Entender el bombardeo de listas y cómo eliminar perfiles falsos
Qué aprenderás
Descubre cómo reconocer ataques de list bombing, reducir registros maliciosos e identificar y suprimir perfiles de email sospechosos para proteger las listas y la reputación del remitente.
¿Qué es el bombardeo de listas?
El list bombing es un ataque malicioso en el que el atacante explota un formulario de registro o una página de pago haciendo un gran número de envíos falsos, llenando la lista asociada con emails y números de teléfono que no han dado su consentimiento o no son válidos. Aunque un aumento de los suscriptores de email pueda parecer inicialmente algo positivo para tu marca, esto solo es cierto si todos los nuevos leads son legítimos.
Si envías a perfiles falsos creados mediante un ataque de list bombing, puede afectar negativamente a tu capacidad de entrega de las siguientes maneras:
- Mayores tasas de rebote permanente
- Más denuncias de spam
- Tasas de apertura más bajas
- Impacto negativo en la reputación del remitente
- Posibles impactos en trampas de spam
- Posible inclusión en listas de bloqueo que provoque el bloqueo del tráfico de email
No todos los perfiles enviados como parte de un ataque de bombardeo de listas son direcciones de email falsas. Los bots pueden rellenar formularios con direcciones de email reales, y se están añadiendo a listas de marketing perfiles de personas que no tienen conocimiento de ello. Cuando una empresa envía emails a un gran número de perfiles enviados por bots, muchos marcan el email como spam.
Los bots suelen dirigirse a los siguientes formularios y puntos de entrada. Esta lista no es exhaustiva; los bots pueden enviar perfiles en cualquier lugar donde haya un formulario sin protección:
- Finalizaciones de compra de comercio electrónico
Se han observado bots, especialmente en clientes que utilizan una plataforma de comercio electrónico (como Shopify). Los bots pueden iniciar una finalización de compra y abandonarla usando el email de una persona real, y el evento se sincronizará con Klaviyo. - Formulario del pie de página de la página de inicio
Los formularios del pie de página de una página de inicio que recopilan direcciones de email y ninguna otra información han sido un objetivo específico de bots. - Códigos de cupón («$$OFF» o «%OFF») en la página de inicio
Los bots se dirigen específicamente a estos formularios para obtener códigos de cupón, que luego publican en sitios web de cupones/códigos promocionales para impulsar las visitas a esas páginas. - Formularios sin CAPTCHA
Los formularios sin CAPTCHA son susceptibles a que bots los rellenen. - API
Las solicitudes de bots se pueden recopilar a través de formularios de terceros y sincronizarse con Klaviyo a través de la API pública.
Cómo identificar un ataque de list bombing
El primer indicador de un bombardeo de listas es haber experimentado un aumento repentino de nuevos suscriptores. Esto es especialmente cierto si no has planificado ninguna campaña de crecimiento de listas, por lo que no hay nada a lo que vincular este aumento. Si esto ocurre, revisa los suscriptores de email recientes y presta atención a las siguientes tendencias:
- Todos los emails llegaron a través de un único punto de entrada (p. ej., el mismo formulario de registro)
- Hubo un periodo específico en el que se capturó la afluencia de emails
- Todos los emails son del mismo dominio (p. ej., todos son de @phish.com)
- Los contactos tienen nombres y apellidos poco convencionales
- Todos los envíos provienen de la misma fuente de IP
¿Cómo te proteges contra el bombardeo de listas?
CAPTCHA en formularios
CAPTCHA es una herramienta que exige a quienes envíen el formulario completar una breve tarea para verificar que son una persona real y no un bot. Si Klaviyo detecta un comportamiento sospechoso o actividad histórica de bots desde la dirección IP de un usuario, se le pedirá que resuelva un CAPTCHA.
Esta funcionalidad se habilita automáticamente para el formulario de registro de Klaviyo que recopila leads de email o SMS, o solicita un código de cupón único. Solo se solicita a los visitantes cuya actividad se marca como sospechosa que completen el CAPTCHA.
Si se pide a un visitante que complete un CAPTCHA, debe superarlo para que pueda continuar el envío del formulario bloqueado o la solicitud del código de cupón.
Doble confirmación de registro
La doble confirmación de registro requiere que un nuevo suscriptor confirme su suscripción antes de que se le añada a una lista. Se usa tanto para suscripciones de email como de SMS. La doble confirmación de registro está activada de forma predeterminada, pero puedes cambiar la configuración de confirmación de registro de una lista. Revisa la configuración de cada lista afectada antes de confiar en esta protección.
Cuando la doble confirmación de registro está activada, los nuevos suscriptores recibirán un mensaje de confirmación inmediatamente después de registrarse. En este mensaje, se le pedirá al usuario que confirme la suscripción. Solo los suscriptores que confirmen su suscripción se añadirán correctamente a la lista, lo que dificulta que los actores malintencionados hagan list bombing.
Para habilitar la doble confirmación de registro para una lista:
- Abre la lista y selecciona Configuración > Consentimiento.
- Selecciona doble confirmación de registro.
- Pulsa Guardar.
Gestión de IP de bombardeo de listas
Las protecciones de IP contra el list bombing de Klaviyo marcan o bloquean direcciones IP que realizan un gran número de envíos de formularios o llamadas a la API de suscripción de cliente en un breve periodo de tiempo. Estas protecciones ayudan a limitar suscripciones adicionales desde una dirección IP marcada.
Ten en cuenta que el bloqueo de IP solo se produce después de que el ataque ya haya comenzado, para proteger tu cuenta de más daños. Este método de mitigación del bombardeo de listas no puede evitar un ataque por completo.
Campo del formulario honeypot
Este método requiere un desarrollador y acceso al HTML del formulario. Si tus formularios se crean a través del editor de formularios de Klaviyo, considera crear un formulario personalizado.
Añadir un campo «honeypot» al formulario de un sitio web es un método que puedes implementar para identificar fácilmente si estás sufriendo un bombardeo de lista. Si utilizas un formulario personalizado que no es de Klaviyo, puedes colocar un campo oculto que sea invisible en el front-end. Si el formulario se envía con un valor establecido para el campo «honeypot», puedes atribuir el envío a un bot en lugar de a un usuario humano.
Asegúrate de que tu honeypot añada una propiedad personalizada a Klaviyo que no tengas previsto usar en ningún otro sitio. Esto te permite usar la propiedad personalizada del campo honeypot para identificar los perfiles enviados por un bot con la segmentación en Klaviyo:
Para ver instrucciones sobre cómo crear un campo de honeypot, te recomendamos leer el siguiente recurso:
Qué hacer si experimentas un bombardeo de listas
Si experimentas un bombardeo de listas, crea un segmento usando los patrones que identificaste en el ataque, como el punto de entrada, el intervalo de tiempo de envío, el dominio de email compartido o una propiedad señuelo. Revisa los perfiles del segmento antes de suprimirlos para no excluir a suscriptores legítimos.
El siguiente ejemplo identifica los perfiles de email que han recibido mensajes, pero nunca han abierto ni hecho clic en un email ni han realizado un pedido. Úsalo como punto de partida para la revisión, no como prueba de que los perfiles se enviaron mediante bots:
- Si alguien puede o no recibir marketing > La persona puede recibir marketing por email
Y - Lo que alguien ha hecho (o no ha hecho) > La persona ha recibido Email al menos 3 veces en los últimos 180 días
Y - Lo que alguien ha hecho (o no ha hecho) > La persona ha abierto el correo 0 veces a lo largo del tiempo
Y - Lo que alguien ha hecho (o no ha hecho) > La persona ha hecho clic en el correo 0 veces a lo largo del tiempo
Y - Lo que alguien ha hecho (o no ha hecho) > La persona ha hecho un pedido 0 veces a lo largo del tiempo
Este ejemplo puede incluir suscriptores legítimos que nunca han interactuado. También excluye los perfiles que han recibido menos de 3 emails en los últimos 180 días. Usa AND para combinar el ejemplo con condiciones vinculadas a tu ataque, como un dominio de email compartido o una propiedad de honeypot. No envíes emails adicionales solo para que los perfiles nuevos cumplan este ejemplo.
Después de revisar el segmento, suprime los perfiles para que dejen de recibir emails de marketing. Los perfiles suprimidos permanecen en la cuenta; la supresión de email no detiene los mensajes de SMS ni las notificaciones push.
Si tienes preguntas sobre cómo crear un segmento que capture los perfiles creados mediante un ataque de bombardeo de listas, ponte en contacto con nuestro equipo de asistencia.
Revisa la configuración de suscripción en las listas afectadas y habilita la doble confirmación de registro si está desactivada. Esto ayuda a mantener las suscripciones sin confirmar fuera de las listas, pero no impide todos los envíos de formularios maliciosos.
Recursos adicionales
- How to create a never engaged segment
Learn how to identify your least engaged email subscribers, so you can avoid contacting them to improve and maintain your deliverability. Once you’ve identified them, consider excluding them from your marketing initiatives, sending them one final re-engagement attempt, or suppressing them during list cleaning. In this article, you will learn how to create this segment.
- Getting started with segments
Learn how to create and use segments in Klaviyo, which are a powerful tool for understanding your audience and sending targeted messages.
- Understanding email deliverability
Learn about email deliverability, including the steps you can take to establish a strong sender reputation so that your emails are delivered to the inbox.