Provedores de IA generativa estão reescrevendo as regras do tráfego automatizado – Relatório da F5

• Novo relatório da F5 Labs revela que mais da metade das solicitações de páginas de conteúdo da web agora é automatizada, à medida que se intensifica o uso de rastreadores baseados em LLMs.
• Mais de um terço das tentativas de login no setor de tecnologia são ataques de tomada de controle de contas.
• Os setores de saúde e hotelaria são os mais visados na web; o setor de entretenimento é o mais visado em dispositivos móveis.

SEATTLE – Com o avanço da IA generativa, os bots agora acessam alguns tipos de conteúdo da web mais do que os humanos, segundo uma nova pesquisa da F5.

F5 Labs 2025 Relatório sobre Bots Persistentes Avançados analisa 207 bilhões de transações na web e em APIs realizadas entre novembro de 2023 e setembro de 2024. O relatório examina registros de clientes que já contam com defesas contra bots, demonstrando como os operadores de tráfego automatizado se comportam quando confrontados com contramedidas.

O relatório conclui que 50,04% das solicitações de páginas de Conteúdo¹ vieram de fontes automatizadas, em comparação com 22,3% das solicitações de Pesquisa na web e 21,5% das transações de Adicionar ao carrinho. Isso indica um crescimento significativo no uso de web scrapers por provedores de LLM, como OpenAI, Anthropic e Perplexity, além da persistência desses bots em continuar enviando solicitações mesmo quando bloqueados.

No total, 21,22 bilhões das transações monitoradas (10,2%) vieram de diversas fontes automatizadas, algumas delas benignas, mas 10 bilhões (4,8%) consistiam em tráfego de bots maliciosos.

“Há anos, o tráfego de bots tem como principais alvos os fluxos de pesquisa, bem como as etapas da jornada do usuário em que alguém se cadastra ou faz login para usar um serviço, adiciona um item ao carrinho, finaliza uma compra ou tenta alterar sua senha”, afirmou David Warburton, diretor do F5 Labs. “O enorme aumento da extração de conteúdo, sem dúvida associado à explosão da IA generativa e dos LLMs, ressalta o dinamismo do tráfego de bots e a necessidade de as organizações permanecerem constantemente atentas a mudanças nos padrões de ataque.”

Bots dão uma trégua — mas não para todos

Os padrões e a prevalência do tráfego de bots variaram de acordo com o setor. Os setores mais visados na web foram hotelaria (44,6% do tráfego proveniente de bots), saúde (32,6%) e comércio eletrônico (22,7%).

Em dispositivos móveis, o setor de entretenimento (23%) foi, de longe, o mais visado, bem à frente do e-commerce (4,5%) e dos restaurantes de serviço rápido (QSR) (4,2%).

Diversos setores ainda enfrentam altos níveis de ataques de preenchimento de credenciais, que buscam assumir o controle das contas dos usuários. Na web, mais de um terço das tentativas de login em empresas do setor de tecnologia foram tentativas de invasão de contas (33,5%), à frente do varejo em geral (25,7%) e do setor de jogos (19,6%). Em dispositivos móveis, esses ataques foram mais frequentes contra empresas de entretenimento (24,7%) e provedores de comércio eletrônico (23,8%).

A sofisticação dos ataques também variou de acordo com o setor. A grande maioria do tráfego automatizado direcionado à área da saúde, tanto na web quanto em dispositivos móveis, foi classificada como “básica”. Outros setores registraram níveis relativamente altos de tráfego mais sofisticado, considerado “avançado” — sendo os três principais na web o varejo em geral, os bancos e as companhias aéreas.

Apesar dos altos níveis de tráfego de bots, a maioria dos setores monitorados registrou uma queda na atividade automatizada em comparação com 2023, o que sugere que os controles de bots implementados estavam surtindo o efeito desejado.

As exceções foram o setor de hotelaria na web, que registrou um aumento de 18,3%, e o de restaurantes de serviço rápido (QSR) na web, com alta de 11,2%. Embora tenha apresentado uma proporção de tráfego de bots em dispositivos móveis muito maior do que qualquer outro setor, o setor de entretenimento ainda registrou uma queda de 11,5% em relação a 2023.

“Certos setores são alvos recorrentes de tráfego indesejado de bots”, acrescentou Warburton. “O setor de hotelaria registra volumes elevados porque os agregadores querem extrair dados sobre tarifas e disponibilidade de quartos de hotel, ou porque agentes mal-intencionados tentam roubar pontos de programas de fidelidade. Da mesma forma, os provedores de comércio eletrônico são alvo de revendedores e bots treinados para explorar dados de cupons e cartões-presente.”

Os dados deixam claro que determinados setores se adaptaram ao longo do tempo: segmentos amplamente visados, como companhias aéreas e serviços financeiros, reforçaram suas defesas para impedir invasores menos sofisticados, o que significa que agora precisam lidar com uma proporção maior de tráfego proveniente de agentes mais avançados e altamente persistentes.

Mitigação: uma faca de dois gumes?

O relatório também avaliou o impacto da dissuasão sobre o tráfego de bots, comparando as experiências dos clientes que monitoravam o tráfego automatizado com as daqueles que adotavam medidas para mitigá-lo.

Em dispositivos móveis, a tendência foi clara e esperada. As organizações que mitigavam o tráfego registraram uma proporção significativamente menor de atividade automatizada no tráfego de Pesquisa (0,9%, em comparação com 24,8% entre as que apenas monitoravam), padrão que também se repetiu em Login (5% entre as que mitigavam, em comparação com 21,7% entre as que monitoravam) e Cadastro (2,4%, em comparação com 21,7%).

Na web, a história foi diferente. Na maioria dos fluxos de trabalho, o tráfego automatizado foi maior nas organizações que mitigavam bots ativamente. Esses clientes registraram 20,9% de tráfego automatizado em Pesquisa, contra 14,9% entre os que apenas monitoravam, e o mesmo ocorreu em Adicionar ao carrinho (19,2% contra 18,2%), Finalização da compra (8,6% contra 7,4%) e Recuperação de conta (6,6% contra 4,6%).

“Normalmente, esperaríamos que a mitigação levasse a uma redução no tráfego de bots, à medida que os operadores bloqueados partissem em busca de alvos mais vulneráveis”, afirmou Warburton. “No entanto, hoje existem modelos de negócios inteiros baseados na coleta automatizada de dados, preços e propriedade intelectual: esses operadores não desistirão facilmente ao encontrarem resistência. Um aumento no tráfego pode significar que esses agentes estão se esforçando mais e recorrendo a mais métodos — não necessariamente que estejam tendo sucesso. A tendência observada de forma consistente nesta pesquisa, assim como em toda a nossa experiência na F5, é que a mitigação funciona e que a dissuasão faz a diferença.”

[1] Definido como solicitações de páginas que exibem um produto, item, preço ou serviço. “Conteúdo” foi um dos 17 fluxos avaliados no relatório, juntamente com outros como: “Pesquisa”, “Adicionar ao carrinho”, “Cotações” (para seguros etc.), “Cadastro”, “Transação”, “Login”, “Gerenciamento de conta”, “Avaliações” e “Finalização da compra”.

Sobre a F5

A F5 é uma empresa de segurança e entrega de aplicações multinuvem comprometida em tornar realidade um mundo digital melhor. A F5 trabalha em parceria com as maiores e mais avançadas organizações do mundo para proteger todas as aplicações — no local, na nuvem ou na borda. A F5 permite que as empresas se mantenham continuamente à frente das ameaças, ao mesmo tempo que oferecem experiências digitais excepcionais e seguras aos seus clientes. Para mais informações, acesse f5.com. (NASDAQ: FFIV)

Você também pode seguir @F5 no X ou nos visitar no LinkedIn e no Facebook para saber mais sobre a F5, seus parceiros e suas tecnologias.

F5 é uma marca comercial, marca de serviço ou nome comercial da F5, Inc. nos EUA e em outros países. Todos os demais nomes de produtos e empresas aqui mencionados podem ser marcas comerciais de seus respectivos proprietários.

###

Este comunicado à imprensa pode conter declarações prospectivas relacionadas a eventos futuros ou ao desempenho financeiro futuro que envolvem riscos e incertezas. Tais declarações podem ser identificadas por termos como "pode", "irá", "deveria", "espera", "planeja", "prevê", "acredita", "estima", "prediz", "potencial" ou "continuar", bem como pela forma negativa desses termos ou por termos equivalentes. Essas declarações são apenas previsões, e os resultados reais podem diferir substancialmente dos previstos nessas declarações em razão de diversos fatores, incluindo aqueles identificados nos documentos apresentados pela empresa à SEC.