Menu
Автоматизированные программы, скупающие дефицитные товары быстрее любого человека, - это не футурология и не хайп. Это давно отлаженный теневой бизнес с миллиардными оборотами, инструментарий которого с каждым годом становится всё сложнее, а атаки - настойчивее. Чтобы защитить свой интернет-магазин, нужно понимать, как именно работают эти системы и на каком этапе их можно остановить.
Название, конечно, красивое и пугающе-сказочное - в честь зелёного персонажа, который украл Рождество. Но в реальности никакого волшебства нет. Гринч-бот - это программа, имитирующая поведение реального пользователя, но действующая со скоростью, недостижимой для человека. Её главная задача - мгновенно находить товар, добавлять его в корзину и оформлять заказ.
С технической точки зрения гринч-бот - это разновидность скальпер-бота. Он мониторит страницы интернет-магазинов в поиске популярных товаров. Как только нужная позиция появляется в продаже, бот за доли секунды оформляет заказ, а дальше купленный товар перепродаётся на вторичном рынке по завышенной цене.
На самом деле бот не "ходит" по сайту как пользователь и не загружает картинки, шрифты и стили. Вместо этого он обращается напрямую к API сайта или серверным эндпоинтам. Это делает его невероятно быстро: он может пытаться добавить товар в корзину сотни раз в секунду, в то время как страница человека ещё грузится.
Процесс выглядит так:
Современный злоумышленник использует целый арсенал технологий.
Во-первых, это прокси-сети: бот не сидит за одним IP, а маскируется под тысячи разных пользователей, живущих в разных странах.
Во-вторых, это решение капчи: когда-то капча была непреодолимым барьером, но сейчас сторонние сервисы за копейки решают любую головоломку с помощью AI или живых людей на фарм-фермах.
В-третьих, это подмена цифрового отпечатка: бот прекрасно научился подделывать данные о браузере, операционной системе и даже работающей веб-камере, чтобы казаться настоящим компьютером.
За последние год-два в дело вступил AI. Если раньше гринч-боты действовали по жёсткому алгоритму, то нейросети научили их имитировать человеческое поведение гораздо правдоподобнее - задерживаться на страницах, хаотично водить курсором, совершать случайные скроллы и даже заполнять формы с реалистичными паузами. AI-боты также успешно решают всё более сложные варианты капчи, делая традиционные методы проверки практически бесполезными.
Ниже вы найдете несколько реальных случаев атак гринч-ботов, где у человека не было шансов купить дефицитный товар.
С момента выхода консоли её было практически невозможно купить в розницу по нормальной цене - не потому, что болельщики Sony такие быстрые, а потому, что всё расхватывали боты. Самым громким стал случай в Великобритании, когда группировке перекупщиков CrepChiefNotify удалось выкупить 3500 консолей PS5 за считанные минуты после появления в магазинах.
Ticketmaster решила провести предпродажу билетов на тур певицы, выдав каждому претенденту уникальный код. Однако когда калитка открылась для 1,5 миллиона подтверждённых фанатов, на сайт одновременно хлынуло около 14 миллионов устройств - людей и ботов. Серверы рухнули, тысячи поклонников остались без заветного билета, и основная продажа была отменена. А уже через несколько часов перекупщики выставили билеты по цене до 28 000 долларов - в десятки раз выше номинала.
Каждый декабрь ритуал покупки билетов на "Щелкунчика" превращается в настоящий стресс-тест для психики. На протяжении многих лет попасть на этот балет было непросто: раньше люди занимали очередь у касс чуть ли не за сутки, падали в обморок, надевали браслеты с номером очереди. В 2024 году Большой театр решил перейти в онлайн и полностью отказаться от физических продаж. Итог оказался плачевным: билеты достались не поклонникам балета, а ботам.
2 декабря 2024 года стартовала продажа билетов на "Щелкунчика". Сайт театра начал массово зависать, пользователи не могли зайти в личный кабинет, система выдавала ошибки и сообщения о технических работах. Те, кому посчастливилось дойти до этапа выбора места, на следующем шаге сталкивались с тем, что место уже выкуплено. Спустя пару минут после старта почти все билеты, выставленные на продажу на сегодня, были проданы.
Пользователи рассказывали, что нужно было держать мышку на сером квадрате и ждать, когда он на долю секунды станет красным. Если успел - билет твой. Если нет - ищи следующий. Те, кому всё же посчастливилось, сравнивали процесс с игрой в лотерею, растянутую на несколько дней онлайн-продаж. Выиграть в эту лотерею удалось немногим.
В 2019 году бостонский стритвир-магазин Bodega выпустил лимитированную коллаборацию с New Balance. Модель 997S должна была стать событием для всех ценителей уличной моды. Но случилось то, что перевернуло представление о розничных продажах в целом: вся партия разошлась менее чем за 10 минут.
Проблема была лишь в том, что 60% продаж ушли тем, кто играет не по правилам - ботам. Перекупщики, вооружённые специальным софтом, выхватили сотни пар кроссовок ещё до того, как обычный покупатель успел определиться с размером.
Один из владельцев Bodega, Джей Гордон, позже признался: "Нас уничтожили боты. Это сделало невозможным для наших обычных клиентов даже попытаться купить эти кроссовки". Особое возмущение вызвал тот факт, что один покупатель умудрился оформить заказ ещё до того, как страница с товаром вообще появилась на сайте. Другие пролетали путь от каталога до подтверждения оплаты за рекордные 30 секунд.
Шокирующим итогом этой истории, точно показывающим, как работает бот-перекупщик, стала проверка адресов доставки в Нью-Джерси. Bodega собиралась отправить более 200 пар кроссовок на несколько адресов в одном и том же многоквартирном доме (200 пар - в одно здание). Схема проста: профессиональный перекупщик использует тысячи фейковых аккаунтов с разными именами и адресами внутри одной и той же высотки, а потом просто забирает весь улов у консьержа. Попыток физически затаиться уже не нужно - достаточно хорошего доступа в подъезд.
Почему магазины не могут просто взять и отменить такие заказы? В том-то и загвоздка. Быстро распродаваемые вещи - это уже давно не просто обувь, а инвестиционный актив. Быстрый солд-аут (sell-out) создаёт шумиху и ещё больше раздувает цену на вторичке. Пара кроссовок за 160$ превращается в товар за 600$ на вторичном рынке, если её успел купить человек. А если её купил профессионал с ботом - этот цикл становится просто безликим автоматизированным производством денег.
В "чёрную пятницу" 2024 года сеть Cloudflare зафиксировала, что почти 29% всего интернет-трафика в этот день приходилось именно на гринч-ботов. Если рассматривать только интернет-магазины, то доля ботов достигала 19% - почти каждый пятый запрос к онлайн-витрине был сгенерирован программой, а не реальным покупателем. При этом 63% всех попыток входа в аккаунты на сайтах также осуществляли боты, а значит, часть из них наверняка пробовали украсть учётные записи для последующих закупок.
По данным Imperva, программы генерируют около 42% всего интернет-трафика в мире, а злонамеренные боты составляют до 28% от общего объёма. За год до этого на розничных сайтах 23,7% всего трафика формировали именно плохие боты. Ещё более тревожный тренд - доля "продвинутых" ботов, которые применяют сложную технику маскировки, на интернет-витринах выросла с 23,4% до 31,1% всего за год.
Пик активности у перекупщиков - октябрь и ноябрь, когда атаки на сайты розничных магазинов вырастают на десятки процентов. Для профессионала атака на крупные магазины в предпраздничный сезон - это бизнес-план номер один.
Ещё в 2016 году Конгресс США принял BOTS Act (Better Online Ticket Sales Act), который запрещает использовать ботов для покупки билетов. Однако закон явно устарел и, к тому же, не распространяется на обычные товары.
В 2021 году группа конгрессменов предложила Stopping Grinch Bots Act, который наконец должен был запретить автоматизированную скупку любых потребительских товаров во время ажиотажного спроса. Инициатива широко освещалась, но в итоге так и не прошла. На сегодняшний день никакого федерального закона, напрямую запрещающего гринч-ботов в США - нет.
В России прямого аналога такого закона не существует даже на этапе обсуждения. Формально сайты могут преследовать перекупщиков по статье о нарушении условий публичной оферты, но на практике это почти не применяется - если только не идёт речь о краже персональных данных или взломе аккаунтов. В большинстве случаев закон просто не поспевает за технологиями.
Гринч-боты действуют не только на глобальном уровне, но и имеют свою ярко выраженную российскую специфику, а также поразили, казалось бы, далекую от коммерции сферу - визовые центры.
Пожалуй, самый яркий и парадоксальный пример использования гринч-ботов в России - это атаки на системы онлайн-записи в визовые центры. Здесь гринч-боты не перепродают товар, а перепродают время - единственную возможность подать документы на визу.
Как это работает. Ситуация достигла пика в 2023-2024 годах, особенно в московских визовых центрах Франции, Италии и Испании. Боты каждые несколько минут мониторят сайты визовых центров и в момент появления свободного "слота" (окна для записи) мгновенно захватывают его. Таким образом, реальный человек практически не может записаться самостоятельно - все места оказываются в руках посредников.
Захваченное время перепродается отчаявшимся туристам. Позднее, когда визовый центр Франции ввел обязательную предоплату сервисного сбора, пытаясь отсечь ботов, это привело лишь к техническим сбоям и проблемам с записью для легальных пользователей, но проблему не решило.
Отчаявшись победить ботов, визовые центры сами начали вводить плату за бронирование.
В 2023 году Визовый центр Франции ввел предоплату сервисного сбора в размере 35 евро, надеясь, что боты и посредники не будут платить за тысячи слотов. Идея не сработала - спрос был настолько велик, что перекупщики просто включили этот сбор в свои издержки. К началу 2026 года система несколько раз менялась: то предоплату отменяли, перенося оплату на день визита, то возвращали обратно. Но гринч-боты всегда оставались на шаг впереди, продолжая захватывать слоты в первые секунды после их появления.
В апреле 2026 года в Москве посредники продавали слоты на британскую визу за 25 000 рублей - почти в три раза дороже номинальной стоимости в 9 000 рублей. Поймать слот самостоятельно было практически невозможно, а сотрудники VFS Global лишь разводили руками, заявляя о невозможности повлиять на ситуацию.
Особый размах торговля слотами приобрела в Беларуси, где спрос на выездные визы в Польшу породил целый рынок "помогаторов" (посредников) и даже ботов, продаваемых как готовый бизнес.
В 2025 году белорусские интернет-площадки наполнились объявлениями о продаже программ для автоматического захвата слотов в польском консульстве. Стоимость такого бота составляла около 900 белорусских рублей (25000 российских рублей), а его владелец, перепродавая захваченные слоты, мог окупить вложения уже с двух первых клиентов. Компании-посредники, использующие подобные программы, берут за свои услуги от 500 до 1200 белорусских рублей (от 13 до 30 тысяч российских рублей) с человека.
Сами боты для записи в визовые центры - это товар, который продается и имеет свою четкую стоимость. В Беларуси в 2025 году готовую программу для захвата слотов можно было приобрести за 900 белорусских рублей (около 25000 российских). Это была разовая инвестиция, которая, как уже говорилось, быстро окупалась.
В России ситуация схожа: разработка бота под конкретные задачи заказчика оценивается в сумму до 35 000 рублей. Такое ПО не просто мониторит сайт, а умеет обходить простейшую защиту. Создатели и продавцы ботов действуют относительно открыто, так как их деятельность напрямую не запрещена законом.
Гринч-боты профессиональны и настойчивы, поэтому никакое одиночное средство их не остановит. Нужна эшелонированная защита, построенная на нескольких рубежах.
Перед стартом крупной распродажи обязательно проведите нагрузочное тестирование. Ваш сервер должен знать, как вести себя при внезапном всплеске из тысяч запросов в секунду.
Полезные приёмы:
Ограничение частоты запросов: если с одного IP за минуту приходит больше 5 запросов на добавление в корзину, такой пользователь отправляется на проверку или временно блокируется. Однако помните, что у профессионального перекупщика огромная сеть прокси, поэтому на это полагаться как на основное средство нельзя.
Решение нестандартных задач (Proof-of-Work): вместо того чтобы мучить человека утомительной капчей, можно заставить его компьютер решить небольшую математическую задачку. Человек её даже не заметит, а вот для простого бота она станет серьёзным препятствием.
Это самый эффективный инструмент против гринч-ботов. В отличие от простого файрвола, антибот-системы не просто проверяют IP, а анализируют поведение, отслеживают подмену цифрового отпечатка браузера, распознают попытки выдать себя за человека, обнаруживают запросы, идущие из облачных провайдеров и прокси-сетей (откуда действуют профессиональные перекупщики), и умеют отличать легитимного пользователя от бота, который подделал браузер.
Настройте систему уведомлений, которая будет сообщать вам о любых аномалиях: всё раскупили за 10 секунд после старта, один и тот же платёжный идентификатор использован в нескольких заказах, сотни пользователей с одинаковым User-Agent пытаются оформить заказ за минуту. При обнаружении аномалии блокировка должна происходить автоматически.
Гринч-боты - это один из ярких примеров того, как технологический прогресс оборачивается против обычных людей. Эффективная борьба с ними возможна только при комбинировании технических, юридических и организационных мер. Не ждите, пока праздники будут украдены - укрепляйте защиту своего интернет-магазина уже сейчас.
Чек-лист подготовки сайта к праздникам:
Cloudflare окончательно заблокирован в РФ ещё летом 2025 года.
Функцию фильтрации ботов Cloudflare взял на себя российский антибот Killbot.
Принцип работы отличается от привычного, отслеживаются не знакомые всем при настройке других антибот решений параметры (входящие IP адреса, AS подсети ботов, User Agent и прочее, всё это легко подделывается), а уникальные для каждого набора браузеров слепки.
По отличию оригинального браузера от модифицированного, тот или иной заход определяется либо как заход реального посетителя, либо как заход бота.
Чтобы не повторяться - расписывал более подробно в статьях:
Попробовать бесплатно. При регистрации в Killbot введите промокод
promo13
и получите месяц тестирования платного тарифа Killbot (фильтрация трафика, 1000 руб) и Ads (отключение показа рекламы поведенческим ботам, 1000 руб) в качестве бонуса. Этого вам хватит на то, чтобы понять, подходит вам данное решение, или нет. На данный момент - в Рунете нет более достойной альтернативы, по соотношению цена-качество. Срок действия промокода ограничен по времени, куда-то записывать его нет смысла. В следующий раз промокод уже будет другой, поэтому использовать его нужно сейчас, когда вы читаете этот текст. Промокод действует только в форме регистрации. Если аккаунт уже создан - создайте новый, на другой почте, и при регистрации в последнем поле введите промокод.
Подпишитесь на Telegram канал / MAX для того, чтобы всегда быть в курсе последних новостей и обновленных настроек для защиты от ботов, а также оперативно получать новые материалы, выходящие на antibot24.ru
Автор статей: Сергей (AntiBot24). Эксперт в области фильтрации поведенческого трафика, настройки антибот систем. Высший рейтинг на Kwork, более 680 отзывов, 100% заказов успешно сдано, 56% повторных заказов. Пишу подробные статьи, инструкции по фильтрации ботов в своем блоге antibot24.ru
Всегда нужно иметь в виду, что те советы, которые вы прочли в статьях - это лишь часть настроек, которые я делаю при профессиональной экспертной настройке фильтрации поведенческих ботов. Все остальное - это непубличные профессиональные секреты. Любая информация, становящаяся общедоступной - достаточно быстро устаревает и перестает быть эффективной.
Если вы столкнулись с повышенной роботностью в Яндекс метрике, увеличением числа прямых заходов, увеличением количества отказов - вы всегда можете заказать у меня настройку Killbot.