Resumo
- As contas em sites de viagens são alvos privilegiados de ATO, pois contêm informações de pagamento guardadas e programas de pontos de fidelização menos seguros do que os fluxos da conta principal. A LSA reportou que 3,1 mil milhões de dólares em pontos de fidelização resgatados são fraudulentos todos os anos.
- A fraude de ATO é dispendiosa. Os chargebacks podem ultrapassar os 2.000 dólares para empresas de viagens. Empresas como a Booking[.]com enfrentaram repetidamente ataques de ATO entre 2020 e 2025.
- As melhores práticas de prevenção incluem MFA baseado em risco (com regras que consideram as viagens internacionais como normais), o reforço dos fluxos de recuperação das contas de fidelização em vez de apenas do login, e o uso de sinais de fingerprinting para detetar tentativas de ATO precocemente.
- A maioria das empresas de viagens combina três tipos de ferramentas: MFA e verificação de identidade (Duo, Ping Identity), fingerprinting de dispositivos e deteção de bots (cside, HUMAN Security), e suites antifraude (Sift, Forter).
O que é a fraude de tomada de conta em sites de viagens?
A fraude de tomada de conta acontece quando um atacante obtém acesso à conta de um cliente real e a utiliza para fraude ou abuso. No setor de viagens, isto começa normalmente por um de vários pontos de entrada:
- Credential stuffing com palavras-passe reutilizadas, phishing disfarçado de comunicações oficiais de empresas de viagens, ou fluxos fracos de recuperação de palavra-passe.
Na maioria dos setores, o ATO leva a fraude de pagamento. Em viagens, também inclui fraude de fidelização. Os atacantes esvaziam milhas de passageiro frequente ou transferem pontos de hotel para contas descartáveis.
Isto também não é um problema de nicho. O relatório da EY afirma que o valor global dos pontos de fidelização ultrapassa os 200 mil milhões de dólares. A fraude relacionada com ATO pode demorar aproximadamente 150 a 180 dias a investigar.
Porque é que as contas em sites de viagens são alvo de ATO
Para um atacante, uma conta de viagens comprometida é um dos alvos com maior retorno disponíveis online. Eis o que conseguem aceder numa única violação:
- Moedas de fidelização, métodos de pagamento guardados habilitados para compras de alto valor, e dados pessoais ricos como números de passaporte.
O comportamento dos utilizadores também não ajuda. A maioria reutiliza palavras-passe em várias plataformas, e poucos tratam o login do hotel ou da companhia aérea com o mesmo cuidado que dariam a uma conta bancária. Muitos utilizadores só criam uma conta à pressa no final de uma sessão de reserva, quando solicitados pela plataforma. O checkout rápido, os métodos de pagamento guardados e as sessões persistentes ampliam a superfície de ataque.
É por isso que os atacantes visam sites de viagens (companhias aéreas, cadeias hoteleiras como a Hilton e a Marriott, e plataformas de reservas como a Expedia e a Booking[.]com).
Relacionado: a versão a montante deste problema são novas contas falsas criadas no registo para abuso de testes e promoções ou multicontas. O cside Signup Shield transforma cada registo num veredito de confiança em tempo real para impedir essas contas antes que existam.
Melhores práticas para sites de viagens e hotelaria impedirem a fraude de tomada de conta
1. Exija MFA nos momentos certos
- Acione a verificação step-up para logins invulgares: novo dispositivo, IP desconhecido, país diferente. Em sites de viagens, os clientes fazem login legitimamente a partir de países diferentes, por isso sinalize a combinação de sinais, não um único sinal isolado.
- O MFA baseado em risco funciona melhor do que regras genéricas.
2. Proteja os fluxos de redefinição de conta
- Limite a taxa de pedidos de redefinição de conta: uma rajada de redefinições direcionadas a várias contas indica credential stuffing.
- Não dependa apenas da recuperação por e-mail: se a caixa de entrada estiver comprometida, a conta perde-se. Adicione verificação de dispositivo ou um método de contacto secundário.
As contas de programas de fidelização têm frequentemente fluxos de recuperação mais fracos do que a conta principal de reservas. Equipa diferente, sistema diferente, mesmo valor (ou superior). Precisam da mesma proteção.
3. Use sinais baseados em risco para detetar ATO
- Sinais de dispositivo e navegador: fingerprinting, configuração do navegador e elementos como a resolução do ecrã estabelecem uma linha de base por utilizador.
- Sinais de rede: uso de VPN, deteção de proxy, reputação de IP, incompatibilidades de geolocalização.
- Padrões comportamentais: uma sessão que faz login e navega imediatamente para transferências de fidelização comporta-se de forma muito diferente de alguém a navegar por destinos.
- Sinais de alerta comuns: padrões de viagem impossíveis, várias contas a partir de um único dispositivo, login num novo dispositivo seguido de alterações imediatas na conta.
4. Detete cedo tentativas automatizadas de ATO
Os navegadores stealth e os bots de IA imitam o comportamento real do utilizador o suficiente para contornar CAPTCHAs e a deteção básica de bots (o uso de navegadores stealth cresceu 11 vezes em 2025). São necessárias medidas mais avançadas para detetar cedo o credential stuffing e os testes automatizados de login:
- A limitação de taxa baseada em IP, por si só, não é suficiente: os proxies residenciais fazem o tráfego automatizado parecer legítimo.
- Deteção especializada: o fingerprinting de navegador deteta incompatibilidades de navegador, inconsistências de dispositivo e sinais comportamentais que indicam atividade de ATO conduzida por IA.
5. Crie planos de resposta para ataques de ATO
- Desafiar: apresente autenticação step-up para dar ao verdadeiro titular da conta um caminho de regresso.
- Notificar: alerte o cliente sobre uma possível adulteração da conta.
- Bloquear: congele transferências de fidelização, alterações de reservas e atualizações de métodos de pagamento em contas sinalizadas.
- Investigar: reveja o que foi alterado. Novo e-mail, pontos transferidos, novas reservas ou perfis de viajante modificados.
As múltiplas transferências de pontos de fidelização, em particular, devem ter uma verificação secundária. Semelhante à forma como os bancos tratam as transferências bancárias.
6. Ajuste os limites de fraude com base em padrões históricos
As viagens de inverno, os picos de verão e as férias da Páscoa afetam o que é considerado comportamento de login "normal". Mais logins transfronteiriços, mais dispositivos novos, volumes de reservas mais elevados.
- Reveja os padrões de login sazonais anteriores antes de cada período de pico
- Ajuste as regras de deteção e os limites antes dos períodos de maior volume
- Reajuste após cada pico com base no que realmente aconteceu, não no que previu
Tenha também em conta grandes eventos que criam picos regionais (Jogos Olímpicos, Campeonato do Mundo, grandes festivais).
7. Certifique-se de que o seu site não está a vazar credenciais de utilizadores
As injeções de código são um dos vetores de ATO mais negligenciados. Os atacantes podem injetar scripts maliciosos diretamente no seu site, que sequestram formulários de login ou páginas de reservas para roubar credenciais, enquanto tudo parece normal para as suas ferramentas de segurança de servidor/API.
A FTC refere que 416.582 casos de roubo de identidade nos EUA foram facilitados por skimming digital num único ano.
- Monitorize continuamente todos os scripts de terceiros e próprios. Tags de terceiros, snippets de analytics, pixels de anúncios e widgets web introduzem código que não controla totalmente. Qualquer um deles pode ser comprometido e transformado num ponto de exfiltração de credenciais.
- Use uma plataforma de segurança web como o cside para automatizar a monitorização de scripts do lado do cliente. O cside Client-side Security monitoriza tentativas de exfiltração de dados e injeções de código direcionadas a páginas de login, fluxos de reservas e páginas de pontos de fidelização.
Melhores ferramentas de prevenção de tomada de conta para sites de viagens
Cobrir o ATO de ponta a ponta geralmente exige mais do que uma ferramenta. A maioria das empresas de viagens constrói a sua stack em três categorias.
- MFA / verificação de identidade: acrescenta uma segunda camada além das palavras-passe. Códigos de utilização única por e-mail, SMS ou aplicações de autenticação são uma primeira linha de defesa. O Auth0 e o Duo são amplamente utilizados.
- Fingerprinting / deteção de bots: rastreia sinais de dispositivo, navegador e comportamento para identificar credential stuffing e abuso automatizado de login. Também fornece sinais brutos para as suas regras de fraude identificarem sessões suspeitas que indicam ATO. O cside e a HUMAN Security são boas opções para o setor de viagens. Os sites de viagens já lidam com tráfego intenso de bots provenientes de raspadores de tarifas e verificadores de disponibilidade, pelo que a deteção de bots resolve vários problemas ao mesmo tempo.
- Suites antifraude: pontuam o risco em login, reservas e atividade pós-transação numa única plataforma. Geralmente são plataformas orientadas para empresas que procuram resolver vetores de fraude de ponta a ponta, mas oferecem menos flexibilidade. O Sift e o Forter estão bem estabelecidos junto de empresas de viagens.
Exemplos reais de ataques de ATO em sites de viagens
Em abril de 2026, a Booking[.]com confirmou que atacantes tinham estado a aceder a dados de reservas de clientes através de contas comprometidas de parceiros hoteleiros. Os atacantes enviaram e-mails ao pessoal dos parceiros hoteleiros fazendo-se passar pela Booking[.]com para induzir os funcionários a executar malware. De seguida, contactaram os clientes diretamente, fazendo-se passar pelo hotel, exigindo pagamento adicional ou verificação do cartão, usando dados reais de reserva para parecerem legítimos.
Um ATO mais típico em viagens é assim: um cliente reutiliza uma palavra-passe numa conta de fidelização de uma companhia aérea. Esse par de credenciais aparece num despejo de dados de uma violação. Um atacante executa tentativas automatizadas de login durante um pico de viagens de época festiva. Um login funciona. Pela manhã, o e-mail da conta foi alterado, 85.000 milhas foram transferidas para uma conta descartável, e um bilhete de classe executiva foi reservado no cartão guardado. O cliente descobre quando o saldo de pontos aparece a zero.
Por que motivo a tomada de conta é importante para sites de viagens
O ATO não é apenas um problema de segurança. Afeta simultaneamente a receita, as operações, a confiança na marca e a conformidade:
- Perdas por fraude: os atacantes esvaziam saldos de fidelização (milhas, pontos, certificados de acompanhante, créditos de upgrade), reservam viagens em cartões guardados e revendem reservas. A Loyalty Security Association reportou que 3,1 mil milhões de dólares em pontos de fidelização resgatados são fraudulentos todos os anos, o que se traduz em cerca de mil milhões de dólares em perdas diretas.
- Chargebacks e disputas. As transações de viagens são de alto valor. Uma única reserva fraudulenta pode gerar um chargeback superior a 2.000 dólares, e as companhias aéreas e as OTAs absorvem esses custos porque se trata de fraude genuína numa conta real.
- Confiança e retenção de clientes: nos EUA, 83% dos consumidores afirmam que reduzirão os gastos com uma empresa após uma violação.
- Carga de suporte e operações: onda de redefinições de palavra-passe, pedidos de recuperação de conta, revisões manuais de reservas e remarcações para clientes afetados
- Exposição à conformidade e regulamentação: PCI DSS para dados de pagamento guardados e RGPD para os dados pessoais dos viajantes da UE.
- Implicações para o seguro cibernético: as seguradoras avaliam cada vez mais a adoção de MFA, os controlos de acesso e a postura de prevenção de fraude durante a subscrição de apólices.
O papel do fingerprinting na deteção de tomada de conta
Assim que um atacante tem credenciais válidas, as palavras-passe deixam de servir como defesa. Se conseguir intercetar um código de utilização única, o MFA também falha. O fingerprinting de navegador acrescenta uma camada de deteção subjacente a ambos, mais difícil de contornar.
- Recolha de sinais de ATO: a fingerprint do navegador, os identificadores de hardware, as propriedades do ecrã e os metadados de rede formam uma linha de base para cada visitante. Quando partes dessa linha de base não correspondem (fuso horário incompatível, sinais de navegador headless), isso alerta para uma sessão suspeita.
- Detete cedo tentativas automatizadas de ATO: um dispositivo a percorrer dezenas de combinações de utilizador e palavra-passe. Um navegador que se apresenta como Chrome no macOS mas que está a correr num ambiente Linux headless. Pedidos de login a uma velocidade inumana a partir de proxies rotativos. O fingerprinting deteta bots de credential stuffing que escapam a CAPTCHAs e limitadores de taxa.
Porque é que o cside é a melhor opção de fingerprinting para empresas de sites de viagens
O cside combina fingerprinting de navegador com monitorização da integridade de JavaScript, oferecendo às empresas de viagens tanto deteção de ATO como deteção de web skimming numa única plataforma.
- Deteção de bots de IA maliciosos: deteta navegadores headless que imitam o comportamento real do utilizador para contornar as defesas tradicionais contra bots e executar credential stuffing em grande escala.
- Protege as páginas mais visadas pelos atacantes: protege páginas de reservas, portais de contas de fidelização e fluxos de pagamento contra skimming, exfiltração de dados e sequestro de sessão. O cside é uma solução de referência para a monitorização de scripts ao abrigo do PCI DSS 4.0.1.
- Monitorização de scripts de terceiros: monitoriza todos os scripts em execução no seu site (código de terceiros, ferramentas de acessibilidade, widgets de reservas, ferramentas de analytics, pixels de anúncios, tags de afiliados) e sinaliza quando algum deles começa a exfiltrar credenciais ou dados de pagamento.
- Integração orientada para programadores: sinais brutos de fingerprint via API para regras de fraude personalizadas, além de agrupamentos de sinais curados prontos a usar.
Para começar a usar o cside, registe-se ou marque uma demonstração.
