Fraude por bots

A fraude por bots é o uso abusivo e automatizado de serviços digitais realizado por scripts de software em vez de usuários humanos. Esses programas – os bots – imitam a atividade de um cliente legítimo para abrir contas, testar credenciais roubadas, esgotar orçamentos promocionais ou extrair dados mais rápido do que qualquer pessoa conseguiria.

Para os credores digitais, os bancos e as fintechs, a fraude por bots raramente é um evento isolado. É uma pressão contínua sobre o fluxo de solicitações, a página de login e o processo de pagamento, e determina quanto risco real uma equipe de fraude consegue de fato enxergar.

A mecânica é simples, e é dessa simplicidade que vem a sua persistência. Um operador escreve ou aluga um script, direciona-o contra um alvo e o executa contra milhares de endpoints em paralelo. Alguns bots são rudimentares e percorrem formulários de login com listas de pares de usuário e senha vazados. Outros são sofisticados e usam navegadores headless, redes de proxies residenciais e aleatorização do comportamento para parecerem quase indistinguíveis de um cliente real. A economia favorece o atacante. Uma infraestrutura barata e a abundância de dados roubados fazem com que uma taxa de sucesso abaixo de um por cento continue sendo lucrativa ao longo de milhões de tentativas.

Por que a fraude por bots importa para as equipes de risco e fraude

Os ataques automatizados distorcem os sinais dos quais dependem as decisões de crédito e de pagamento. Quando os bots inundam um fluxo de onboarding, as métricas de aprovação e recusa deixam de refletir a demanda real. Quando os bots de credential stuffing bombardeiam uma página de login, o risco de tomada de conta aumenta e os custos de suporte aumentam junto.

O problema mais difícil é a contaminação do próprio modelo. Os modelos de risco treinados com tráfego que inclui grandes volumes de atividade automatizada aprendem os padrões errados. As recusas indevidas aumentam à medida que usuários legítimos ficam presos em regras criadas para barrar bots, enquanto parte da fraude automatizada passa mesmo assim, sob um disfarce humano convincente. Para as equipes que operam em mercados emergentes, onde os solicitantes thin-file e os padrões de dispositivo pouco habituais já são comuns, separar um bot de um usuário atípico, mas real, é um problema de sinais realmente difícil.

Tipos comuns de fraude por bots

A fraude por bots não é um único ataque, mas toda uma família deles, e cada um deixa um rastro ligeiramente diferente:

• Os bots de criação de contas geram contas sintéticas ou descartáveis para explorar promoções de cadastro ou preparar uma fraude posterior.
• Os bots de credential stuffing e password spraying testam credenciais roubadas em larga escala para assumir o controle de contas existentes.
• Os bots de scraping coletam preços, estoque ou dados pessoais.
• Os bots de teste de cartões realizam pequenas transações contra os formulários de pagamento para validar números de cartão roubados antes de compras maiores.

Todos compartilham o mesmo sinal revelador: uma atividade rápida demais, uniforme demais ou incompatível demais com uma pessoa real operando um dispositivo real.

Como detectar e prevenir a fraude por bots

Uma defesa eficaz atua antes da transação, e não depois, e raramente depende de um único controle. A maioria das equipes combina várias medidas ao longo do ciclo de vida da solicitação.

Os CAPTCHAs e os testes de desafio-resposta filtram a automação básica nos pontos de entrada, embora os bots avançados e os serviços de resolução de CAPTCHA os contornem cada vez mais. A limitação de taxa de requisições e as listas de bloqueio de IP restringem quantas solicitações uma mesma fonte pode fazer e excluem atores maliciosos conhecidos, mas os operadores determinados as driblam por meio da rotação de proxies e de redes de IP residenciais. Um firewall de aplicações web filtra o tráfego com base em assinaturas de ataque conhecidas e corrige vulnerabilidades com rapidez, embora ofereça menos proteção contra bots novos ou muito sofisticados. A autenticação multifator adiciona uma etapa de verificação que reduz as tentativas de credential stuffing e de tomada de conta depois que a conta já existe. A análise de comportamento avalia como uma sessão realmente se desenrola – a velocidade de digitação, os padrões de navegação, o ritmo de interação – para separar a atividade automatizada do uso humano.

O device intelligence acrescenta outra camada ao examinar o ambiente por trás de cada solicitação: se uma sessão é executada dentro de um emulador ou máquina virtual, se a conexão se oculta atrás de um proxy anonimizador, se um mesmo dispositivo está vinculado a muitas contas. Como esses sinais descrevem o dispositivo e a conexão, e não a pessoa, eles conseguem detectar tráfego automatizado sem depender de dados pessoais, somando-se aos dados de risco tradicionais em vez de substituí-los.

Nenhum controle é decisivo sozinho. Um dispositivo novo, um horário de login incomum ou uma rede desconhecida parecem inofensivos de forma isolada, porque os usuários legítimos viajam e trocam de aparelho o tempo todo. É a correlação de muitos sinais fracos ao longo dessas camadas que distingue de forma confiável um ataque automatizado de um usuário atípico. As equipes que integram essa correlação à sua camada de risco detectam a fraude por bots mais cedo, mantêm seus modelos mais limpos e preservam as taxas de aprovação para os clientes reais que esses modelos devem atender.

Para um panorama mais completo do conjunto de defesas, consulte o nosso guia sobre mitigação de bots.

FAQ

Como a fraude por bots é detectada?

Por meio de uma combinação de controles – CAPTCHAs, limitação de taxa, firewalls, análise de comportamento e sinais de dispositivo – correlacionados entre si, de modo que o tráfego automatizado seja sinalizado antes de uma solicitação chegar ao motor de decisão.

Todo tráfego de bots é fraudulento?

Não. Boa parte do tráfego automatizado é legítima: os rastreadores dos mecanismos de busca, os monitores de disponibilidade e os agregadores de conteúdo dependem de bots. A fraude por bots se refere especificamente à atividade automatizada com intenção maliciosa, como abrir contas falsas, testar credenciais roubadas ou extrair dados para revenda. O desafio para as equipes de fraude é separar os dois, já que os bots maliciosos sofisticados imitam deliberadamente o tráfego legítimo.