Resumo: deteção de credential stuffing em sessão versus pós-login
- O rate limiting por IP era o manual do setor, mas os ataques modernos espalham 50.000 tentativas de login por 50.000 IPs residenciais, portanto os seus logs veem um pedido por endereço e cada regra de alerta fica em silêncio.
- As credenciais roubadas motorizam 39% das brechas no DBIR da Verizon 2026; a impressão digital de dispositivo da cside permanece estável em incógnito, VPN e limpeza de cookies, derivada de mais de 100 sinais do navegador, para que a correlação entre contas revele a infraestrutura do atacante que a rotação de IP deveria esconder.
- Antes da próxima revisão de fraude, pergunte se o seu stack de login dispara em reutilização de dispositivo entre contas, discrepâncias na impressão digital TLS e cadência mecânica de preenchimento de formulários, ou apenas em limiares de IP que os atacantes deixaram de acionar há anos.
O credential stuffing é difícil de apanhar porque os atacantes distribuem agora as tentativas de início de sessão com palavras-passe roubadas por dezenas de milhares de IPs residenciais rotativos, por isso o rate limiting por IP vê cada endereço apenas uma vez. Os sinais que ainda funcionam são aqueles que um atacante não consegue rodar de forma barata: o dispositivo por trás dos pedidos e a forma como a sessão se comporta.
Três desses sinais revelam de forma fiável o credential stuffing. O primeiro é a correlação de fingerprints de dispositivo entre contas, em que o mesmo identificador de dispositivo aparece em tentativas de início de sessão em contas diferentes dentro de uma janela curta. O segundo é um novo dispositivo numa conta conhecida, em que uma conta registada inicia sessão a partir de um fingerprint de dispositivo que nunca usou antes. O terceiro é uma anomalia no contexto de rede, em que uma ligação por VPN ou proxy surge numa sessão que anteriormente vinha sempre de um IP residencial. Os três identificam a infraestrutura e o comportamento do atacante, independentemente de quantos endereços IP percorram.
Porque é que o rate limiting por IP falha a maior parte do credential stuffing atualmente
O rate limiting por IP era uma defesa eficaz contra o credential stuffing quando os ataques vinham de um número reduzido de servidores. Essa era acabou.
As operações modernas de credential stuffing usam redes de proxy residencial que rodam os endereços IP a cada pedido. Um atacante que executa 50,000 tentativas de início de sessão distribui-as por 50,000 endereços IP residenciais diferentes. O seu rate limiter vê cada IP exatamente uma vez e não toma nenhuma ação, porque uma única tentativa de início de sessão a partir de qualquer IP é indistinguível do tráfego normal.
O ataque atinge o alvo. As contas ficam comprometidas. A única evidência nos registos do seu servidor é uma contagem de tentativas de início de sessão marginalmente elevada, com uma distribuição geográfica que imita o comportamento orgânico dos utilizadores.
A deteção exige passar para sinais que o atacante não consegue rodar de forma barata. As credenciais roubadas estão envolvidas em 39% de todas as violações de dados (Verizon Data Breach Investigations Report 2026), por isso travá-las na camada de início de sessão antes que o dano ocorra significa depender de sinais que persistem ao longo da rotação de IP.
Sinal 1: correlação de fingerprints de dispositivo entre contas
Um fingerprint de dispositivo é um identificador estável derivado de sinais do navegador: entropia de canvas, características de renderização de fontes, saída de WebGL, contexto de áudio, padrões de temporização e indicadores de navegador headless. Ao contrário de um endereço IP, um fingerprint de dispositivo não pode ser alterado ligando-se a um proxy diferente. O ambiente de navegador do atacante mantém-se consistente ao longo dos pedidos.
Quando o dispositivo de ID X tenta iniciar sessão nas contas A, B, C, D e E dentro de uma janela de 30 minutos, isso é um ataque de credential stuffing. Cada tentativa individual pode parecer legítima por si só: formato de palavra-passe correto, geolocalização correspondente, temporização razoável. A correlação entre contas revela que uma única peça de infraestrutura está por trás das cinco tentativas.
Este é o sinal que a deteção por IP falha por completo. O atacante roda os IPs. O fingerprint do dispositivo mantém-se o mesmo.
Para o implementar, registe o fingerprint do dispositivo juntamente com cada tentativa de início de sessão e, depois, consulte as várias tentativas para identificar IDs de dispositivo que aparecem em mais do que um número limite de contas distintas dentro de uma janela de tempo. Um único dispositivo a tocar em mais de três contas distintas numa hora é um sinal de elevada confiança. Um único dispositivo a tocar em dez contas em trinta minutos é quase uma certeza.
Sinal 2: um novo dispositivo numa conta conhecida
Um fingerprint de dispositivo novo e não reconhecido a tentar iniciar sessão numa conta há muito estabelecida é um sinal de alto risco, mesmo quando a palavra-passe correta é introduzida. Uma conta que se autenticou sempre a partir do mesmo fingerprint de dispositivo carrega uma expectativa implícita: os inícios de sessão futuros virão desse fingerprint ou de um com uma pontuação de semelhança forte.
Quando o dispositivo de ID 456 tenta iniciar sessão numa conta que usou exclusivamente o dispositivo de ID 123 durante dois anos, trate-o como de alto risco mesmo que a palavra-passe esteja certa. A probabilidade de o utilizador legítimo ter mudado para um ambiente de navegador completamente novo no exato momento em que um atacante também detém a sua palavra-passe é baixa.
O sinal torna-se significativamente mais forte quando combinado com o contexto de rede. Um novo dispositivo desconhecido a tentar iniciar sessão com uma VPN de data center ativa, numa conta que só alguma vez se ligou a partir de IPs residenciais, é o indicador individual mais forte de uma apropriação de conta direcionada através de credential stuffing.
Esta deteção exige um histórico de dispositivos por conta. Registe o fingerprint do dispositivo em cada autenticação bem-sucedida. Quando um novo fingerprint aparece numa conta de alto valor ou há muito estabelecida, sinalize-o para autenticação reforçada (step-up) ou bloqueie-o até que a verificação seja concluída.
Os fingerprints de dispositivo precisam de se manter estáveis nos cenários que os atacantes usam para ocultar a sua identidade. O fingerprint da cside mantém-se com elevada precisão em modo de navegação anónima, em ligações por VPN e na limpeza de cookies, derivado de mais de 100 sinais do navegador por sessão. Um atacante que limpa os cookies e se liga através de uma VPN continua a produzir o mesmo fingerprint de dispositivo.
Sinal 3: contexto de rede mais cadência de sessão
Combinar a deteção de VPN e proxy com uma cadência de sessão automatizada produz o veredicto de credential stuffing com maior confiança, porque ambos os sinais são difíceis de falsificar independentemente e, em conjunto, são quase conclusivos.
As redes de proxy residencial permitem que os atacantes percorram endereços IP domésticos reais para escapar à filtragem por geografia e por reputação de IP. As características de ligação de um pedido de proxy residencial continuam a diferir de uma ligação residencial genuína. O fingerprinting TLS TLS handshake fingerprint analisa os parâmetros do handshake TLS, incluindo a ordem das cipher suites e a presença de extensões, para distinguir ligações encaminhadas por proxy de ligações residenciais diretas.
Uma conta que se ligou a partir de um endereço IP residencial genuíno do Reino Unido durante três anos e, de repente, apresenta um fingerprint TLS consistente com o encaminhamento por proxy é uma anomalia no contexto de rede. Por si só, isso merece atenção. Combinada com uma cadência de sessão automatizada, é uma evidência quase certa de um ataque automatizado.
O credential stuffing automatizado produz tentativas de início de sessão a velocidades desumanamente rápidas ou a intervalos mecanicamente uniformes. Um ser humano digita as suas credenciais com variação natural na temporização entre teclas, pausas entre campos e interação irregular com o formulário. Um script preenche os campos instantaneamente ou a intervalos precisamente cronometrados. A cside mede esta cadência como parte da sua avaliação de sessão.
Uma sessão que apresenta características TLS consistentes com proxy e uma cadência mecânica de preenchimento de formulário, numa conta sem histórico de ligações por proxy, é uma tentativa de credential stuffing com muito elevada confiança.
Como a cside devolve estes sinais
A cside avalia cada sessão e devolve um veredicto em tempo real cujos valores mapeiam diretamente para os três sinais de deteção acima.
Devolve um identificador de fingerprint de dispositivo estável. Registe-o em cada tentativa de início de sessão e, depois, consulte-o ao longo das tentativas para encontrar a correlação entre contas (Sinal 1) e face ao histórico por conta para detetar um novo dispositivo desconhecido (Sinal 2).
Devolve um indicador de VPN e proxy, ativado quando a sessão se liga através de uma VPN, de um proxy de data center ou de um encaminhamento por proxy residencial detetado através do fingerprinting TLS TLS handshake fingerprint. Combine-o com o histórico da conta para identificar anomalias no contexto de rede (Sinal 3).
Devolve uma pontuação de cadência de sessão que quantifica até que ponto a temporização de interação da sessão corresponde aos padrões humanos. Uma pontuação de cadência baixa em conjunto com um indicador de proxy ativo mapeia diretamente para o terceiro sinal.
Combinar estes valores permite-lhe apanhar ataques de credential stuffing que seriam invisíveis para o rate limiting por IP, para uma pontuação de bot isolada ou para qualquer abordagem de sinal único.
Deteção versus prevenção
A deteção diz-lhe que um ataque de credential stuffing está em curso. A prevenção impede-o de ter sucesso.
Depois de identificar um ataque ativo usando os três sinais acima, tem várias opções: bloquear o fingerprint do dispositivo de novas tentativas de início de sessão, exigir autenticação reforçada (step-up) para as contas afetadas, invalidar quaisquer sessões estabelecidas durante a janela do ataque e alertar os utilizadores afetados para que redefinam as suas palavras-passe.
Os sinais de deteção aqui descritos são as entradas. A lógica da sua aplicação, a sua camada de orquestração de fraude ou o seu WAF determina a resposta.
Para uma abordagem completa para travar o credential stuffing depois de detetado, veja o guia da cside sobre compreender e travar ataques de credential stuffing, a página de soluções de fingerprinting de dispositivos para saber como estes sinais se integram numa stack completa, e o caso de uso de apropriação de conta para onde se encaixam numa defesa contra ATO.
