Meu aviso de março de 2026: Bots disfarçados de usuários reais

Olá a todos, Pat Reeves aqui, de volta ao botsec.net. Hoje é 20 de março de 2026, e estou lutando com algo que me impede de dormir, especialmente com a evolução dos bots. Esqueça o seu DDoS básico. Estamos falando de uma ameaça muito mais insidiosa: bots que se disfarçam de usuários legítimos, não apenas por um momento, mas por longos períodos, exfiltrando lentamente dados ou se preparando para ataques maiores. E as defesas tradicionais? Elas começam a parecer uma peneira.

Hoje, quero falar sobre algo que frequentemente é negligenciado no grande esquema da segurança dos bots, mas que acredito estar se tornando cada vez mais a nossa primeira linha de defesa contra esses bots persistentes avançados: a biometria comportamental para a integridade das sessões.

A ameaça invisível: bots que não acionam alarmes

Durante anos, a mitigação de bots se concentrou na reputação de IP, limitação de taxa, CAPTCHA e detecção baseada em assinaturas. E não se engane, essas ferramentas ainda são vitais. Mas os bots sofisticados de hoje? Eles não se contentam em rodar IPs; eles utilizam proxies residenciais, imitam os movimentos do mouse e as digitadas humanas, e até resolvem CAPTCHAs com assistência humana (ou uma IA avançada que faz isso). Eles não bombardeiam seu site com 10.000 requisições por segundo a partir de um único IP. Em vez disso, poderiam fazer 5 requisições em uma hora, imitando perfeitamente um comportamento de navegação humana, e então desaparecer, voltando algumas horas depois. Eles são lentos, são deliberados, e são projetados para se misturar ao ambiente.

Eu vi isso com meus próprios olhos há alguns meses enquanto consultava um site de e-commerce de médio porte. Eles observaram um leve, mas constante, aumento nos carrinhos abandonados por aquilo que parecia ser usuários legítimos. Ao aprofundar a investigação, descobrimos que esses “usuários” se conectavam, navegavam por alguns itens, os adicionavam a um carrinho e então… saíam. Nenhuma compra. Mas o estranho era o padrão: sempre as mesmas categorias de produtos, sempre a partir de IPs diferentes (mas aparentemente residenciais), e sempre após uma sessão de navegação muito específica e curta. Parecia um verdadeiro “vitral”. Até que correlacionamos isso com seu sistema de gestão de estoque. Itens eram adicionados aos carrinhos, mantendo-os efetivamente, e depois liberados. Era um negação de serviço inventário lenta e deliberada, projetada para fazer com que os itens populares parecessem estar fora de estoque para compradores reais, os empurrando para sites concorrentes. A detecção tradicional de bots quase não registrou essas sessões. Por quê? Porque os bots se comportavam como humanos, apenas um pouco… deslocados.

Por que a detecção tradicional de bots falha contra bots avançados persistentes

Pense nisso. A maioria dos sistemas de detecção de bots procura por anomalias que gritam “robô.”

• Velocidade de requisições: Muitas requisições muito rápido.
• Reputação de IP: IPs conhecidos por serem ruins ou data centers.
• Strings de agente do usuário: Assinaturas de bots óbvias.
• Taxa de falha de CAPTCHA: Bots têm dificuldade com testes visuais (às vezes).

Mas e se o bot:

• Usar um IP residencial limpo?
• Fazer requisições em intervalos semelhantes aos humanos?
• Ter um agente do usuário de navegador perfeitamente legítimo?
• Navegar com sucesso em formulários e até resolver CAPTCHA?

É aí que a biometria comportamental entra em jogo. Não se trata do que o bot é, mas de como ele age.

Biometria comportamental: a digital única de um humano

A biometria comportamental analisa as formas únicas como um humano interage com uma interface digital. Não se trata apenas de autenticação inicial; trata-se de autenticação contínua ao longo de uma sessão. É o equivalente digital de observar alguém entrar em uma loja, olhar, pegar um item e pagar. Você não simplesmente verifica a identidade deles na porta; você observa seu comportamento em busca de qualquer coisa suspeita.

De que tipo de comportamentos estamos falando?

• Movimentos do mouse: A velocidade, a aceleração, a desaceleração, a curvatura do caminho e a pressão aplicada (se disponível). Humanos não se movem em linhas perfeitamente retas, e há um tremor natural. Bots muitas vezes têm movimentos anormalmente fluidos ou abruptos.
• Dinamicas de digitação: O ritmo, a velocidade e a pressão da digitação. O tempo entre pressionar uma tecla e soltar, e o tempo entre pressionar teclas sucessivas. Humanos têm padrões de digitação únicos.
• Gestos em tela sensível ao toque: Deslizamentos, pinçadas, toques – sua velocidade, duração e precisão.
• Padrões de rolagem: Como um usuário rola por uma página – fluido em comparação a abrupto, velocidade e frequência das pausas.
• Características do navegador e do dispositivo: Não apenas o agente do usuário, mas também os tempos internos, a renderização de fontes, as capacidades de hardware e até níveis de bateria. Essas diferenças sutis podem frequentemente revelar ambientes de emulação.

A beleza disso é que cria um perfil em constante evolução para cada usuário. Quando uma nova sessão começa, o sistema começa a construir um perfil comportamental. Se esse perfil divergir de maneira significativa do que é esperado para um humano, ou mesmo do perfil conhecido de um usuário específico, isso é sinalizado.

Como isso funciona (simplificado para bots)

Imagine que seu site tenha um trecho de JavaScript funcionando em segundo plano. Esse trecho coleta pontos de dados como:

• mousemove eventos: coordenadas X/Y, carimbo de data/hora, velocidade.
• keydown e keyup eventos: Código da tecla, carimbo de data/hora.
• scroll eventos: Deslocamento delta, carimbo de data/hora.

Esses dados brutos são então enviados para um sistema backend (geralmente um modelo IA/ML) que analisa esses padrões. Ele constrói uma linha de base para o comportamento “humano” e depois compara os dados recebidos com isso. Para usuários autenticados, ele pode até comparar com seu comportamento passado.

Vamos ver um exemplo muito simplificado do que isso poderia capturar (não é um código de produção real, mas ilustrativo):

// JavaScript simplificado para capturar movimento do mouse
let mouseMovements = [];
let lastTimestamp = Date.now();

document.addEventListener('mousemove', (event) => {
 const currentTimestamp = Date.now();
 const deltaTime = currentTimestamp - lastTimestamp;
 
 // Calcular a velocidade (simplificado para ilustração)
 if (mouseMovements.length > 0) {
 const lastMove = mouseMovements[mouseMovements.length - 1];
 const dx = event.clientX - lastMove.x;
 const dy = event.clientY - lastMove.y;
 const distance = Math.sqrt(dx*dx + dy*dy);
 const speed = distance / deltaTime; // pixels por milissegundo
 
 mouseMovements.push({
 x: event.clientX,
 y: event.clientY,
 timestamp: currentTimestamp,
 speed: speed
 });
 } else {
 mouseMovements.push({
 x: event.clientX,
 y: event.clientY,
 timestamp: currentTimestamp,
 speed: 0 
 });
 }
 lastTimestamp = currentTimestamp;

 // Em um sistema real, você agruparia e enviaria esses dados ao servidor
 // não a cada movimento, mas talvez a cada poucos segundos ou em certos eventos.
});

// Exemplo de envio de dados (novamente, muito simplificado)
setInterval(() => {
 if (mouseMovements.length > 0) {
 // Enviar os dados de mouseMovements para o seu backend para análise
 console.log("Enviando dados de movimento do mouse:", mouseMovements.length, "eventos");
 mouseMovements = []; // Limpar para o próximo lote
 }
}, 5000); // Enviar a cada 5 segundos

O backend recebe então esse fluxo de dados. Um bot poderia mostrar movimentos de mouse que são linearmente perfeitos demais, ou sempre se mover a uma velocidade constante, ou saltar diretamente para campos de formulários sem os movimentos exploratórios naturais de um humano. Esses são os “sinais” que a detecção tradicional baseada em IP falha em identificar.

Implementando a biometria comportamental: não é tão assustador quanto parece

Você não precisa construir um modelo de aprendizado de máquina do zero. Existem fornecedores especializados nessa área. Meu conselho: comece com um proof-of-concept.

1. Escolha um fornecedor: Pesquise prestadores que se especializam em biometria comportamental para a detecção de fraude e bots. Peça estudos de caso especificamente relacionados a bots avançados.
2. Teste em uma página de baixo risco: Não implante imediatamente em todo o site. Comece com uma página menos crítica, como uma página de detalhes de produto, e colete dados.
3. Integre os dados: A maioria das soluções fornece um SDK JavaScript. Você integra este script, e ele gerencia a coleta de dados e os envia ao serviço deles.
4. Observe e ajuste: Trabalhe com o fornecedor para entender as informações. Examine os “scores de risco” gerados para as sessões. Identifique quais comportamentos estão sendo sinalizados.
5. Aplicação progressiva: Uma vez que você esteja confiante, pode começar a aplicar políticas. Para scores de risco elevados, você pode injetar um CAPTCHA, acionar um desafio MFA, ou até mesmo bloquear a sessão. Para um risco médio, você pode apenas registrá-lo e monitorar de perto.

Aqui está um exemplo conceitual de política backend:

// Exemplo Python Flask de um ponto de término de avaliação de riscos simplificado
from flask import Flask, request, jsonify
# Suponha que 'behavioral_biometrics_service' seja um SDK/client para seu fornecedor
# Ele receberia dados comportamentais brutos e retornaria um score de risco.
from my_biometrics_sdk import analyze_session_behavior 

app = Flask(__name__)

@app.route('/api/analyze_behavior', methods=['POST'])
def analyze_behavior_data():
 session_id = request.json.get('session_id')
 behavior_data = request.json.get('behavior_data') # Isto seria dados agregados de mouse/teclado/scroll

 if not session_id or not behavior_data:
 return jsonify({"error": "session_id ou behavior_data ausente"}), 400

 # Chame seu serviço/modelo de biometria comportamental
 risk_score = analyze_session_behavior(session_id, behavior_data)

 action_to_take = "monitorar"
 if risk_score > 0.8: # Limite de risco elevado
 action_to_take = "bloquear"
 elif risk_score > 0.5: # Limite de risco médio
 action_to_take = "desafiar" # ex: re-autenticar, CAPTCHA

 print(f"Sessão {session_id}: Score de Risco = {risk_score}, Ação = {action_to_take}")
 
 return jsonify({
 "session_id": session_id,
 "risk_score": risk_score,
 "action": action_to_take
 })

if __name__ == '__main__':
 app.run(debug=True)

Este backend reagiria ao score de risco gerado pelo motor de biometria comportamental, permitindo que você ajuste sua estratégia de mitigação de bots em tempo real para sessões individuais.

O Futuro é Comportamental

À medida que a sofisticação dos bots aumenta, nossas defesas devem evoluir além de regras estáticas. A biometria comportamental oferece uma camada de segurança dinâmica e adaptável que responde diretamente às táticas de emulação humana dos bots avançados e persistentes. Não é uma solução milagrosa – nenhuma medida de segurança é – mas é uma peça crítica do quebra-cabeça para manter a integridade das sessões e se proteger contra ataques furtivos e prolongados.

Meu conselho? Não espere ser afetado por um desses ataques lentos. Comece a explorar a biometria comportamental agora. Converse com os fornecedores, informe-se sobre a tecnologia e considere um projeto piloto. Os bots estão se tornando mais inteligentes, e precisamos ser ainda mais inteligentes para mantê-los afastados.

Pontos a Lembrar

• Avalie sua mitigação atual de bots: Está focando demais em IP, limites de taxa e cadeias de agente do usuário? Se sim, você está vulnerável a bots que imitam humanos.
• Pesquise fornecedores de biometria comportamental: Procure soluções projetadas especificamente para a detecção de bots e fraude, não apenas a autenticação de usuários. Os principais players incluem Arkose Labs, DataDome e até algumas ofertas de fornecedores CDN maiores.
• Planeje um programa piloto: Comece pequeno. Identifique um caminho de alto valor ou risco em seu site (ex: login, pedido, configurações de conta) e teste uma solução de biometria comportamental lá.
• Integre com os sistemas existentes: Certifique-se de que qualquer nova solução possa alimentar dados ou acionar ações em sua orquestração de segurança existente, como seu WAF ou SIEM.
• Eduque sua equipe: Certifique-se de que suas equipes de segurança e desenvolvimento entendam as sutilezas da detecção comportamental e como ela complementa as defesas tradicionais contra bots.

Mantenha-se alerta e mantenha esses bots afastados!

Artigos Relacionados

• Conformidade em Segurança de Bots de IA
• Resposta a Incidentes de Segurança de Bots de IA
• Fortificação do Futuro: Melhores Práticas de Segurança de IA – Um Estudo de Caso Prático em Implementação Empresarial

🕒 Published: March 31, 2026