глибину перегляду;
• паузи перед натисканням;
• тривалі користувацькі сесії.

У складніших кампаніях зловмисники можуть відтворювати маршрути реальних користувачів або генерувати синтетичні сценарії, побудовані на основі звичайної роботи із застосунком. Дослідження Radware щодо масштабної атаки із захопленням облікових записів у сфері роздрібної торгівлі показало, наскільки далеко просунулися такі методи. У день пікової активності 90% шкідливих ботів було виявлено саме завдяки розширеному поведінковому аналізу. Під час кампанії зловмисники використали:

• понад 600 унікальних IP-адрес;
• понад 6000 унікальних User-Agent;
• 1028 різних User-Agent з однієї IP-адреси лише протягом двох годин.

Окремо взята IP-адреса, версія браузера або швидкість запитів не давали повної картини. Виявити атаку допомогло зіставлення поведінкових та інфраструктурних сигналів.

Життєвий цикл бот-атаки

Типова сучасна бот-кампанія проходить кілька взаємопов’язаних етапів.

1. Розвідка. Зловмисники вивчають: 

• структуру застосунку;
• доступні API;
• механізми входу;
• послідовність бізнес-операцій;
• захисні перевірки;
• обмеження частоти запитів;
• реакцію системи на помилки.

2. Підготовка інфраструктури. Підбираються проксі-мережі, IP-адреси та пристрої, які мають створити враження географічно й технічно різноманітної аудиторії.

3. Налаштування автоматизації. Бот навчається проходити потрібний сценарій: автентифікуватися, виконувати пошук, додавати товар до кошика, змінювати дані або здійснювати іншу цільову операцію.

4. Поведінкове маскування. Додаються затримки, рухи курсора, прокручування, варіативність маршрутів та інші ознаки, характерні для людини.

5. Масштабування. Після оптимізації сценарію атака запускається у великому масштабі — через тисячі IP-адрес, цифрових ідентичностей і користувацьких сесій.

Кожен етап підсилює наступний. Основна мета зловмисника — забезпечити узгодженість усіх ознак, які може спостерігати система захисту. 


Чому традиційний бот-захист втрачає ефективність
Застарілі засоби контролю створювалися для передбачуваної автоматизації. Вони добре працювали, коли боти генерували повторюваний трафік, діяли з однієї IP-адреси та мали очевидні технічні ознаки. Сьогодні ці припущення більше не відповідають реальності.

Репутації IP-адреси недостатньо. Значення IP-репутації знижується, коли зловмисники використовують резидентські й мобільні мережі та постійно змінюють адреси. Заблокована адреса може більше не використовуватися вже за кілька секунд. Водночас надто агресивне блокування може зачепити легітимних користувачів.

Статичні сигнатури легко змінити. Сигнатурний аналіз менш ефективний, якщо бот:

• змінює User-Agent;
• підлаштовує заголовки;
• використовує справжній браузер;
• модифікує цифровий відбиток;
• коригує послідовність запитів;
• змінює сценарій після блокування.

CAPTCHA створює проблеми для користувачів. CAPTCHA тривалий час була стандартним засобом створення додаткової перешкоди для автоматизації. Проте сучасні зловмисники можуть використовувати:

• ферми розв’язування CAPTCHA;
• сервіси ручного вирішення;
• повторне використання пройдених перевірок;
• автоматизовані методи розпізнавання;
• обхід сторінки через прямий виклик API.

У результаті CAPTCHA часто погіршує досвід реального користувача, але не гарантує зупинення складного бота.

Статичне обмеження швидкості не враховує розподілені атаки. Rate limiting може блокувати джерело, яке створює надто багато запитів. Але зловмисник може розподілити навантаження між великою кількістю IP-адрес. Замість сотень запитів з однієї адреси система отримуватиме по одному запиту з кожної адреси. Загальний масштаб атаки залишатиметься високим, але локальний поріг не буде перевищено. В одному з кейсів Radware зловмисники протягом кількох тижнів змінювали тактику:

• спочатку надсилали сотні запитів з однієї IP-адреси;
• потім перейшли до одного запиту з кожної адреси;
• почали атакувати інші вебзастосунки;
• перенесли активність на форми та мобільні застосунки;
• зрештою запустили DDoS-атаку сьомого рівня потужністю 10 Гбіт/с.

Це демонструє, що сучасна атака не має одного постійного шаблону. Проблема полягає не в тому, що традиційні засоби захисту стали повністю непотрібними. Кожен із них і надалі може виявляти окремі ознаки шкідливої активності. Проте кожен інструмент бачить лише фрагмент атаки.

Сучасні бот-кампанії координують:

• мережеву інфраструктуру;
• браузерне середовище;
• поведінку клієнта;
• логіку сесії;
• API-запити;
• мобільні сигнали;
• цифрову ідентичність.

Коли захисні інструменти працюють окремо, вони бачать набір не пов’язаних між собою подій. Зловмисники використовують прогалини між цими подіями.

Основні висновки

Сучасні боти перетворилися з простих скриптів на комплексні системи імітації користувачів. Резидентські проксі, повноцінна браузерна автоматизація, підміна мережевих параметрів, пряме зловживання API, емуляція мобільних застосунків та поведінкове моделювання дають зловмисникам змогу створювати сесії, які в межах окремого механізму перевірки можуть виглядати легітимними.

Основна перевага сучасного бота полягає не лише у швидкості або масштабі. Вона полягає в узгодженості. IP-адреса підтримує образ реального користувача. Цифровий відбиток відповідає заявленому пристрою. API-запити формують правдоподібну послідовність. Поведінка нагадує дії людини. Усі рівні підсилюють один одного. Саме тому ефективний захист має аналізувати не окремі сигнали, а їхні взаємозв’язки.

У другій статті від Radware про сучасні методи обходу бот-захисту ми розглянемо, як системи бот-захисту мають розвиватися завдяки міжрівневій кореляції, безперервному оцінюванню ризиків, інтеграції захисних продуктів, поведінковому аналізу, практичному використанню Threat Intelligence.

Підбір, придбання чи консультації щодо рішень Radware: sales@megatrade.ua, (044) 538-00-06

Технічні консультації для партнерів Мегатрейд: radware@megatrade.ua

Докладніше про Radware — виробника рішень із запобігання DDos-атакам, для хмарної безпеки та балансування мережевого трафіку

Аналізатор шкідливих ботів від Radware