Resumo
- Contas em sites de viagens são alvos prioritários de ATO, pois contêm informações de pagamento armazenadas e **programas de pontos de fidelidade menos seguros do que os fluxos da conta principal. A LSA reportou que US$ 3,1 bilhões em pontos de fidelidade resgatados são fraudulentos anualmente.
- A fraude de ATO é custosa. Chargebacks podem ultrapassar US$ 2.000 para empresas de viagens. Empresas como Booking[.]com enfrentaram repetidamente ataques de ATO entre 2020 e 2025.
- As melhores práticas de prevenção incluem MFA baseado em risco (com regras que consideram viagens internacionais como comportamento normal), fortalecimento dos fluxos de recuperação de contas de fidelidade em vez de apenas o login, e uso de sinais de fingerprinting para detectar tentativas de ATO cedo.
- A maioria das empresas de viagens combina três tipos de ferramentas: MFA e verificação de identidade (Duo, Ping Identity), fingerprinting de dispositivos e detecção de bots (cside, HUMAN Security), e suítes antifraude (Sift, Forter).
O que é fraude de tomada de conta em sites de viagens?
A fraude de tomada de conta acontece quando um invasor obtém acesso à conta de um cliente real e a utiliza para fraude ou abuso. Em viagens, isso geralmente começa por um dos seguintes pontos de entrada:
- Credential stuffing com senhas reutilizadas, phishing disfarçado de comunicações oficiais de empresas de viagens, ou fluxos fracos de recuperação de senha.
Na maioria dos setores, o ATO leva à fraude de pagamento. Em viagens, também inclui fraude de fidelidade. Os invasores esvaziam milhas de programas de passageiro frequente ou transferem pontos de hotel para contas descartáveis.
Isso também não é um problema de nicho. O relatório da EY afirma que o valor global dos pontos de fidelidade ultrapassa US$ 200 bilhões. Fraudes relacionadas a ATO podem levar aproximadamente 150 a 180 dias para serem investigadas.
Por que contas em sites de viagens são alvos de ATO
Para um invasor, uma conta de viagens comprometida é um dos alvos de maior retorno disponíveis online. Veja o que eles acessam em uma única violação:
- Moedas de fidelidade, métodos de pagamento armazenados habilitados para compras de alto valor, e dados pessoais ricos como números de passaporte.
O comportamento dos usuários também não ajuda. A maioria reutiliza senhas em várias plataformas, e poucos tratam o login de hotel ou companhia aérea com o mesmo cuidado que dariam a uma conta bancária. Muitos usuários só criam uma conta às pressas no final de uma sessão de reserva quando solicitados pela plataforma. Checkout rápido, métodos de pagamento salvos e sessões persistentes ampliam a superfície de ataque.
É por isso que os invasores têm como alvo sites de viagens (companhias aéreas, redes hoteleiras como Hilton e Marriott, e plataformas de reservas como Expedia e Booking[.]com).
Melhores práticas para sites de viagens e hospitalidade para impedir fraudes de tomada de conta
1. Exija MFA nos momentos certos
- Acione verificação step-up para logins incomuns: Novo dispositivo, IP desconhecido, país diferente. Lembre-se de que, em sites de viagens, clientes fazem login de países diferentes de forma legítima. Sinalize a combinação de sinais, não apenas um único.
- MFA baseado em risco funciona melhor do que regras genéricas.
2. Proteja os fluxos de redefinição de conta
- Limite a taxa de solicitações de redefinição de conta: Uma rajada de redefinições direcionadas a múltiplas contas sinaliza credential stuffing.
- Não dependa apenas de recuperação por e-mail: Se a caixa de entrada estiver comprometida, a conta está perdida. Adicione verificação de dispositivo ou um método de contato secundário.
Contas de programas de fidelidade frequentemente têm fluxos de recuperação mais fracos do que a conta principal de reservas. Equipe diferente, sistema diferente, valor igual (ou maior). Elas precisam da mesma proteção.
3. Use sinais baseados em risco para detectar ATO
- Sinais de dispositivo e navegador: Fingerprinting, configuração do navegador e elementos como resolução de tela estabelecem uma linha de base por usuário.
- Sinais de rede: Uso de VPN, detecção de proxy, reputação de IP, incompatibilidades de geolocalização.
- Padrões comportamentais: Uma sessão que faz login e navega imediatamente para transferências de fidelidade se comporta de forma muito diferente de alguém navegando por destinos.
- Sinais de alerta comuns: Padrões de viagem impossíveis, múltiplas contas a partir de um único dispositivo, login em novo dispositivo seguido de alterações imediatas na conta.
4. Detecte tentativas automatizadas de ATO cedo
Navegadores stealth e bots de IA imitam o comportamento real do usuário bem o suficiente para contornar CAPTCHAs e detecção básica de bots (o uso de navegadores stealth cresceu 11x em 2025). Medidas mais avançadas são necessárias para detectar credential stuffing e testes automatizados de login cedo:
- Limitação de taxa baseada em IP sozinha não é suficiente: Proxies residenciais fazem o tráfego automatizado parecer legítimo.
- Detecção especializada: O fingerprinting de navegador detecta incompatibilidades de navegador, inconsistências de dispositivo e insights comportamentais que indicam atividade de ATO conduzida por IA.
5. Crie planos de resposta para ataques de ATO
- Desafiar: Apresente autenticação step-up para dar ao titular legítimo da conta um caminho de retorno.
- Notificar: Alerte o cliente sobre possível adulteração da conta.
- Bloquear: Congele transferências de fidelidade, alterações de reservas e atualizações de métodos de pagamento em contas sinalizadas.
- Investigar: Revise o que foi alterado. Novo e-mail, pontos transferidos, novas reservas ou perfis de viajantes modificados.
Múltiplas transferências de pontos de fidelidade especificamente devem ter uma verificação secundária. Semelhante à forma como os bancos lidam com transferências bancárias.
6. Ajuste os limites de fraude com base em padrões históricos
Viagens de inverno, picos de verão e férias de carnaval afetam o que parece um comportamento de login "normal". Mais logins transfronteiriços, mais dispositivos novos, volumes maiores de reservas.
- Revise os padrões de login sazonais anteriores antes de cada período de pico
- Ajuste as regras de detecção e os limites antes dos períodos de alto volume
- Reajuste após cada pico com base no que realmente aconteceu — não no que você previu
Considere também grandes eventos que criam picos regionais (Olimpíadas, Copa do Mundo, grandes festivais).
7. Certifique-se de que seu site não está vazando credenciais de usuários
Injeções de código são um dos vetores de ATO mais negligenciados. Invasores podem injetar scripts maliciosos diretamente no seu site que sequestram formulários de login ou páginas de reservas para roubar credenciais enquanto tudo parece normal para suas ferramentas de segurança de servidor/API.
A FTC observa que 416.582 casos de roubo de identidade nos EUA foram facilitados por skimming digital em um único ano.
- Monitore continuamente todos os scripts de terceiros e próprios. Tags de terceiros, snippets de analytics, pixels de anúncios e widgets web introduzem código que você não controla totalmente. Qualquer um deles pode ser comprometido e transformado em um ponto de exfiltração de credenciais.
- Use uma plataforma de segurança web como o cside para automatizar o monitoramento de scripts do lado do cliente. O cside Client-side Security monitora tentativas de exfiltração de dados e injeções de código direcionadas a páginas de login, fluxos de reservas e páginas de pontos de fidelidade.
Melhores ferramentas de prevenção de tomada de conta para sites de viagens
Cobrir o ATO de ponta a ponta geralmente requer mais de uma ferramenta. A maioria das empresas de viagens constrói sua stack em três categorias.
- MFA / verificação de identidade: Adiciona uma segunda camada além das senhas. Códigos de uso único por e-mail, SMS ou aplicativos autenticadores são uma primeira linha de defesa. Auth0 e Duo são amplamente utilizados.
- Fingerprinting / detecção de bots: Rastreia sinais de dispositivo, navegador e comportamento para identificar credential stuffing e abuso automatizado de login. Também fornece sinais brutos para suas regras de fraude identificarem sessões suspeitas que indicam ATO. cside e HUMAN Security são opções sólidas para viagens. Sites de viagens já lidam com tráfego intenso de bots de raspagem de tarifas e verificadores de disponibilidade, então a detecção de bots resolve múltiplos problemas ao mesmo tempo.
- Suítes antifraude: Pontuam o risco em login, reservas e atividades pós-transação em uma única plataforma. Geralmente são plataformas voltadas para empresas que buscam resolver vetores de fraude de ponta a ponta, mas oferecem menos flexibilidade. Sift e Forter são bem estabelecidos para empresas de viagens.
Exemplos reais de ataques de ATO em sites de viagens
Em abril de 2026, o Booking[.]com confirmou que invasores estavam acessando dados de reservas de clientes por meio de contas de parceiros hoteleiros comprometidas. Os invasores enviaram e-mails para funcionários de parceiros hoteleiros se passando pelo Booking[.]com para induzir os funcionários a executar malware. Em seguida, contataram os clientes diretamente, se passando pelo hotel, exigindo pagamento adicional ou verificação de cartão usando dados reais de reservas para parecerem legítimos.
Um ATO mais típico em viagens se parece com isso: Um cliente reutiliza uma senha em uma conta de fidelidade de companhia aérea. Esse par de credenciais aparece em um vazamento de dados. Um invasor executa tentativas automatizadas de login durante um pico de viagens de feriado. Um login funciona. Pela manhã, o e-mail da conta foi alterado, 85.000 milhas transferidas para uma conta descartável, e uma passagem de classe executiva reservada no cartão armazenado. O cliente descobre quando o saldo de pontos aparece zerado.
Por que a tomada de conta é importante para sites de viagens
O ATO não é apenas um problema de segurança. Ele afeta receita, operações, confiança da marca e conformidade simultaneamente:
- Perdas por fraude: Os invasores esvaziam saldos de fidelidade (milhas, pontos, certificados de acompanhante, créditos de upgrade), reservam viagens em cartões armazenados e revendem reservas. A Loyalty Security Association reportou que US$ 3,1 bilhões em pontos de fidelidade resgatados são fraudulentos anualmente, levando a ~US$ 1 bilhão em perdas diretas.
- Chargebacks e disputas. Transações de viagens são de alto valor. Uma única reserva fraudulenta pode gerar um chargeback de mais de US$ 2.000, e companhias aéreas e OTAs arcam com esses custos porque é uma fraude genuína em uma conta real.
- Confiança e retenção de clientes: Nos EUA, 83% dos consumidores afirmam que reduzirão os gastos com uma empresa após uma violação.
- Carga de suporte e operações: Onda de redefinições de senha, solicitações de recuperação de conta, revisões manuais de reservas e remarcações para clientes afetados.
- Exposição a conformidade e regulamentações: PCI DSS para dados de pagamento armazenados e GDPR para informações pessoais de viajantes da UE.
- Implicações para o seguro cibernético: As seguradoras avaliam cada vez mais a adoção de MFA, controles de acesso e postura de prevenção de fraudes durante a subscrição.
O papel do fingerprinting na detecção de tomada de conta
Quando um invasor já tem credenciais válidas, as senhas são inúteis como defesa. Se ele consegue interceptar um código de uso único, o MFA também falha. O fingerprinting de navegador adiciona uma camada de detecção abaixo de ambos que é mais difícil de contornar.
- Coleta de sinais de ATO: Fingerprint do navegador, identificadores de hardware, propriedades de tela e metadados de rede formam uma linha de base para cada visitante. Quando partes dessa linha de base não correspondem (fuso horário incompatível, sinais de navegador headless), isso alerta sobre uma sessão suspeita.
- Detecte tentativas automatizadas de ATO cedo: Um dispositivo percorrendo dezenas de combinações de usuário e senha. Um navegador se apresentando como Chrome no macOS, mas rodando em um ambiente Linux headless. Solicitações de login em velocidade inumana a partir de proxies rotativos. O fingerprinting detecta bots de credential stuffing que escapam de CAPTCHAs e limitadores de taxa.
Por que o cside é a melhor opção de fingerprinting para empresas de sites de viagens
O cside combina fingerprinting de navegador com monitoramento de integridade de JavaScript, oferecendo às empresas de viagens tanto detecção de ATO quanto detecção de web skimming em uma única plataforma.
- Detecção de bots de IA maliciosos: Detecta navegadores headless que imitam o comportamento real do usuário para contornar defesas tradicionais contra bots e executar credential stuffing em escala.
- Protege as páginas que os invasores mais visam: Protege páginas de reservas, portais de contas de fidelidade e fluxos de pagamento contra skimming, exfiltração de dados e sequestro de sessão. O cside é uma solução líder para monitoramento de scripts PCI DSS 4.0.1.
- Monitoramento de scripts de terceiros: Monitora cada script em execução no seu site (código de terceiros, ferramentas de acessibilidade, widgets de reservas, ferramentas de analytics, pixels de anúncios, tags de afiliados) e sinaliza quando qualquer um deles começa a exfiltrar credenciais ou dados de pagamento.
- Integração voltada para desenvolvedores: Sinais brutos de fingerprint via API para regras de fraude personalizadas, além de agrupamentos de sinais curados prontos para uso imediato.
Para começar com o cside, cadastre-se ou agende uma demonstração.
