Resumo: prevenção de ATO em eCommerce
- Por que é um alvo: As contas de eCommerce são alvo de ATO porque as invasões bem-sucedidas são fáceis de monetizar. Cartões de crédito guardados, endereços e pontos de fidelidade são lucrativos para os atacantes.
- O que está em jogo: A fraude de ATO é dispendiosa. Os chargebacks recaem sobre o lojista (média de US$ 576 por incidente) e 42% das vítimas de ATO cancelam a conta por completo. Empresas como a The North Face já enfrentaram ataques que comprometeram mais de 200.000 utilizadores.
- Boas práticas: As melhores práticas de prevenção incluem aplicar MFA baseado em risco, reforçar os fluxos de recuperação de conta (não apenas o login), monitorizar tentativas de credential stuffing com sinais ao nível do dispositivo e criar um playbook de resposta para a sua equipa quando um ataque acontece.
- O stack de ferramentas: A maioria das equipas de eCommerce usa uma combinação de três tipos de ferramentas: MFA e verificação de identidade (Okta, Duo), fingerprinting de dispositivo e deteção de bots (cside, DataDome), e suítes antifraude (Sift, Signifyd).
Sem tempo? Veja a deteção de account takeover da cside. Cobre tudo o que se segue numa única implementação.
Por que motivo as contas de eCommerce são alvos atrativos para ATO
Muitos compradores têm uma higiene de senhas fraca nas suas contas de eCommerce. Se as usam para compras avulsas ou artigos de menor valor, os clientes não pensam muito na segurança da conta e reutilizam senhas em vários sites. Ao mesmo tempo, as equipas de eCommerce estão sob pressão constante para priorizar as taxas de conversão em vez de medidas de segurança robustas.
As ATOs em contas de eCommerce são fáceis de monetizar: os atacantes obtêm acesso imediato a métodos de pagamento guardados, endereços, pontos de fidelidade e dados pessoais.
O elevado volume de logins também joga a favor do atacante. A atividade fraudulenta é mais difícil de detetar quando está misturada com milhares de sessões legítimas de clientes. Isto aumenta o risco em torno de picos sazonais, como a Black Friday, promoções relâmpago ou dias de lançamento de produtos.
O que é a Fraude de ATO (eCommerce)
A fraude de tomada de conta ocorre quando um atacante obtém acesso a uma conta real de um cliente e a utiliza para fraude ou abuso. No eCommerce, isto geralmente significa que um atacante entra numa conta de comprador existente através de credential stuffing com senhas reutilizadas, phishing, ou fluxos fracos de redefinição e recuperação de senha.
A fraude de tomada de conta aumentou 23% de 2024 para 2025, e prevê-se que cresça rapidamente à medida que os ataques conduzidos por agentes de IA conseguem evitar as medidas tradicionais de deteção de bots com navegadores furtivos.
Melhores práticas para empresas de eCommerce pararem a Fraude de Tomada de Conta
1. Exija autenticação mais forte nos momentos certos (MFA)
- Aplique MFA em contas de alto risco. Contas com métodos de pagamento guardados, grandes saldos de fidelidade ou acesso administrativo devem exigir autenticação multifator.
- Acione uma verificação adicional para logins invulgares. Um cliente que faça login a partir de um novo dispositivo, um IP desconhecido ou um país diferente deve ser solicitado a fazer uma verificação adicional.
- Não aplique MFA de forma universal se isso prejudicar a conversão. O MFA baseado em risco (em que os desafios só aparecem quando algo parece estranho) mantém o atrito baixo para os utilizadores legítimos.
2. Proteja a redefinição de senha e a recuperação de conta tanto quanto o login
- Limite a taxa de pedidos de redefinição. Uma rajada de tentativas de redefinição de senha visando várias contas é um sinal de credential stuffing.
- Verifique a identidade antes de permitir a recuperação. A recuperação apenas por e-mail é fraca se o atacante já controlar a caixa de entrada. Adicione verificação de dispositivo ou métodos de contacto secundários
3. Monitorize sinais de ATO usando deteção baseada em risco
- Avalie sinais de dispositivo e navegador. O fingerprinting de dispositivo, a configuração do navegador e a resolução de ecrã criam uma linha de base para cada utilizador. Desvios dessa linha de base podem ser indicadores de comprometimento.
- Tenha em conta os sinais de rede. O uso de VPN, a deteção de proxy, a reputação do IP e as incongruências de geolocalização acrescentam todos contexto sobre se um login é legítimo.
- Acompanhe padrões comportamentais. Uma conta que faz login e navega imediatamente para as definições de pagamento ou altera um endereço de entrega está a comportar-se de forma diferente de um cliente recorrente a navegar por produtos.
4. Detete o credential stuffing e o abuso automatizado de login numa fase precoce
Tentativas repetidas de login, testes conduzidos por bots e automação mais furtiva costumam fazer parte de uma tentativa de ATO. Isto tornou-se mais difícil de detetar com a ascensão dos navegadores furtivos (que cresceram 11 vezes em 2025, segundo um relatório da cside) que evitam os CAPTCHAs e a deteção tradicional de bots.
- Não dependa apenas da limitação de taxa baseada em IP. Os proxies residenciais tornam a reputação de IP praticamente inútil como sinal isolado.
- Combine sinais de deteção. O fingerprinting de TLS, as verificações de consistência do dispositivo e os padrões de comportamento do rato/teclado apanham sessões automatizadas que passam pelas verificações superficiais de bots.
5. Crie playbooks de resposta para suspeitas de ATO
- Desafiar: Apresente uma autenticação adicional para dar ao verdadeiro titular da conta uma forma de voltar a aceder
- Notificar: Envie um alerta ao titular da conta para que o cliente saiba que algo aconteceu, mesmo que não esteja com sessão iniciada
- Bloquear: Para contas de elevado valor, restrinja ações sensíveis na conta (alterações de pagamento, encomendas de alto valor, atualizações de endereço)
- Investigar: Reveja o que mudou durante a sessão, como novos endereços, métodos de pagamento ou encomendas efetuadas, para determinar se houve algum dano
6. Reveja padrões históricos e ajuste os limiares por temporada
Os períodos de pico do comércio mudam fundamentalmente o que é considerado comportamento de login "normal". Passos úteis de ajuste incluem:
- Rever o comportamento de login sazonal anterior
- Ajustar as regras antes de grandes campanhas
- Ter em conta os picos normais de tráfego
- Reajustar após cada período de elevado volume
7. Certifique-se de que o seu próprio site não está a roubar credenciais de utilizadores
As injeções de código são um dos vetores de ATO mais negligenciados no eCommerce. Os atacantes podem injetar scripts maliciosos diretamente no seu site que redirecionam os utilizadores para páginas de phishing ou sequestram sessões ativas, contornando completamente o MFA.
É a mesma superfície de ataque que possibilita o web skimming. Só os ataques do tipo Magecart comprometeram mais de 23 milhões de transações em 2025.
- Monitorize continuamente os seus scripts de terceiros e primeiros. As tags de terceiros, os snippets de analytics e os pixels de anúncios introduzem todos código que não controla. Qualquer um deles pode ser comprometido e transformado num ponto de injeção.
- Use uma plataforma de segurança web como a cside. Para automatizar o monitoramento de scripts de terceiros, o cside Client-side Security vigia tentativas de exfiltração de dados ou injeções de código no seu site que visam roubar dados de cartão de crédito ou credenciais de conta dos clientes.
Melhores ferramentas de prevenção de tomada de conta para empresas de eCommerce
Nenhuma ferramenta isolada cobre todos os ângulos da prevenção de ATO. A maioria das empresas de eCommerce precisa de uma combinação de soluções em três categorias.
- MFA / verificação de identidade: Estas ferramentas acrescentam uma segunda camada de autenticação além das senhas (pense em códigos de utilização única enviados por e-mail ou SMS). Exemplos incluem o Okta Adaptive MFA e o Auth0.
- Fingerprinting / deteção de bots: As ferramentas de fingerprinting e deteção de bots analisam os sinais técnicos e comportamentais por trás de cada sessão (configuração do dispositivo, ambiente do navegador, comportamento do rato, reputação do IP). Conseguem apanhar credential stuffing e abusos automatizados numa fase precoce, mas servem principalmente para recolher sinais brutos usados pelos seus fluxos de fraude para identificar ATO. Boas opções para o eCommerce nesta área são a cside e a DataDome.
- Suítes antifraude: São plataformas tudo-em-um que pontuam o risco ao longo do login, do pagamento e da atividade pós-transação. Normalmente têm como objetivo gerir a fraude em várias superfícies numa única solução. A Sift e a Signifyd são fornecedoras bem estabelecidas para o eCommerce.
Leitura relacionada: o nosso playbook de prevenção de tomada de conta · as melhores soluções de prevenção de tomada de conta
Relacionado: a tomada de conta visa contas existentes, mas o mesmo abuso automatizado começa muitas vezes a montante, quando os atacantes criam contas falsas para explorar promoções ou preparar fraudes futuras. O cside Signup Shield transforma cada registo num veredito de confiança em tempo real para impedir contas novas falsas logo na fase de registo.
Exemplos reais de ataques de ATO a empresas de eCommerce
A The North Face sofreu notoriamente 4 ataques de credential stuffing entre 2020 e 2025 que já afetaram mais de 200.000 dos seus clientes. Embora as credenciais roubadas viessem de violações de dados de terceiros não relacionadas (e não de um comprometimento interno dos sistemas da North Face), o grande ataque de 2020 obrigou-os a enviar um aviso público a notificar os clientes sobre as credenciais comprometidas, o que causou danos à marca.
É assim que se desenrolam muitos ataques de ATO: Um cliente reutiliza uma senha de outro site, um atacante obtém esse par de credenciais a partir de um dump de violação de dados comprado na dark web, e depois executa tentativas de login programadas no seu site quando o tráfego está baixo. Às 3 da manhã, um dos logins tem sucesso. Ao amanhecer, o endereço de entrega foi alterado, uma encomenda de US$ 400 foi feita com o cartão guardado, e o cliente real recebe um e-mail de confirmação de algo que nunca comprou.
Por que motivo a tomada de conta importa para o eCommerce:
O ATO não é apenas um problema de segurança. Os ataques bem-sucedidos afetam simultaneamente a receita, as operações e a retenção de clientes:
- Perdas por fraude: Os atacantes esgotam métodos de pagamento guardados, pontos de fidelidade, saldos de gift cards e fazem encomendas fraudulentas.
- Chargebacks e disputas de reembolso. Quando são feitas encomendas fraudulentas através de uma conta legítima, o lojista arca com as taxas de chargeback. Contestar é quase impossível, uma vez que se trata de fraude genuína. Os chargebacks de ATO custam 76% mais do que os chargebacks normais, numa média de US$ 576 por incidente.
- Dano à confiança do cliente. "A minha conta foi hackeada" fica na memória das pessoas. 42% das vítimas de ATO cancelam a conta na plataforma onde isso aconteceu.
- Custos de suporte e operações. O ATO provoca um aumento nas redefinições de senha, nos tickets de recuperação de conta e nas revisões manuais de encomendas.
- Conformidade e governação de segurança. Uma postura sólida de segurança de conta é importante durante auditorias, avaliações de fornecedores e revisões de controlos internos.
- Implicações para o seguro cibernético. As seguradoras avaliam cada vez mais a adoção de MFA, os controlos de acesso e as medidas de prevenção de fraude durante a subscrição de apólices.
O papel do fingerprinting na deteção de tomada de conta
As senhas podem ser roubadas. O MFA pode ser contornado. O browser fingerprinting acrescenta uma camada de deteção que recolhe sinais do dispositivo, do navegador e da sessão que ajudam as equipas de fraude a identificar e reduzir as Tomadas de Conta.
- Recolha sinais que indicam ATO: O fingerprint do navegador, os identificadores de hardware, as propriedades do ecrã e os metadados de rede formam um perfil único para cada visitante. Quando partes desse perfil parecem anómalas (um fuso horário incompatível, uma resolução de ecrã estranha), isso pode indicar uma tentativa de ATO. As equipas podem criar regras personalizadas em torno destes sinais ou usar combinações de risco pré-configuradas para sinalizar automaticamente sessões de alto risco.
- Detete tentativas automatizadas de ATO numa fase precoce: Um dispositivo a percorrer centenas de combinações de nome de utilizador e senha. Um navegador que afirma ser Chrome no macOS mas que está a correr num ambiente Linux headless. Pedidos de login a chegar a uma velocidade sobre-humana a partir de proxies residenciais rotativos. O fingerprinting apanha as assinaturas dos bots de credential stuffing e dos ataques programados que escapam aos CAPTCHAs e aos limitadores de taxa.
Por que motivo a cside é a melhor opção de fingerprinting para empresas de eCommerce
A cside combina o browser fingerprinting com um monitoramento profundo da integridade de JavaScript para proteger os fluxos sensíveis no seu site de eCommerce. A partir de uma base de mais de 250 sinais de navegador, dispositivo e rede, monta um ID de dispositivo persistente, de modo que uma sessão aberta a partir de um dispositivo não reconhecido é detetada mesmo quando as credenciais inseridas estão corretas.
- Deteção de bots de IA maliciosos: A cside deteta navegadores headless e a nova geração de agentes com IA que contornam as defesas tradicionais contra bots para realizar credential stuffing e outros abusos automatizados.
- Protege as páginas mais visadas pelos atacantes: Além da prevenção de ATO, a cside protege formulários de login, páginas de checkout e fluxos de pagamento contra web skimming, exfiltração de dados e sequestro de sessão. É uma solução líder para os requisitos de monitorização de scripts do PCI DSS 4.0.1.
- Monitorização de scripts de terceiros: A cside vigia todos os scripts servidos aos utilizadores (incluindo tags de terceiros, snippets de analytics e pixels de anúncios) para identificar quando algum deles começa a roubar dados de cartão de crédito ou credenciais de conta dos clientes.
- Integração pensada para programadores: Sinais brutos de fingerprint disponíveis via API para equipas que querem criar regras de fraude personalizadas, além de agrupamentos de sinais selecionados já prontos a usar.
Para começar, registe-se ou marque uma demonstração.
