Meu ponto de vista de março de 2026: Bots que se passam por usuários reais

Olá a todos, Pat Reeves aqui, de volta ao botsec.net. É 20 de março de 2026 e estou lutando com algo que me mantém acordado à noite, especialmente pelo modo como os bots estão evoluindo. Esqueçam os clássicos DDoS. Estamos falando de uma ameaça muito mais insidiosa: bots disfarçados de usuários legítimos, não apenas por um momento, mas por períodos prolongados, exfiltrando lentamente dados ou preparando o terreno para ataques maiores. E as defesas tradicionais? Elas estão começando a parecer um colapso.

Hoje quero falar sobre algo que é frequentemente negligenciado no grande esquema da segurança dos bots, mas que acredito cada vez mais que pertence à nossa defesa de primeira linha contra esses bots avançados e persistentes: biometria comportamental para a integridade da sessão.

A Ameaça Invisível: Bots Que Não Ativam Os Alarmes

Por anos, a mitigação de bots envolveu reputação de IP, limite de taxa, CAPTCHAs e detecção baseada em assinatura. E não me entendam mal, essas ferramentas ainda são vitais. Mas os bots sofisticados de hoje? Eles não estão apenas mudando endereços IP; estão usando proxies residenciais, emulando movimentos de mouse e pressionamentos de teclas humanos, e até mesmo resolvendo CAPTCHAs com assistência humana (ou inteligência artificial avançada que os contorna). Eles não atacam seu site com 10.000 solicitações por segundo de um único IP. Em vez disso, eles podem fazer 5 solicitações em uma hora, imitando perfeitamente o comportamento de um humano enquanto navega, para depois desaparecer, apenas para reaparecer algumas horas depois. Eles são lentos, são deliberados, e são projetados para se misturar.

Eu vi isso pessoalmente alguns meses atrás enquanto consultava um site de comércio eletrônico de médio porte. Eles estavam vendo um leve, mas constante, aumento nos carrinhos abandonados que pareciam ser de usuários legítimos. Aprofundando, descobrimos que esses “usuários” estavam se registrando, navegando por alguns itens, adicionando-os a um carrinho, para depois simplesmente… ir embora. Nenhuma compra. Mas o que era estranho era o padrão: sempre as mesmas categorias de produtos, sempre de diferentes (mas aparentemente residenciais) IPs, e sempre após uma sessão de navegação muito específica e curta. Parecia apenas compras de janela legítimas. Até que o correlacionamos com seu sistema de gerenciamento de inventário. Os itens estavam sendo adicionados aos carrinhos, mantendo-os de fato bloqueados, para depois serem liberados. Este era um ataque lento e deliberado de negação de serviço no inventário, projetado para fazer parecer que os itens populares estavam esgotados para os verdadeiros compradores, empurrando-os para os sites dos concorrentes. A detecção tradicional de bots não sinalizou quase nenhuma dessas sessões. Por quê? Porque os bots se comportavam como humanos, apenas levemente… estranhos.

Por Que a Detecção Tradicional de Bots Falha Contra Bots Avançados e Persistentes

Pense nisso. A maioria dos sistemas de detecção de bots procura anomalias que gritam “robô.”

• Velocidade das solicitações: Muitas solicitações muito rapidamente.
• Reputação de IP: IPs conhecidos como maliciosos ou de centros de dados.
• Cadeias de user-agent: Assinaturas óbvias de bots.
• Taxas de falha em CAPTCHA: Os bots têm dificuldade com testes visuais (às vezes).

Mas e se o bot:

• Usar um IP residencial limpo?
• Fizer solicitações em intervalos semelhantes aos humanos?
• Tiver um user-agent de navegador perfeitamente legítimo?
• Navegar com sucesso nos formulários e até resolver os CAPTCHAs?

É aqui que entra em cena a biometria comportamental. Não se trata de o que o bot é, mas de como comporta.

Biometria Comportamental: A Impressão Digital de um Humano

A biometria comportamental analisa as maneiras únicas como um humano interage com uma interface digital. Não se trata apenas de autenticação inicial; trata-se da autenticação contínua durante uma sessão. É o equivalente digital de observar alguém entrar em uma loja, folhear, pegar um item e pagar. Você não verifica apenas a identidade deles na porta; observa seu comportamento para qualquer coisa suspeita.

De que tipo de comportamentos estamos falando?

• Movimentos do mouse: A velocidade, a aceleração, a desaceleração, a curvatura do caminho e a pressão aplicada (se disponível). Os seres humanos não se movem em linhas perfeitamente retas, e há um tremor natural. Os bots muitas vezes têm movimentos artificialmente fluidos ou bruscos.
• Dinamica das teclas: O ritmo, a velocidade e a pressão da digitação. O tempo entre a pressão e a liberação de uma tecla e o tempo entre a pressão de teclas sucessivas. Os seres humanos têm padrões de digitação únicos.
• Gestos de toque: Deslizamentos, pinças, toques – sua velocidade, duração e precisão.
• Padrões de rolagem: Como um usuário rola por uma página – fluido vs. brusco, velocidade e quantas vezes para.
• Características do navegador e do dispositivo: Não apenas o user-agent, mas também os tempos internos, a renderização de caracteres, as capacidades de hardware e até mesmo os níveis de bateria. Essas pequenas diferenças podem muitas vezes revelar ambientes emulados.

A beleza disso é que cria um perfil em constante evolução para cada usuário. Quando uma nova sessão começa, o sistema começa a construir um perfil comportamental. Se esse perfil se desviar significativamente do que é esperado para um humano, ou até mesmo do perfil conhecido de um usuário específico, é sinalizado.

Como Funciona (Simplificado para os Bots)

Imagine que seu site tenha um trecho de JavaScript em execução em segundo plano. Esse trecho coleta pontos de dados como:

• mousemove eventos: coordenadas X/Y, timestamp, velocidade.
• keydown e keyup eventos: código da tecla, timestamp.
• scroll eventos: delta de rolagem, timestamp.

Esses dados brutos são então enviados para um sistema backend (geralmente um modelo AI/ML) que analisa esses padrões. Ele constrói uma base para o comportamento “humano” e, em seguida, compara os dados recebidos com isso. Para os usuários autenticados, pode até comparar com seu comportamento passado.

Vamos ver um exemplo muito simplificado do que poderia capturar (não é código de produção real, mas ilustrativo):

// JavaScript simplificado para capturar o movimento do mouse
let mouseMovements = [];
let lastTimestamp = Date.now();

document.addEventListener('mousemove', (event) => {
 const currentTimestamp = Date.now();
 const deltaTime = currentTimestamp - lastTimestamp;
 
 // Calcula a velocidade (simplificado para ilustração)
 if (mouseMovements.length > 0) {
 const lastMove = mouseMovements[mouseMovements.length - 1];
 const dx = event.clientX - lastMove.x;
 const dy = event.clientY - lastMove.y;
 const distance = Math.sqrt(dx*dx + dy*dy);
 const speed = distance / deltaTime; // pixels por milissegundo
 
 mouseMovements.push({
 x: event.clientX,
 y: event.clientY,
 timestamp: currentTimestamp,
 speed: speed
 });
 } else {
 mouseMovements.push({
 x: event.clientX,
 y: event.clientY,
 timestamp: currentTimestamp,
 speed: 0 
 });
 }
 lastTimestamp = currentTimestamp;

 // Em um sistema real, você deveria agrupar e enviar esses dados ao servidor
 // não a cada movimento individual, mas talvez a cada poucos segundos ou em certos eventos.
});

// Exemplo de envio de dados (novamente, muito simplificado)
setInterval(() => {
 if (mouseMovements.length > 0) {
 // Envia os dados de movimento do mouse ao backend para análise
 console.log("Enviando dados de movimento do mouse:", mouseMovements.length, "eventos");
 mouseMovements = []; // Limpa para o próximo lote
 }
}, 5000); // Envia a cada 5 segundos

O backend recebe então esse fluxo de dados. Um bot pode mostrar movimentos do mouse que são muito perfeitamente lineares, ou se mover sempre a uma velocidade constante, ou pular diretamente nos campos do formulário sem os movimentos exploratórios naturais de um humano. Estes são os “sinais” que a detecção tradicional baseada em IP não capta.

Implementando a Biometria Comportamental: Não É Tão Assustador Quanto Parece

Você não precisa construir um modelo de machine learning do zero. Existem fornecedores especializados nesse campo. Meu conselho: comece com uma prova de conceito.

“`html

1. Escolha um fornecedor: Procure fornecedores que se especializam em biometria comportamental para detecção de fraudes e bots. Pergunte sobre estudos de caso especificamente relacionados a bots avançados.
2. Teste em uma página de baixo risco: Não implemente imediatamente em todo o site. Comece com uma página menos crítica, como uma página de detalhes do produto, e colete dados.
3. Integre os dados: A maioria das soluções fornece um SDK JavaScript. Integre este script, que gerenciará a coleta de dados e os enviará ao seu serviço.
4. Observe e refine: Trabalhe com o fornecedor para compreender as percepções. Veja as “pontuações de risco” geradas para as sessões. Identifique quais comportamentos estão sendo sinalizados.
5. Implementação gradual: Assim que se sentir seguro, você pode começar a aplicar políticas. Para pontuações de alto risco, você pode inserir um CAPTCHA, ativar um desafio MFA ou até bloquear a sessão. Para risco médio, você pode simplesmente registrá-lo e monitorá-lo de perto.

A seguir, um exemplo conceitual de política de backend:

// Exemplo de endpoint simplificado de avaliação de risco em Python Flask
from flask import Flask, request, jsonify
# Assume-se que 'behavioral_biometrics_service' seja um SDK/client para seu fornecedor
# Pegaria dados comportamentais brutos e retornaria uma pontuação de risco.
from my_biometrics_sdk import analyze_session_behavior 

app = Flask(__name__)

@app.route('/api/analyze_behavior', methods=['POST'])
def analyze_behavior_data():
 session_id = request.json.get('session_id')
 behavior_data = request.json.get('behavior_data') # Estes seriam dados agregados de mouse/teclado/deslocamento

 if not session_id or not behavior_data:
 return jsonify({"error": "Falta session_id ou behavior_data"}), 400

 # Chama seu serviço/modelos de biometria comportamental
 risk_score = analyze_session_behavior(session_id, behavior_data)

 action_to_take = "monitorar"
 if risk_score > 0.8: # Limite de risco alto
 action_to_take = "bloquear"
 elif risk_score > 0.5: # Limite de risco médio
 action_to_take = "desafiar" # ex. re-autenticação, CAPTCHA

 print(f"Session {session_id}: Risk Score = {risk_score}, Action = {action_to_take}")
 
 return jsonify({
 "session_id": session_id,
 "risk_score": risk_score,
 "action": action_to_take
 })

if __name__ == '__main__':
 app.run(debug=True)

Este backend reagiria à pontuação de risco gerada pelo motor de biometria comportamental, permitindo que você adapte dinamicamente sua estratégia de mitigação de bots em tempo real para sessões individuais.

O Futuro é Comportamental

Com o aumento da sofisticação dos bots, nossas defesas devem evoluir além das regras estáticas. A biometria comportamental oferece uma camada de segurança dinâmica e adaptável que aborda diretamente as táticas de emulação humana dos bots avançados e persistentes. Não é uma solução milagrosa – nenhuma medida de segurança é – mas é uma peça crítica do quebra-cabeça para manter a integridade da sessão e se proteger contra ataques furtivos e de longa duração.

Meu conselho? Não espere ser atacado por um desses ataques lentos. Comece a explorar a biometria comportamental agora. Converse com os fornecedores, informe-se sobre a tecnologia e considere um programa piloto. Os bots estão se tornando mais inteligentes e precisamos ser ainda mais inteligentes para mantê-los afastados.

Dicas Utilizáveis

• Avalie sua mitigação atual de bots: Está muito focada em IPs, limites de taxa e strings de user-agent? Nesse caso, você está vulnerável a bots que emulam humanos.
• Pesquise fornecedores de biometria comportamental: Procure soluções especificamente projetadas para detecção de bots e fraudes, não apenas para autenticação de usuários. Os principais players incluem Arkose Labs, DataDome e até algumas ofertas de fornecedores CDN maiores.
• Planeje um programa piloto: Comece pequeno. Identifique um caminho de alto valor ou alto risco em seu site (ex. login, checkout, configurações de conta) e teste uma solução de biometria comportamental lá.
• Integre com os sistemas existentes: Certifique-se de que qualquer nova solução possa fornecer dados ou acionar ações dentro da sua orquestração de segurança existente, como seu WAF ou SIEM.
• Treine sua equipe: Certifique-se de que suas equipes de segurança e desenvolvimento compreendam as nuances da detecção comportamental e como ela complementa as defesas tradicionais contra bots.

Fique atento por aí e mantenha esses bots afastados!

Artigos Relacionados

“`

• Conformidade de segurança dos bots de IA
• Resposta a incidentes de segurança dos bots de IA
• Fortalecendo o futuro: Melhores práticas de segurança em IA – Um estudo de caso prático na implementação empresarial

🕒 Published: April 5, 2026