Roubo de conta (ATO)

O roubo de conta começa quando o invasor obtém credenciais válidas. A fonte mais comum é um vazamento de dados: pares de usuário e senha vazados de um serviço são reutilizados contra muitos outros, explorando o fato de que as pessoas reutilizam senhas. Os invasores também coletam credenciais por meio de páginas de phishing, malwares infostealer que extraem senhas salvas no navegador e engenharia social do processo de recuperação de conta.

De posse das credenciais, o invasor automatiza tentativas de login em larga escala. Ferramentas de credential stuffing percorrem milhões de pares, muitas vezes distribuídos por grandes pools de proxies residenciais, de modo que nenhum endereço IP isolado apresente uma taxa de login anormal. Quando um login é bem-sucedido, a sessão é usada imediatamente ou a credencial que funciona é revendida. Para derrotar a autenticação multifator, os invasores podem interceptar códigos de uso único por meio de SIM swap, proxies de phishing em tempo real ou bombardeio de solicitações para provocar fadiga de MFA.

Uma vez lá dentro, o invasor age rápido para monetizar o acesso antes que o dono real perceba. Ações típicas incluem esvaziar saldos e pontos de fidelidade armazenados, alterar o e-mail e a senha cadastrados para trancar o dono do lado de fora, adicionar novos beneficiários de pagamento, fazer pedidos para um endereço de entrega controlado ou usar a conta confiável como trampolim para novos golpes de phishing. O histórico e a reputação da conta comprometida fazem essas ações parecerem legítimas para os sistemas seguintes.

Campanhas sofisticadas de ATO tentam imitar o comportamento normal da vítima para permanecer abaixo dos limiares de detecção, correspondendo ao tipo de dispositivo habitual, à localização aproximada e aos horários de login usuais. É por isso que regras estáticas sozinhas têm dificuldade: as credenciais estão corretas e cada ação individual pode parecer plausível.