O meu parecer de março de 2026: Bots disfarçados de usuários reais

Olá a todos, Pat Reeves aqui, de volta ao botsec.net. Hoje é 20 de março de 2026 e estou lutando com algo que me impede de dormir, especialmente com a evolução dos bots. Esqueçam o seu DDoS básico. Estamos falando de uma ameaça muito mais insidiosa: bots que se disfarçam de usuários legítimos, não apenas por um momento, mas por longos períodos, exfiltrando lentamente dados ou preparando ataques maiores. E as defesas tradicionais? Começam a parecer um queijo suíço.

Hoje quero falar sobre algo que é frequentemente negligenciado no grande esquema da segurança dos bots, mas que acredito cada vez mais ser nossa primeira linha de defesa contra esses bots persistentes e avançados: a biometria comportamental para a integridade das sessões.

A ameaça invisível: bots que não ativam alarmes

Por anos, a mitigação de bots tem se concentrado na reputação de IP, limitação de throughput, CAPTCHAs e detecção baseada em assinaturas. E não me entendam mal, essas ferramentas ainda são vitais. Mas os bots sofisticados de hoje? Eles não se limitam a mudar de IP; utilizam proxies residenciais, imitam os movimentos do mouse e as digitações humanas, e até resolvem CAPTCHAs com assistência humana (ou uma IA avançada que os engana). Eles não bombardeiam seu site com 10.000 solicitações por segundo de um único IP. Em vez disso, podem fazer 5 solicitações em uma hora, imitando perfeitamente um comportamento de navegação humano, para então desaparecer e voltar algumas horas depois. Eles são lentos, são deliberados, e são projetados para se camuflar no ambiente.

Vi tudo isso com meus próprios olhos há alguns meses, trabalhando como consultor para um site de e-commerce de médio porte. Eles observaram um leve, mas constante aumento nos carrinhos abandonados, vindos do que parecia ser usuários legítimos. Ao aprofundarmos, descobrimos que esses “usuários” estavam se conectando, navegando por alguns itens, adicionando-os a um carrinho e então… indo embora. Nenhuma compra. Mas o que era estranho era o padrão: sempre as mesmas categorias de produtos, sempre de IPs diferentes (mas aparentemente residenciais), e sempre após uma breve e específica sessão de navegação. Parecia uma verdadeira vitrine de compras. Até que correlacionamos isso com seu sistema de gerenciamento de inventário. Artigos eram adicionados aos carrinhos, efetivamente reservando-os, para serem então liberados. Era um ataque lento e deliberado à disponibilidade do inventário, projetado para fazer parecer que os artigos populares estavam esgotados para os compradores reais, empurrando-os para sites concorrentes. A detecção tradicional de bots praticamente não sinalizou essas sessões. Por quê? Porque os bots se comportavam como humanos, apenas levemente… fora do comum.

Por que a detecção tradicional de bots falha contra bots avançados persistentes

Pensem nisso. A maioria dos sistemas de detecção de bots busca anomalias que gritam “robô.”

• Velocidade das solicitações: Solicitações demais muito rápido.
• Reputação de IP: IPs conhecidos por serem obscuros ou provenientes de data centers.
• Sequências de user agent: Assinaturas óbvias de bots.
• Taxas de falha dos CAPTCHAs: Bots têm dificuldades com testes visuais (às vezes).

Mas o que acontece se o bot:

• Usa um IP residencial limpo?
• Faz solicitações em intervalos semelhantes aos humanos?
• Tem um user agent de navegador perfeitamente legítimo?
• Navega com sucesso entre os formulários e até resolve os CAPTCHAs?

É aqui que entra em cena a biometria comportamental. Não se trata do que o bot é, mas de como age.

Biometria comportamental: a impressão digital de um humano

A biometria comportamental analisa as maneiras únicas pelas quais um humano interage com uma interface digital. Não é apenas uma questão de autenticação inicial; trata-se de autenticação contínua ao longo de toda a sessão. É o equivalente digital de observar alguém entrar em uma loja, explorar, pegar um item e pagar. Você não se limita a verificar a identidade deles na porta; observa o comportamento deles para qualquer anomalia.

De que tipo de comportamentos estamos falando?

• Movimentos do mouse: Velocidade, aceleração, desaceleração, curvatura do caminho e pressão exercida (se disponível). Os humanos não se movem em linhas perfeitamente retas e há uma vibração natural. Os bots frequentemente apresentam movimentos anormalmente fluidos ou bruscos.
• Dinamicas da digitação: Ritmo, velocidade e pressão da tecla. O tempo entre pressionar uma tecla e soltá-la e o tempo entre pressionar teclas subsequentes. Os humanos têm padrões de digitação únicos.
• Gesticulados na tela sensível ao toque: Deslizamentos, pinçamentos, toques – sua velocidade, duração e precisão.
• Padrões de rolagem: Como um usuário rola por uma página – fluido contra tremido, velocidade e frequência das pausas.
• Características do navegador e do dispositivo: Não apenas o agente de usuário, mas também os tempos internos, a renderização das fontes, as capacidades de hardware e até mesmo os níveis de bateria. Essas sutis diferenças podem frequentemente revelar ambientes de emulação.

A beleza disso é que cria um perfil em constante evolução para cada usuário. Quando uma nova sessão começa, o sistema começa a construir um perfil comportamental. Se esse perfil se desvia significativamente do que se espera de um humano, ou mesmo do perfil conhecido de um usuário específico, isso é sinalizado.

Como funciona (simplificado para bots)

Imagine que seu site tenha um trecho de JavaScript que funcione em segundo plano. Esse trecho coleta pontos de dados como:

• mousemove eventos: coordenadas X/Y, timestamp, velocidade.
• keydown e keyup eventos: Código da tecla, timestamp.
• scroll eventos: Delta de rolagem, timestamp.

Esses dados brutos são então enviados a um sistema backend (frequentemente um modelo IA/ML) que analisa esses padrões. Constrói uma linha de base para o comportamento “humano” e depois compara os dados de entrada com ela. Para usuários autenticados, também pode comparar com seu comportamento passado.

Vejamos um exemplo muito simplificado do que poderia capturar (não um código de produção real, mas ilustrativo):

// JavaScript simplificado para capturar o movimento do mouse
let mouseMovements = [];
let lastTimestamp = Date.now();

document.addEventListener('mousemove', (event) => {
 const currentTimestamp = Date.now();
 const deltaTime = currentTimestamp - lastTimestamp;
 
 // Calcular a velocidade (simplificado para fins de ilustração)
 if (mouseMovements.length > 0) {
 const lastMove = mouseMovements[mouseMovements.length - 1];
 const dx = event.clientX - lastMove.x;
 const dy = event.clientY - lastMove.y;
 const distance = Math.sqrt(dx*dx + dy*dy);
 const speed = distance / deltaTime; // pixels por milissegundo
 
 mouseMovements.push({
 x: event.clientX,
 y: event.clientY,
 timestamp: currentTimestamp,
 speed: speed
 });
 } else {
 mouseMovements.push({
 x: event.clientX,
 y: event.clientY,
 timestamp: currentTimestamp,
 speed: 0 
 });
 }
 lastTimestamp = currentTimestamp;

 // Em um sistema real, você agruparia e enviaria esses dados para o servidor
 // não a cada movimento, mas talvez a cada poucos segundos ou em determinados eventos.
});

// Exemplo de envio de dados (mais uma vez, muito simplificado)
setInterval(() => {
 if (mouseMovements.length > 0) {
 // Enviar os dados mouseMovements para o seu backend para análise
 console.log("Enviando os dados de movimento do mouse:", mouseMovements.length, "eventos");
 mouseMovements = []; // Zerar para o próximo lote
 }
}, 5000); // Enviar a cada 5 segundos

O backend então recebe esse fluxo de dados. Um bot pode mostrar movimentos do mouse que são muito perfeitamente lineares, ou sempre se mover a uma velocidade constante, ou saltar diretamente para campos de formulários sem os movimentos naturais exploratórios de um humano. Estes são os “sinais” que a detecção tradicional baseada em IP não captura.

Implementar a biometria comportamental: não é tão assustador quanto parece

Não é necessário construir um modelo de aprendizado de máquina do zero. Há fornecedores especializados nesse campo. Meu conselho: comece com um proof-of-concept.

“`html

1. Descubra um fornecedor: Procure fornecedores especializados em biometria comportamental para detecção de fraudes e bots. Solicite estudos de caso especificamente relacionados a bots avançados.
2. Comece com uma página de baixo risco: Não implemente isso imediatamente em todo o site. Comece com uma página menos crítica, como uma página de detalhes de produto, e colete dados.
3. Integre os dados: A maioria das soluções fornece um SDK JavaScript. Integre este script, que gerenciará a coleta de dados e os enviará para seu serviço.
4. Observe e adapte: Trabalhe com o fornecedor para entender as informações. Revise os “escores de risco” gerados para as sessões. Identifique quais comportamentos estão sendo sinalizados.
5. Aplicação progressiva: Assim que se sentir seguro, você pode começar a aplicar políticas. Para escores de risco altos, pode injetar um CAPTCHA, ativar um desafio MFA, ou até mesmo bloquear a sessão. Para um risco médio, você pode simplesmente registrá-lo e monitorá-lo de perto.

Segue um exemplo conceitual de política de backend:

// Exemplo Python Flask de um endpoint de avaliação de risco simplificado
from flask import Flask, request, jsonify
# Suponha que 'behavioral_biometrics_service' seja um SDK/clique para seu fornecedor
# Ele pegaria dados comportamentais brutos e retornaria um escore de risco.
from my_biometrics_sdk import analyze_session_behavior 

app = Flask(__name__)

@app.route('/api/analyze_behavior', methods=['POST'])
def analyze_behavior_data():
 session_id = request.json.get('session_id')
 behavior_data = request.json.get('behavior_data') # Estes seriam dados agregados de movimento do mouse/teclado/rolagem

 if not session_id or not behavior_data:
 return jsonify({"error": "session_id ou behavior_data ausente"}), 400

 # Chame seu serviço/modelo de biometria comportamental
 risk_score = analyze_session_behavior(session_id, behavior_data)

 action_to_take = "monitorar"
 if risk_score > 0.8: # Limite de risco alto
 action_to_take = "bloquear"
 elif risk_score > 0.5: # Limite de risco médio
 action_to_take = "desafiar" # e.g., reautenticar, CAPTCHA

 print(f"Session {session_id}: Risk Score = {risk_score}, Action = {action_to_take}")
 
 return jsonify({
 "session_id": session_id,
 "risk_score": risk_score,
 "action": action_to_take
 })

if __name__ == '__main__':
 app.run(debug=True)

Esse backend reagiria ao escore de risco gerado pelo motor de biometria comportamental, permitindo que você adapte sua estratégia de mitigação de bots em tempo real para sessões individuais.

O Futuro é Comportamental

Com o aumento da sofisticação dos bots, nossas defesas precisam evoluir além das regras estáticas. A biometria comportamental oferece uma camada de segurança dinâmica e adaptável que responde diretamente às táticas de emulação humana de bots avançados e persistentes. Não é uma solução mágica – nenhuma medida de segurança é – mas é uma peça crítica do quebra-cabeça para manter a integridade das sessões e se proteger contra ataques furtivos e prolongados.

Meu conselho? Não espere ser atingido por um desses ataques lentos. Comece a explorar a biometria comportamental agora. Converse com os fornecedores, informe-se sobre a tecnologia e considere um projeto piloto. Os bots estão se tornando mais inteligentes, e precisamos ser ainda mais inteligentes para mantê-los afastados.

Pontos a Lembrar

• Avalie sua atual mitigação de bots: Está muito focada em IP, limites de frequência e strings de user agent? Se sim, você está vulnerável a bots que imitam humanos.
• Procure fornecedores de biometria comportamental: Busque soluções projetadas especificamente para detecção de bots e fraudes, não apenas para autenticação de usuários. Os principais jogadores incluem Arkose Labs, DataDome e também algumas ofertas de fornecedores de CDN maiores.
• Planeje um programa piloto: Comece pequeno. Identifique um caminho de alto valor ou alto risco em seu site (e.g., login, compra, configurações de conta) e teste uma solução de biometria comportamental lá.
• Integre com os sistemas existentes: Certifique-se de que toda nova solução possa alimentar dados ou ativar ações em sua orquestração de segurança existente, como seu WAF ou SIEM.
• Eduque sua equipe: Certifique-se de que suas equipes de segurança e desenvolvimento compreendam as sutilezas da detecção comportamental e como ela complementa as defesas tradicionais contra bots.

Permaneça atento e mantenha os bots afastados!

Artigos Relacionados

“`

• Conformidade em Segurança de Bots de IA
• Resposta a Incidentes de Segurança de Bots de IA
• Fortificando o Futuro: Melhores Práticas de Segurança de IA – Um Estudo de Caso Prático na Implementação Empresarial

🕒 Published: April 5, 2026