Bot
Um bot é um software que realiza tarefas automaticamente, sem que uma pessoa precise controlar cada ação. A maioria é inofensiva — rastreadores de busca, assistentes de chat, scripts de monitoramento. No contexto de fraudes e identidade, o termo quase sempre se refere ao outro tipo: tráfego automatizado usado para testar credenciais, abrir contas em grande escala ou esgotar uma oferta antes que clientes reais tenham acesso a ela.
| Significado geral | Software que atua automaticamente, sem a necessidade de intervenção humana a cada ação |
| Exemplos benignos | Rastreadores de busca, assistentes de chat, scripts de monitoramento e backup |
| Exemplos maliciosos | Ataques de preenchimento de credenciais, criação de contas, teste de cartões, revenda, extração de dados, abuso de promoções |
| Ataque por preenchimento de credenciais | Reprodução em grande escala de pares de nomes de usuário e senhas comprometidos |
| Teste de cartas | São realizadas pequenas transações para verificar quais números de cartões roubados ainda funcionam |
| Infraestrutura comum | Navegadores sem interface gráfica, estruturas de automação, redes de proxies residenciais |
| Sinais de detecção | Inconsistência entre dispositivos e navegadores, regularidade temporal, velocidade, reputação da rede |
| Variante mais recente | IA agênica que atua em nome de um usuário real — automatizada, mas legítima |
| Por que é difícil bloquear | Nem toda automação é hostil, e a automação hostil imita os seres humanos |
Como funciona
Vale a pena classificar os bots maliciosos de acordo com o que eles pretendem alcançar, pois as medidas de defesa variam.
Ataque por preenchimento de credenciais Os bots repetem pares de nomes de usuário e senhas roubados em violações de segurança não relacionadas, em um ritmo que nenhum ser humano conseguiria acompanhar. Nada é quebrado — a reutilização de senhas é que dá conta do recado. As taxas de sucesso por tentativa são baixas, mas o volume torna a operação lucrativa de qualquer maneira.
Criação de conta Os bots abrem contas em massa para fins de abuso promocional, fraudes por parte de vendedores em plataformas de comércio eletrônico ou para acumular estoque para revenda. É nesse ponto que a verificação de identidade altera a dinâmica econômica de forma mais direta, pois cada conta passa a exigir, de repente, um documento autêntico e um rosto real, em vez de apenas um endereço de e-mail.
Teste de cartas Os bots realizam pequenas transações com números de cartões roubados para descobrir quais ainda estão ativos, geralmente em estabelecimentos comerciais com formulários de pagamento de baixo valor e limitação de taxa fraca.
Scraping e scalping Os bots coletam conteúdo ou compram estoque limitado mais rápido do que as pessoas conseguem.
A infraestrutura se unificou. Operações sérias utilizam navegadores sem interface gráfica que exibem páginas como se fossem reais, estruturas de automação que reproduzem movimentos do mouse e ritmos de digitação semelhantes aos humanos, e redes de proxies residenciais que utilizam endereços IP de conexões reais de consumidores. Sinais simples — strings de agente do usuário, intervalos de IP de data centers, ausência de recursos do navegador — detectam apenas os descuidados e nada mais.
A categoria também está mudando. Os sistemas de IA com capacidade de ação agora agem em nome de usuários reais, o que gera um tráfego que é, ao mesmo tempo, automatizado e legítimo. O bloqueio generalizado de bots acaba, cada vez mais, afetando clientes reais cujo assistente está realizando os cliques.
Por que isso é importante para a verificação de identidade
A defesa contra bots e a verificação de identidade resolvem o mesmo problema em etapas diferentes, e a ordem em que são aplicadas é importante.
A detecção de bots verifica se esta sessão é automatizada. A verificação de identidade verifica se há uma pessoa real e específica por trás dela. A primeira é uma avaliação probabilística sobre um comportamento que um bot bem programado pode imitar. A segunda exige um elemento que a automação não consegue reproduzir — um documento oficial genuíno associado a um rosto real.
É por isso que os bots de criação de contas representam o caso mais evidente para a verificação no momento do cadastro. Uma rede de bots que abre dez mil contas não é neutralizada por uma melhor detecção comportamental, mas sim pela exigência de que cada conta apresente um documento autenticado e uma pessoa que corresponda a ele. O invasor não precisa de um bot melhor; ele precisa de dez mil documentos e dez mil rostos, o que é um negócio totalmente diferente.
A sobreposição com detecção de atividade é direta. Os ataques por injeção — quadros sintéticos inseridos em um pipeline de captura por meio de uma câmera virtual — consistem na aplicação de automação à própria etapa de verificação. Defender-se contra isso significa atestar a integridade do canal de captura, e não avaliar a imagem. Sinais de dispositivos e comportamentais gerenciar a sessão e o Microblink’s detecção de abuso em promoções aborda especificamente o caso das contas por volume.
Bots benignos x bots maliciosos
| Automação benigna | Bots maliciosos | |
|---|---|---|
| Se identifica | Normalmente, por meio do agente do usuário e dos intervalos de IP publicados | Não — imita um navegador de verdade |
| Respeita o arquivo robots.txt | De modo geral | Não |
| Padrão de tráfego | Estável, previsível | Em rajadas, ou com ritmo deliberadamente ajustado para parecer humano |
| Infraestrutura | Intervalos conhecidos de data centers | Proxies residenciais, IPs rotativos |
| Navegador | Muitas vezes, um simples cliente HTTP | Navegador sem interface gráfica exibindo a página inteira |
| Resposta correta | Permitir, limitar a taxa de acesso, se necessário | Bloquear, contestar ou encaminhar para verificação |
A distinção está ficando mais difícil, em vez de mais fácil. A IA agentiva se encaixa de forma um tanto incômoda nessa distinção — automatizada, não revelada e agindo em nome de um cliente real —, e é por isso que a identidade está se tornando uma questão mais confiável do que a automação.
O que a detecção de bots não consegue fazer
Não é possível comprovar que uma sessão seja realizada por um ser humano. A detecção calcula uma probabilidade com base em sinais comportamentais e de dispositivos, todos os quais são imitados por um sistema de automação sofisticado. A ausência de sinais de bot não é prova da presença de uma pessoa.
Ele não consegue distinguir entre automação hostil e automação útil. Um assistente de IA que preenche um formulário para um cliente real parece um bot porque, de fato, é um. O bloqueio baseado exclusivamente na automação acaba impedindo cada vez mais o acesso de usuários legítimos.
Isso não impede que um ser humano faça a mesma coisa devagar. As “fazendas de fraudes manuais” — pessoas pagas para abrir contas manualmente — contornam todos os controles contra bots, pois não são bots.
Isso não resolve o problema de um conjunto de contas não verificadas. Bloquear bots no momento do cadastro impede a criação em massa. Isso não diz nada sobre as contas já abertas, nem sobre se as pessoas que conseguiram se cadastrar são realmente quem afirmam ser.
Perguntas frequentes
Todos os bots são prejudiciais?
Não. Rastreadores de busca, scripts de monitoramento, tarefas de backup e assistentes de chat são exemplos de automação que realizam trabalhos úteis. No contexto da fraude, a palavra geralmente se refere especificamente à automação maliciosa, que representa uma pequena parcela do tráfego total de bots, mas é responsável pela maior parte dos danos.
O que é “credential stuffing”?
Bots que testam em massa combinações de nomes de usuário e senhas roubadas em violações de segurança não relacionadas. Isso funciona porque as pessoas reutilizam senhas — nada é decifrado. As taxas de sucesso por tentativa são baixas, mas a escala faz com que valha a pena. Os números da Microsoft em nosso Estatísticas de fraudes da ATO Isso mostra a magnitude do problema: mais de 97% dos ataques à identidade observados foram ataques a senhas.
Como os bots conseguem contornar o CAPTCHA e a detecção de bots?
Navegadores sem interface gráfica que exibem as páginas na íntegra, estruturas de automação que imitam os padrões humanos de uso do mouse e digitação, redes de proxies residenciais que utilizam endereços IP reais de consumidores e serviços comerciais de resolução. Sinais simples detectam apenas os operadores descuidados.
A verificação de identidade impede os bots?
Isso impede a criação em massa de contas, que é o caso de uso mais prejudicial dos bots. Um bot não consegue gerar dez mil documentos governamentais autênticos associados a dez mil rostos reais; portanto, exigir isso no momento do cadastro altera a viabilidade econômica do invasor, em vez de suas ferramentas.
Leitura relacionada
- Fraude por invasão de conta — o que o “credential stuffing” busca alcançar
- Fullz — os dados de violações que alimentam ataques automatizados
- Detecção de presença — confirmando que se trata de uma pessoa real, e não de um script
- Quadrilha de fraude — as atividades humanas por trás da automação
