Resumo: fraude de apropriação de conta explicada
- O que distingue o ATO: ATO não é fraude de conta nova nem fraude de pagamento: o atacante herda uma conta real com histórico real, métodos de pagamento verificados e sinais de confiança estabelecidos, então a atividade fraudulenta se mistura e a detecção post-hoc fica significativamente mais difícil.
- A evidência: A Javelin encontrou 13,5 bilhões em perdas por ATO nos EUA em 2025 sobre 6 milhões de vítimas, um salto anual de 18%, enquanto o Verizon DBIR 2026 mostra que credenciais roubadas aparecem em 39% das violações. Rate limits do servidor não param stuffing por proxy residencial em taxas equivalentes a humanos.
- A decisão: Se você já roda rate limiting no login, reputação de IP e CAPTCHA, a peça faltante é um veredito por sessão na autenticação que sinalize troca de ID de dispositivo, VPN via TLS e anomalias de cadência de sessão antes do POST, para que o step-up só dispare em sessões de risco.
Sem tempo? Veja a deteção de account takeover da cside. Cobre tudo o que se segue numa única implementação.
A fraude por apropriação de contas (ATO) ocorre quando um atacante usa credenciais roubadas para entrar numa conta existente que pertence a outra pessoa. Como a conta é real, com histórico real e métodos de pagamento guardados, a fraude é difícil de detetar depois de acontecer.
A ATO é diferente da fraude de nova conta, que cria contas falsas de raiz, e da fraude de pagamento, que visa transações individuais sem antes comprometer uma conta. Na ATO, o atacante herda uma conta real, com histórico real, métodos de pagamento reais e sinais de confiança reais, pelo que a atividade fraudulenta se mistura com o comportamento normal. O combustível destes ataques é a disponibilidade de credenciais: bases de dados de fugas com centenas de milhões de pares de email e palavra-passe circulam amplamente e são baratas de comprar.
Como a ATO difere de outros tipos de fraude
A fraude por apropriação de contas é habitualmente confundida com a fraude de nova conta e a fraude de pagamento, mas os três são tipos de ataque distintos que exigem diferentes controlos de prevenção e atingem pontos diferentes do percurso do utilizador.
A fraude por apropriação de contas compromete uma conta existente usando credenciais válidas. A conta tem histórico legítimo. O atacante herda os sinais de confiança associados a essa conta: um email verificado, métodos de pagamento guardados, pontos de fidelização e histórico de compras.
A fraude de nova conta cria uma conta sintética ou fraudulenta de raiz. O atacante constrói uma nova identidade, muitas vezes usando dados pessoais fabricados ou roubados. Não existe histórico de conta anterior, pelo que a deteção depende da verificação de identidade no registo, e não da deteção de anomalias numa conta estabelecida.
A fraude de pagamento visa uma única transação, não a conta em si. A fraude sem cartão presente (card-not-present) e o card skimming são fraude de pagamento: o atacante tem os dados do cartão mas pode não ter acesso à conta. A ATO, em contraste, tem a ver com o controlo persistente da conta.
A distinção importa para a arquitetura de prevenção. A fraude de nova conta é travada no registo. A fraude de pagamento é travada ao nível da transação. A ATO é travada na camada de autenticação, antes de o atacante obter a sessão que faz com que cada ação seguinte pareça legítima.
Como funciona um ataque de ATO por credential stuffing
O mecanismo de entrega dominante para a ATO em 2026 é o credential stuffing: o teste automatizado e de grande volume de pares de nome de utilizador e palavra-passe roubados contra endpoints de login. Eis como se desenrola um ataque típico.
Passo 1: Aquisição de credenciais. O atacante compra uma lista de credenciais numa base de dados de fugas ou num mercado da dark web. Listas com dezenas de milhões de pares de email e palavra-passe vendem-se por um custo insignificante. As credenciais provêm de fugas não relacionadas (um site de retalho, uma plataforma de streaming, um fórum), mas são testadas contra a plataforma-alvo porque as pessoas reutilizam palavras-passe entre serviços.
Passo 2: Tentativas de login automatizadas. O atacante implementa bots para testar a lista contra o endpoint de login do alvo. Para contornar a limitação de taxa (rate limiting) e o bloqueio de IP, o ataque é distribuído por milhares de endereços IP de proxies residenciais, cada um a fazer um pequeno número de pedidos. Da perspetiva do servidor, cada pedido parece um utilizador diferente numa rede diferente.
Passo 3: Logins bem-sucedidos identificados. As taxas de sucesso variam com a qualidade da lista de credenciais e com o grau de exclusividade das palavras-passe entre os utilizadores do alvo. Um subconjunto das credenciais testadas irá corresponder a contas válidas na plataforma.
Passo 4: Apropriação e mutação da conta. Para cada login bem-sucedido, o atacante age depressa: muda o endereço de email registado, adiciona um novo método de pagamento, remove os existentes e inicia um levantamento ou uma compra. O objetivo é terminar a monetização antes de o verdadeiro titular da conta reparar no acesso.
Passo 5: Monetização. A forma como o atacante levanta o dinheiro depende da plataforma. Em sites de e-commerce, os métodos de pagamento guardados financiam compras. Em plataformas de iGaming, os saldos são levantados. Em plataformas financeiras, os fundos são transferidos. Em plataformas de fidelização, os pontos são resgatados ou vendidos.
A dimensão do problema
A Javelin Strategy & Research 2026 concluiu que 6 milhões de consumidores foram vítimas de ATO em 2025, um aumento de 18% face a 2024. As perdas totais por ATO atingiram 13,5 mil milhões de dólares.
| Ano | Perdas por apropriação de contas nos EUA |
|---|---|
| 2024 | ~11,4 mil milhões de dólares |
| 2025 | 13,5 mil milhões de dólares |
Fonte: Javelin Strategy & Research 2026 Identity Fraud Study.
Estes números refletem a fraude detetada e reportada, pelo que a incidência real é mais elevada. Muitas vítimas não se apercebem de imediato de que a sua conta foi comprometida, e as empresas descobrem muitas vezes a ATO apenas quando os chargebacks, os pedidos de apoio ou as anomalias em levantamentos se acumulam o suficiente para despoletar uma revisão.
A oferta de credenciais que alimenta estes ataques é substancial. O Verizon Data Breach Investigations Report 2026 concluiu que as credenciais roubadas aparecem em 39% de todas as fugas de dados. As bases de dados de fugas que alimentam os ataques de ATO de hoje foram povoadas pelas fugas de ontem em empresas sem qualquer ligação à plataforma-alvo.
Porque é que as ferramentas do lado do servidor veem a ATO demasiado tarde
A resposta convencional ao credential stuffing é do lado do servidor: limitação de taxa nos endpoints de login, bloqueio por reputação de IP e desafios CAPTCHA. Estes controlos têm valor genuíno contra ataques de grande volume e baixa sofisticação. Não travam o credential stuffing moderno executado através de redes de proxies residenciais a taxas de pedidos equivalentes às humanas.
Mais importante ainda, as ferramentas do lado do servidor avaliam o pedido apenas depois de este chegar. Quando um POST de login chega ao seu servidor, o atacante já escolheu esse par de credenciais, já encaminhou através de um proxy residencial e já passou por quaisquer verificações do lado do cliente que a sua página de login aplique. Os sinais que expõem o ataque, incluindo o fingerprint do dispositivo, a ligação VPN, a cadência de sessão e a ausência de características esperadas do ambiente do navegador, existem apenas no navegador.
Uma ferramenta de deteção na camada do navegador recolhe estes sinais antes de o pedido ser submetido, pelo que o veredito fica disponível no momento da autenticação, e não depois do facto.
Como a cside deteta a apropriação de contas
A cside executa um script leve no navegador do visitante e analisa mais de 250 sinais por sessão. Numa página de login, os sinais relevantes incluem:
Fingerprint do dispositivo. A cside mantém um fingerprinting de dispositivo de elevada precisão em modo de navegação anónima, ligações VPN e limpeza de cookies. Um bot de credential stuffing que tenta parecer um dispositivo novo em cada pedido é exposto pela consistência do fingerprint, não pelo endereço IP.
Contexto de rede. O fingerprinting TLS TLS handshake fingerprint identifica ligações VPN e proxy. Um login encaminhado através de um proxy residencial ou de uma VPN de anonimização é sinalizado ao nível da sessão, não apenas ao nível do IP.
Cadência de sessão. As tentativas de login automatizadas têm padrões de tempo característicos. Mesmo as ferramentas de credential stuffing construídas para imitar a velocidade humana produzem uma cadência de sessão que difere do comportamento humano genuíno ao longo de uma população de pedidos.
Alteração do ID de dispositivo no login. Um dos sinais de ATO mais claros é uma conta conhecida a autenticar-se a partir de um dispositivo desconhecido. A cside correlaciona os fingerprints de dispositivo entre sessões, pelo que consegue sinalizar quando uma conta que sempre iniciou sessão a partir de um único fingerprint de dispositivo apresenta subitamente um completamente diferente.
O resultado é um veredito por sessão, em tempo real, devolvido antes de a autenticação ser concluída, que sinaliza sessões automatizadas e de alto risco. A sua plataforma pode usar esse veredito para exigir autenticação reforçada (step-up), bloquear a sessão ou sinalizar silenciosamente a conta para revisão pela equipa antifraude, sem acrescentar atrito para os utilizadores legítimos cujo fingerprint de dispositivo e contexto de sessão correspondem ao seu histórico.
Para um guia mais completo sobre como integrar a prevenção de ATO na sua stack de autenticação, veja o caso de uso de apropriação de contas da cside. Para detalhe tático sobre o mecanismo de entrega, veja o que é credential stuffing.
