Resumo: prevenção de ATO em fintech
- Por que é um alvo: As contas FinTech são alvos prioritários de ATO porque dão acesso direto a dinheiro. Saldos bancários, cartões de crédito, cartões de despesas. Não há nenhuma etapa extra para monetizar uma conta roubada.
- O que está em jogo: A fraude ATO é dispendiosa. Os chargebacks resultantes de incidentes de ATO são 76% mais caros do que os chargebacks comuns. Empresas como a Robinhood enfrentaram ataques de credential stuffing que comprometeram milhares de utilizadores.
- Boas práticas: As melhores práticas de prevenção incluem aplicar MFA por padrão (baseado em push em vez de SMS), reforçar a recuperação de conta, juntar sinais de dispositivo e comportamentais ao seu scoring de risco, e vigiar o código do seu próprio site quanto a ataques de injeção.
- O stack de ferramentas: A maioria das equipas de fraude FinTech usa uma combinação de três tipos de ferramentas: MFA e verificação de identidade (Okta, Duo), fingerprinting de dispositivos e deteção de bots (cside, Castle), e suites antifraude para serviços financeiros (Sardine, Unit21).
Sem tempo? Veja a deteção de account takeover da cside. Cobre tudo o que se segue numa única implementação.
Por que motivo as contas FinTech são alvos atrativos de ATO
As contas FinTech são alvos de alto valor porque uma invasão dá aos atacantes acesso direto a dinheiro. Saldos bancários, linhas de crédito, posições em corretoras e cartões corporativos. Não há nenhuma etapa extra para monetizar. Uma vez lá dentro, o lucro fraudulento é imediato.
Estas plataformas também são construídas sobre arquiteturas com uso intensivo de APIs e múltiplos pontos de integração (agregadores bancários, provisionamento de cartões, sistemas de folha de pagamentos), cada um dos quais é um ponto de entrada potencial. Em plataformas de despesas corporativas como a Ramp ou a Brex, uma única conta de administrador pode ter acesso a dezenas de cartões, o que significa mais credenciais em jogo. As contas FinTech comprometidas são vendidas na dark web por 20 a mais de 4000 dólares.
O que é a fraude ATO em FinTech?
A fraude de Tomada de Conta (Account Takeover) em FinTech é simplesmente o acesso não autorizado a uma conta real, usado para cometer fraude ou realizar ações que o titular da conta não pretendia. Em FinTech, os alvos frequentes incluem:
- Plataformas de despesas corporativas (Ramp, Brex, etc.): Os atacantes visam administradores financeiros e titulares de cartões para aprovar despesas fraudulentas ou redirecionar reembolsos.
- Neobancos: As contas comprometidas dão aos atacantes acesso para iniciar transferências ACH e transferências bancárias, pagamentos P2P e transações com cartão de débito.
- Corretoras e plataformas de investimento: Os atacantes podem liquidar posições e alterar contas bancárias vinculadas para redirecionar levantamentos.
- Aplicações FinTech B2B: Contas de administrador comprometidas podem aprovar faturas ou aceder a credenciais bancárias associadas que expõem a infraestrutura financeira mais alargada da empresa.
O FBI reportou 262 milhões de dólares em perdas em 2025 devido a ATO, resultantes de um único manual de ataque: agentes maliciosos a fazer-se passar por equipas de apoio de instituições financeiras através de phishing.
Melhores práticas para as empresas FinTech travarem a fraude de tomada de conta
1. Exigir autenticação por padrão (MFA)
- Ao contrário de outros setores, aplicar MFA a todas as contas FinTech e a cada início de sessão é justificado.
- Autenticação step-up para ações sensíveis: transferências bancárias, emissão de cartões, alterações de beneficiários, negociações de grande valor.
- O SIM swapping é um vetor de ataque popular contra contas FinTech. Por isso, prefira autenticação por push ou FIDO2 em vez de SMS.
2. Proteger os fluxos de redefinição de palavra-passe e recuperação de conta
Os atacantes que visam contas FinTech vão frequentemente atrás do fluxo de recuperação primeiro. Às vezes enganando as equipas de apoio ou manipulando o utilizador para aprovar alterações.
- Reverifique a identidade durante a recuperação usando dados de KYC, em vez de depender apenas de redefinições por e-mail.
- Sinalize tentativas de recuperação a partir de dispositivos não reconhecidos ou localizações incomuns.
- Limite a taxa de pedidos de redefinição para detetar sondagens automatizadas em várias contas.
3. Deteção baseada em risco usando sinais de dispositivo e comportamentais
- Use fingerprinting de dispositivos, configuração do navegador e metadados de rede para construir uma linha de base comportamental para cada utilizador.
- Pontue as sessões mais alto quando algo se desvia. Um novo dispositivo, um fuso horário incompatível, uso repentino de VPN ou geolocalizações desconhecidas podem ser sinais de alerta.
- Monitorize a velocidade das transações: uma conta que emite cinco cartões virtuais ou inicia três transferências bancárias numa hora não está a comportar-se normalmente.
4. Detetar cedo as tentativas automatizadas de ATO
- Não dependa apenas de limitação de taxa baseada em IP. Os proxies residenciais fazem cada tentativa parecer um utilizador legítimo diferente.
- Adicione sinais de deteção em camadas: fingerprinting TLS, verificações de consistência do dispositivo e padrões de comportamento do rato/teclado apanham automação que passa por verificações superficiais de bots.
- Proteja diretamente os endpoints de API. O credential stuffing tem cada vez mais como alvo as APIs em vez das páginas de início de sessão.
Relacionado: a mesma automação que visa os inícios de sessão também inunda os formulários de registo. O cside Signup Shield transforma cada registo num veredito de confiança em tempo real para travar contas novas falsas, abuso de testes gratuitos e a criação de múltiplas contas antes de chegarem à sua plataforma.
5. Criar um manual de resposta para suspeita de ATO
- Desafiar: Apresente autenticação step-up para confirmar a sessão.
- Notificar: Alerte o titular da conta através de um canal separado.
- Bloquear: Congele transferências de saída, revogue cartões virtuais ativos, restrinja alterações de beneficiários e de contas vinculadas.
- Investigar: Audite o que mudou durante a sessão. Novos beneficiários, cartões emitidos ou transações iniciadas.
Apresente um SAR (relatório de atividade suspeita) se a atividade ultrapassar os limiares regulatórios.
6. Ajustar os limiares de deteção em torno de períodos de alto risco
- As plataformas FinTech têm janelas de pico distintas. Surtos de despesas no final do trimestre, época fiscal, picos de negociação/resultados ou ciclos de folha de pagamentos.
- Reveja os padrões históricos e ajuste as regras proativamente para cada período.
Se os seus modelos de deteção não tiverem em conta os picos de atividade, ou se afogará em falsos positivos ou perderá ataques reais.
7. Monitorizar o código do seu próprio site quanto a ataques de skimming de credenciais
Os atacantes comprometem scripts em execução no seu site para roubar credenciais ou sequestrar sessões. Os ataques bem-sucedidos contornam por completo as defesas de MFA. As defesas do seu servidor nunca veem estes skimmers silenciosos, uma vez que o código só é executado no navegador do utilizador.
Os ataques através de pacotes npm e os ataques a scripts de terceiros aparecem frequentemente nas notícias, e só os ataques do tipo web skimming comprometeram mais de 23 milhões de transações em 2025.
- Monitorize continuamente os seus scripts de terceiros e próprios. Tags de terceiros, snippets de analytics, widgets de site e bibliotecas open source introduzem todos código que não controla. Qualquer um deles pode ser comprometido e usado para recolher credenciais ou intercetar tokens de sessão nas suas páginas de operações financeiras.
- Use uma plataforma de segurança web como o cside. Para automatizar a monitorização de scripts de terceiros nas páginas sensíveis, o cside Client-Side Security vigia tentativas de exfiltração de dados ou injeções de código na sua plataforma que visem roubar credenciais de utilizadores ou dados financeiros.
Melhores ferramentas de prevenção de tomada de conta para empresas FinTech
Uma pilha típica de prevenção de ATO entre equipas de fraude FinTech é uma combinação destes três tipos de ferramentas:
- MFA / verificação de identidade: Estas ferramentas acrescentam uma segunda camada de autenticação, como aplicações autenticadoras, notificações push ou chaves de hardware. Para FinTech, os métodos baseados em push e FIDO2 são fortemente preferidos em relação ao OTP por SMS. O Okta Adaptive MFA e o Duo são bem adequados para ambientes regulados.
- Fingerprinting / deteção de bots: Estas ferramentas analisam os sinais técnicos e comportamentais por trás de cada sessão. Configuração do dispositivo, ambiente do navegador, fingerprint TLS, reputação de IP e padrões de interação. Apanham cedo o credential stuffing e o abuso automatizado de início de sessão, e fornecem os dados de sinal brutos que as equipas de fraude usam para criar regras de deteção de ATO personalizadas. O cside e o Castle são opções sólidas para FinTech.
- Suites antifraude: Estas plataformas pontuam o risco no início de sessão, na transação e na atividade pós-transação, muitas vezes com fluxos de trabalho de conformidade BSA/AML integrados. Procuram gerir a fraude em múltiplas frentes numa única solução. O Sardine e a Unit21 são concebidos especificamente para FinTech.
As suites de decisão de fraude são mais fortes quando pontuam o registo de conta, o risco de pagamento, o risco de checkout e a revisão de transações ao longo de todo o fluxo. A recolha de evidência do navegador acrescenta fingerprints de dispositivo first-party, comportamento de sessão, deteção de texto de IA e evidência ao nível do navegador que pode alimentar essas decisões.
Exemplos reais de ataques ATO a empresas FinTech
Em outubro de 2020, a Robinhood revelou que 2.000 contas de corretagem tinham sido comprometidas numa campanha de credential stuffing. Os atacantes usaram credenciais roubadas de violações não relacionadas para iniciar sessão nas contas dos clientes. Algumas das contas comprometidas tinham mesmo autenticação de dois fatores ativada. Como a Robinhood não exigia verificação quando era vinculada uma nova conta bancária, os atacantes conseguiram ligar as suas próprias contas e esvaziar os fundos diretamente.
Outro manual de ATO em FinTech: Um administrador financeiro recebe um e-mail da plataforma de cartão corporativo da empresa (um aviso para se reautenticar após uma "atualização de segurança"). O link leva a uma página de phishing que faz proxy do início de sessão real, capturando as credenciais e o cookie de sessão do administrador. O atacante reproduz essa sessão ativa (o que contorna os requisitos de MFA) para adicionar um novo fornecedor, aprovar um pagamento e terminar sessão. A empresa só se apercebe semanas depois, ao rever as faturas (ou nunca chega a aperceber-se).
Por que motivo a tomada de conta importa para as FinTech
- Perdas financeiras diretas: Transferências bancárias não autorizadas, pagamentos ACH, emissão de cartões virtuais ou negociações executadas a partir de contas comprometidas. Ao contrário da fraude de pagamento típica, muitas destas ações são irreversíveis (transferências bancárias e levantamentos de criptomoedas).
- Exposição regulatória e de conformidade. As empresas FinTech operam em ambientes fortemente regulados. SOC 2, PCI DSS, licenças estatais de transmissão de dinheiro, SEC/FINRA (corretoras) e orientações da OCC (neobancos). Um incidente de ATO pode desencadear a comunicação obrigatória de violações e o escrutínio regulatório.
- Complexidade dos chargebacks. Quando um ATO é bem-sucedido, um dos primeiros passos que um cliente dá é apresentar um chargeback. A Mastercard relata que os chargebacks custam às instituições financeiras cerca de 10 dólares por disputa apenas em taxas de processamento (sem contar reembolsos e tempo de pessoal).
- Implicações no seguro cibernético. As seguradoras avaliam a adoção de MFA, os controlos de acesso e a deteção de fraude durante a subscrição. Os incidentes de ATO podem disparar os prémios.
- Confiança de clientes e parceiros. Um neobanco ou corretora que sofra um incidente de ATO público enfrenta danos existenciais à confiança. Mesmo que as credenciais de início de sessão tenham sido obtidas junto de terceiros, 42% das vítimas de ATO encerram a sua conta na plataforma onde a fraude ocorreu.
- Custo operacional. Bloqueios de conta, revisão manual de transações sinalizadas, apresentação de SAR (Relatório de Atividade Suspeita) e fluxos de recuperação de clientes consomem todos recursos que aumentam com cada incidente.
O papel do fingerprinting na deteção de tomada de conta
As credenciais podem ser obtidas por phishing, compradas ou submetidas a stuffing. O MFA pode ser intercetado ou manipulado por engenharia social. O fingerprinting do navegador acrescenta uma camada de deteção que recolhe sinais do dispositivo, do navegador e da sessão que ajudam as equipas de fraude a identificar e reduzir as tomadas de conta.
- Recolher sinais que indicam ATO: O fingerprint do navegador, os identificadores de hardware, as propriedades do ecrã e os metadados de rede formam um perfil único para cada visitante. Quando partes desse perfil parecem anormais (fuso horário incompatível, resolução de ecrã estranha, configuração de dispositivo que não corresponde ao histórico da conta), isso pode indicar uma tentativa de ATO. As equipas criam regras personalizadas em torno destes sinais para sinalizar automaticamente sessões de alto risco.
- Detetar cedo as tentativas automatizadas de ATO: O fingerprinting apanha as assinaturas de bots de credential stuffing e ataques por script que escapam a CAPTCHAs e limitadores de taxa. Um dispositivo a percorrer centenas de combinações de nome de utilizador e palavra-passe. Um navegador que se identifica como Chrome no macOS mas que está a correr num ambiente Linux headless.
Por que motivo o cside é a melhor opção de fingerprinting para empresas FinTech
O cside combina fingerprinting do navegador com monitorização profunda da integridade do JavaScript para proteger fluxos sensíveis no seu site FinTech. Constrói um ID de dispositivo persistente a partir de uma base de mais de 250 sinais de navegador, dispositivo e rede, de modo que um login a partir de um dispositivo não reconhecido é sinalizado mesmo quando as credenciais são válidas.
- Deteção de bots de IA maliciosos: o cside deteta navegadores headless e agentes de IA que escapam às defesas tradicionais contra bots para executar campanhas de credential stuffing contra plataformas financeiras.
- Protege as páginas mais visadas pelos atacantes: o cside protege formulários de início de sessão, páginas de transferência, fluxos de emissão de cartões e ecrãs de recuperação de conta contra exfiltração de dados e sequestro de sessão. É também uma solução de referência para a monitorização de scripts exigida pela PCI DSS 4.0.1, um requisito que toda a empresa FinTech que processa pagamentos com cartão tem de cumprir.
- Monitorização de scripts de terceiros. Todos os scripts entregues aos seus utilizadores (widgets de pagamento, integrações bancárias, tags de analytics, chatbots) são monitorizados para evitar a recolha de credenciais e a exfiltração de dados financeiros.
- Integração pensada para programadores. Os sinais brutos de fingerprint estão disponíveis via API para as equipas de engenharia e antifraude de FinTech que criam a sua própria lógica de deteção. Ou use agrupamentos de sinais curados para alertas imediatos.
Para começar, registe-se ou marque uma demonstração.
