“No Es un Hacker, Es un Bot el Que Está Ganando Dinero”

Prevención del Abuso de Automatización de Recompensas y Cupones

“¿Realmente puede haber tantos participantes en el evento?”

Una aplicación de alimentación y bebidas lanzó eventos de asistencia y promociones con cupones para captar nuevos clientes.

Durante la primera semana, el panel interno mostraba resultados impresionantes.

• Aumento explosivo de participación en eventos
• Incremento masivo del uso de cupones
• Crecimiento de DAU y MAU

Pero un mes después, los números comenzaron a contar otra historia.

• Los ingresos no aumentaron
• Los costes de marketing siguieron creciendo
• El uso de cupones por clientes reales disminuyó

Quienes disfrutaban los beneficios no eran clientes.

Eran bots.

¿Por Qué Es Peligrosa la Automatización de Recompensas y Cupones?

El mayor problema de este ataque es:

“No parece un ataque de seguridad.”

Características de la Automatización de Recompensas

• Es casi idéntica al comportamiento normal del usuario
• Las solicitudes al servidor parecen legítimas
• No existen errores de pago o inicio de sesión

En otras palabras, es una actividad que destruye el negocio sin parecer un incidente de seguridad.

Caso Real: Clientes Falsos Creados por una Granja de Emuladores

Este problema ocurrió en una aplicación de alimentación y bebidas basada en membresías.

Síntomas Detectados

• Aumento masivo de registros de asistencia en horarios específicos
• Patrones repetidos de creación de nuevas cuentas
• Mismo flujo de acciones ejecutado simultáneamente en cientos de cuentas

Resultados de la Investigación

• Decenas de emuladores ejecutándose al mismo tiempo
• Clics automáticos mediante macros
• Asistencia → misión → emisión de cupón → acumulación de puntos
• Algunos cupones vendidos inmediatamente en mercados secundarios

No eran personas.

Era un entorno automatizado cosechando las recompensas.

¿Cómo Se Realizó el Ataque?

1) Ejecución de Múltiples Emuladores

• Simulación de dispositivos Android reales
• Cambio aleatorio de ID del dispositivo e información del sistema operativo

2) Macros y Entrada Automática

• Clic automático en botones de asistencia
• Participación automática en eventos
• Creación repetida de cuentas

3) El Servidor Procesaba Todo Normalmente

• Inicio de sesión correcto
• Participación correcta
• Emisión correcta de cupones

Desde el punto de vista del servidor:

“Un usuario normal realizó una solicitud normal.”

¿Dónde Estaba el Problema de Seguridad?

El problema era claro.

“La aplicación no verificaba el entorno de ejecución ni el verdadero origen de la entrada.”

Brechas de Seguridad

• Sin bloqueo de ejecución en emuladores
• Sin detección de entradas automáticas o toques anormales
• Sin validación en el cliente de patrones repetitivos
• Sin restricciones basadas en integridad y confianza de la aplicación

El problema fue confiar en la idea:

“Una persona pulsó el botón.”

¿Cómo Defendió LIAPP Este Ataque?

La automatización de recompensas debe bloquearse primero a nivel de aplicación.

• Detección de entornos de emulador
• Detección de root, virtualización y hooking
• Restricción de ejecución en entornos anormales
• Detección de toques repetidos en las mismas coordenadas
• Detección de velocidades de respuesta irreales

Cambios Después de Aplicar Seguridad

Después de implementar seguridad:

• La participación basada en emuladores se redujo casi a cero
• El abuso de cupones se detuvo
• Los costes de marketing volvieron a niveles normales
• Los usuarios reales percibieron mayores beneficios

El cambio más importante fue:

Entender que las recompensas no son un simple coste, sino incentivos basados en confianza.

Lección para Aplicaciones de Alimentación y Bebidas

Las recompensas y cupones son beneficios para los clientes, pero para la plataforma son activos equivalentes al dinero.

Y estos activos deben protegerse antes que el servidor.

• La aplicación que se ejecuta
• La mano que introduce acciones
• La pantalla que muestra información

Conclusión para Apps de Alimentación y Bebidas

Los incidentes en apps de entrega y membresía no comienzan en el servidor.

Comienzan en:

la aplicación que crea pedidos,
la mano que pulsa,
y la pantalla que muestra.

Estos tres elementos no son opcionales.

Son la primera línea de defensa para operar aplicaciones de alimentación y bebidas.

#SeguridadAppsAlimentacion #SeguridadDelivery #AbusoRecompensas #AutomatizacionCupones #AtaqueMacro #Emulador #CosteMarketing #SeguridadPuntos #AppMembresia #SeguridadMovil #IntegridadApp #BloqueoAutomatizacion #LIAPP #LISS #LIKEY