No cenário digital atual, em que aplicativos e APIs são vitais para as empresas, uma ameaça silenciosa está à espreita: bots adversários sofisticados. Enquanto as medidas de segurança tradicionais se concentram em impedir ataques maliciosos, ameaças automatizadas passam despercebidas ao imitar o comportamento humano e explorar, de maneiras inesperadas, falhas na lógica dos aplicativos.
O relatório recém-publicado pela F5 Labs, Relatório de 2025 sobre Bots Persistentes Avançados, esclarece as táticas em constante evolução dos bots persistentes avançados e os desafios que eles representam. Embora valha a pena ler o relatório completo, apresento aqui três tendências que se destacaram para mim na pesquisa deste ano e o que as empresas podem fazer para se proteger.
1. Preenchimento de credenciais: quando senhas roubadas expõem dados valiosos
Imagine um cenário em que cibercriminosos usam credenciais roubadas facilmente disponíveis para acessar contas de usuários que contêm dados confidenciais. Essa é a realidade do credential stuffing, um ataque comum realizado por bots que explora a prática generalizada de reutilização de senhas. Segundo a F5 Labs, em algumas organizações, mais de 80% do tráfego de login é proveniente de ataques de credential stuffing realizados por bots. O relatório destaca que, mesmo com uma baixa taxa de sucesso de 1% a 3% por campanha de ataque, o enorme volume de logins automatizados resulta em um número significativo de contas comprometidas.
“Embora as medidas de segurança tradicionais se concentrem na prevenção de ataques maliciosos, as ameaças automatizadas passam despercebidas ao imitar o comportamento humano e explorar, de maneiras inesperadas, falhas na lógica das aplicações.”
Incidentes como a violação de dados do PayPal em 2022, na qual quase 35 mil contas de usuários foram acessadas, expondo informações pessoais altamente rentáveis, geram enormes bancos de dados de nomes de usuário e senhas que podem ser usados de forma maliciosa em outros serviços online. Como muitas pessoas reutilizam senhas, mesmo uma pequena taxa de acerto pode produzir resultados significativos. Esses dados podem então ser usados em transações fraudulentas ou no roubo de dados, ou vendidos na dark web para ataques direcionados.
Nos últimos anos, várias marcas conhecidas relataram ataques de preenchimento de credenciais. O declínio da empresa de testes genéticos 23andMe foi atribuído, em parte, a uma campanha de preenchimento de credenciais que expôs informações de saúde e ancestralidade dos clientes. Os dados foram encontrados à venda na dark web por US$ 1.000 para 100 perfis, chegando a US$ 100.000 para 100.000 perfis.
A empresa apontou como principal falha a baixa adesão dos clientes à opção de autenticação multifator (MFA) do site. No entanto, a natureza insidiosa do preenchimento de credenciais está justamente em sua capacidade de contornar as medidas de segurança tradicionais. Como os bots usam credenciais legítimas e não tentam explorar vulnerabilidades, eles não acionam os alertas convencionais. A MFA pode ajudar, mas, devido ao aumento dos proxies de phishing em tempo real (RTPP), não é infalível. As organizações precisam implementar soluções inteligentes de detecção de bots que analisem padrões de login, impressões digitais de dispositivos e anomalias comportamentais para identificar o que realmente está acontecendo.
2. Setor de hospitalidade sob ataque: bots de cartões-presente e o avanço do "carding"
Embora os setores financeiro e varejista sejam frequentemente considerados os principais alvos de ataques cibernéticos, uma pesquisa da F5 Labs mostrou que o setor de hospitalidade é fortemente visado por atividades de bots maliciosos. Em particular, constatou-se que bots de "carding" e de cartões-presente têm como alvo sites e APIs do setor de hospitalidade, e algumas organizações registraram um aumento de 300% na atividade de bots maliciosos em comparação com o ano passado. O relatório também observa que o valor médio dos cartões-presente visados por bots está aumentando.
O carding usa bots para validar números de cartões de crédito roubados, testando-os rapidamente em páginas de checkout e APIs. Bots de cartões-presente exploram programas de fidelidade e sistemas de cartões-presente. Os invasores os utilizam para consultar saldos, transferir pontos ou resgatar recompensas ilegalmente. Esses bots costumam explorar vulnerabilidades como padrões simples e IDs sequenciais de cartões-presente.
A vulnerabilidade do setor de hospitalidade decorre do fato de que pontos de fidelidade e cartões-presente são, em essência, moedas digitais. Os cibercriminosos podem facilmente converter esses ativos em dinheiro ou usá-los para comprar produtos e serviços.
Para se proteger, as empresas do setor de hospitalidade devem implementar estratégias robustas de detecção e mitigação de bots, especificamente adaptadas para enfrentar esses tipos de ameaça. Isso inclui monitorar a atividade de cartões-presente, analisar padrões de transações e implementar soluções capazes de diferenciar humanos de bots. Os CAPTCHAs, que já foram a principal solução para bloquear bots, vêm sendo facilmente contornados por operadores de bots há anos — como veremos a seguir.
3. Burlando os guardiões: proxies residenciais e a ineficácia dos CAPTCHAs
As defesas tradicionais contra bots, como CAPTCHAs e bloqueio de IP, estão se mostrando ineficazes diante de táticas de evasão cada vez mais sofisticadas. Os operadores de bots podem facilmente terceirizar a resolução de CAPTCHAs para fazendas de cliques compostas por pessoas que recebem pequenas quantias para resolver desafios sob demanda.
Além disso, o crescimento das redes de proxies residenciais é um fator significativo. Essas redes direcionam o tráfego de bots por meio de IPs residenciais usando dispositivos comprometidos, ocultando os verdadeiros endereços IP dos bots. O relatório da F5 Labs indica que os proxies residenciais são agora amplamente utilizados por operadores de bots e que a maior parte do tráfego de bots parece se originar dessas redes.
A fornecedora de soluções de gerenciamento de identidade Okta destacou o papel da ampla disponibilidade de serviços de proxy residencial no aumento dos ataques de preenchimento de credenciais contra seus usuários no ano passado. A empresa afirmou que milhões de solicitações falsas foram encaminhadas por proxies residenciais para que parecessem ter origem em dispositivos móveis e navegadores de usuários comuns, em vez de faixas de endereços IP de provedores de servidores privados virtuais (VPS).
Para combater com eficácia essas técnicas avançadas de evasão, as organizações precisam ir além das defesas tradicionais e adotar soluções inteligentes contra bots. Essas soluções utilizam aprendizado de máquina e análise comportamental para identificar bots com base em suas características específicas. Ao se concentrarem em comportamentos semelhantes aos humanos, em vez de dependerem de endereços IP ou CAPTCHAs, as organizações podem detectar e bloquear ataques sofisticados de bots com maior precisão.
Navegando pelo cenário de riscos: encontre o equilíbrio ideal para sua defesa contra bots
Em última análise, o nível de proteção contra bots implementado por uma organização depende de sua tolerância ao risco. Cada empresa deve ponderar os possíveis custos e benefícios das diferentes estratégias de mitigação e determinar o nível de risco que está disposta a aceitar.
Eliminar completamente todo o tráfego de bots pode não ser viável — nem mesmo desejável —, pois algumas atividades automatizadas são legítimas e benéficas. No entanto, não combater a atividade de bots mal-intencionados pode resultar em perdas financeiras significativas, danos à reputação e frustração dos clientes.
O segredo é encontrar o equilíbrio certo. Ao compreender os diferentes tipos de bots que têm sua organização como alvo, avaliar o possível impacto de suas atividades e implementar medidas adequadas de detecção e mitigação, você pode gerenciar com eficácia os riscos associados a bots e proteger sua empresa — e seus clientes — contra ameaças persistentes avançadas de bots.
Para saber mais, leia o relatório completo aqui. Visite também nossa página do F5 Distributed Cloud Bot Defense.
Sobre o autor
Publicações relacionadas no blog
Entrega e proteção de agentes de IA em fábricas de IA: F5 para a arquitetura de referência NVIDIA OpenShell para agentes de IA seguros
As soluções da F5 ampliam a Arquitetura de Referência NVIDIA OpenShell para agentes de IA seguros.
Como medir – e minimizar – o custo total de propriedade do seu Kubernetes
O Kubernetes pode ser baixado e executado gratuitamente, mas sua manutenção está longe de não ter custos. Assim como outras grandes plataformas de código aberto que são “gratuitas” apenas em um sentido simplista, o Kubernetes quase certamente exigirá investimentos para ser implantado e operado.
As-Code: a pilha de TI contínua
Infraestrutura, configuração, pipeline, operações. De repente, tudo é “como código”. Lori MacVittie busca esclarecer a terminologia e identificar os diferentes componentes de uma stack contínua de TI.
O estado da entrega de aplicações em 2017: automação, APIs e DevOps
Explore o relatório State of Application Delivery de 2017. Leia o blog retrospectivo da F5 sobre o início da ascensão das redes declarativas e dos pipelines de DevOps.
DevOps Summit: onde a rede foi convidada para a festa
No DevOps Summit NY, falou-se muito não apenas sobre DevOps, mas também sobre contêineres, IoT e microsserviços. As sessões se concentraram não só na mudança cultural necessária para crescer em escala com uma abordagem DevOps, mas também fizeram questão de incluir...
F5 e Nutanix convergem em infraestrutura no .NEXT
Aplicações empresariais como Microsoft SharePoint e Exchange, juntamente com a VDI, continuam sendo a espinha dorsal da sua empresa. A produtividade, embora não seja tão atraente quanto o lucro, é um fator essencial para o sucesso das operações empresariais atuais. Deixar de...