Account takeover

O que é um account takeover

Um account takeover é a tomada de controle de uma conta existente por um terceiro, que a partir desse momento opera com as permissões do titular.

A conta já estava verificada. A pessoa já era cliente. Todo o trabalho de estabelecer quem era essa pessoa foi feito na época e deu certo. O que falhou depois foi o controle de acesso, que é uma camada distinta e se defende com controles distintos.

Por isso a comparação útil não é com a fraude no cadastro. Em uma roubo de identidade a organização erra ao decidir quem é alguém. Em um account takeover a organização acertou, e depois perdeu a conta.

O termo nomeia o estado final, não a técnica. Por isso "detectar account takeover" não descreve um controle concreto até que se diga por qual rota ele chegou.

Account takeover é um resultado, não um método

Esta é a distinção que organiza todo o resto, e é a que costuma faltar quando uma equipe tenta cobri-lo com uma única medida. Ninguém executa "um account takeover". Executa um ataque que termina em um.

• Phishing e smishing — o titular entrega a credencial e o segundo fator sob engano, em tempo real. O acesso chega com uma autenticação tecnicamente correta.
• Credential stuffing — a credencial já tinha vazado em outro serviço e funcionava aqui porque a pessoa a reutilizou. Não houve engano nem intrusão.
• SIM swapping — o atacante se apropria da linha telefônica e, com ela, do canal de recuperação. Não precisa da senha: pede uma nova.

Há uma quarta rota que cresce com a biometria: a recuperação de acesso resolvida com um rosto. Quando uma conta é recuperada comparando o rosto de quem reclama com o do cadastro, o vetor é um deepfake, não uma senha.

Há duas rotas a mais que aparecem com frequência e que convém ter no mapa: a engenharia social contra o canal de atendimento, em que o atacante convence alguém da equipe a restabelecer o acesso, e o programa malicioso no dispositivo do titular, que captura a sessão já autenticada.

A consequência operacional é direta. Um controle que cobre uma rota não cobre as outras. Trocar o segundo fator por um atrelado ao domínio resolve o phishing e não diz nada sobre o SIM swapping. Endurecer a recuperação de conta resolve o SIM swapping e não toca no credential stuffing. A defesa se monta por rota, e depois se acrescenta uma camada que valha para as três, que é a que olha o que acontece depois do acesso.

Não é o mesmo que a fraude no cadastro

Os dois terminam com um atacante operando uma conta, e param em momentos diferentes do percurso.

• Account takeover — a conta existe, tem um titular real e um histórico legítimo. O atacante herda essa reputação, que é justamente o que a torna valiosa.
• Fraude no cadastro — a conta é aberta do zero com uma identidade falsificada ou com uma identidade sintética. Não há vítima com acesso prévio nem histórico a herdar.

A distinção define onde colocar o controle. A fraude no cadastro se combate na verificação de identidade. O account takeover se combate na autenticação e nos sinais da sessão, porque o cadastro já aconteceu e foi bem-feito.

Como o ataque corre, passo a passo

Os passos 1 a 3 variam conforme a rota. Do 4 em diante a sequência é a mesma, e é aí que está a oportunidade de detecção.

1. Obter o acesso. Por qualquer uma das rotas anteriores.
2. Estabelecer a sessão. A partir de um dispositivo novo, muitas vezes de outra região, em um horário que não corresponde ao padrão do titular.
3. Reconhecer a conta. O atacante olha antes de mover: saldo, limites, destinatários já cadastrados, meios de pagamento salvos, dados de contato, histórico. É um trecho só de leitura e costuma durar pouco.
4. Deslocar o titular. Troca do e-mail, do telefone ou dos fatores registrados. É o passo que converte o acesso em controle, porque a partir daí a pessoa legítima perde seu canal de recuperação e deixa de receber os avisos.
5. Executar. Transferência, cadastro de um destinatário, resgate de pontos, compra com o meio de pagamento salvo, ou simplesmente a revenda do acesso.
6. Persistir. Sessões adicionais abertas, dispositivos registrados como confiáveis, regras de encaminhamento no e-mail. O objetivo é sobreviver à primeira tentativa de recuperação do titular.
7. O titular reclama. Quase sempre depois da operação, e quase sempre por um canal que já não reconhece seus dados de contato.

O passo 4 é o mais importante da sequência por dois motivos. É o que torna o problema irreversível para a vítima, e é o mais detectável de todos, porque uma troca de dados de contato seguida de uma operação sensível é um padrão que quase nenhum titular legítimo produz.

Onde aparece em uma jornada de identidade

• Acesso — o momento em que se valida quem está voltando.
• Recuperação de acesso — o fluxo mais exposto, porque existe justamente para deixar entrar alguém que perdeu seus fatores.
• Troca de dados de contato — o passo que consolida o controle: quando o e-mail ou o telefone mudam, o titular deixa de receber os avisos.
• Operação de valor — transferência, cadastro de um destinatário, mudança de limites. É onde o controle tomado se converte em perda.

O passo de troca de dados de contato é o que separa uma tentativa de um takeover consumado, e é o que mais vezes fica sem um controle próprio.

A quem afeta e quanto custa

O custo tem três camadas e só a primeira aparece no relatório de fraude.

• Serviços financeiros — transferências, cadastros de destinatários e tomadas de crédito sobre contas legítimas. É o caso de maior perda direta e de maior exposição perante o regulador.
• Varejo e comércio eletrônico — compras com meios de pagamento salvos e troca de endereço de entrega. A detecção costuma acontecer na logística, não no acesso.
• Apostas e gaming — consumo de saldo e revenda de contas já verificadas, que valem mais justamente por estarem verificadas.
• Programas de pontos e fidelidade — o alvo mais subestimado. Os pontos são conversíveis, quase ninguém olha o saldo e a maioria dos programas tem controles mais fracos que a conta principal da mesma empresa.
• Corporativo — a conta de um funcionário como ponto de entrada para sistemas internos.

As outras duas camadas são o custo de gestão, que inclui a investigação, a reversão, o atendimento da reclamação e a reposição do acesso, e o custo de relacionamento, que é o que dura: a pessoa sabe que perdeu sua conta nessa plataforma e não em outra.

Quais controles o detêm

Os controles se ordenam por momento, e nenhuma categoria de produto cobre os quatro. Nomeá-los por completo, incluindo os que se compram em outro lugar, é o que torna a lista acionável.

Antes do acesso, e depende da rota.

• Fatores atrelados ao domínio, como passkeys ou credenciais FIDO2 — contra a rota de phishing.
• Limitação de taxa na borda e gestão de bots — contra a rota de credential stuffing. Compram-se de fabricantes de infraestrutura e de segurança web.
• Fatores que não dependem da linha telefônica — contra a rota de SIM swapping.
• Procedimento verificável no canal de atendimento — contra a engenharia social à equipe de suporte. É processo e capacitação antes de ser produto.

Durante a sessão.

• Reputação do dispositivo — dispositivo nunca visto, ou visto antes em outras contas sem relação.
• Biometria comportamental — ritmo de digitação, uso do ponteiro, forma de navegar. É uma categoria de produto própria e não é qualquer fornecedor de identidade que a oferece.
• Coerência de contexto — geolocalização incompatível com a sessão anterior, horário fora do padrão, salto de rede.
• Pontuação de risco de sessão — a combinação do anterior em uma decisão, em vez de alertas soltos.

No momento da troca e da operação.

• Escalonamento com um fator não ditável diante de uma operação sensível — voltar a pedir presença na transferência, não só no acesso.
• Confirmação fora de banda com o detalhe da operação — que o que se aprova mostre valor e destino, e não diga só "autorizar".
• Notificação ao canal anterior, não ao novo — avisar da troca de e-mail ou de telefone aos dados que estavam registrados antes. É um dos poucos avisos que a vítima consegue ver a tempo.
• Período de resfriamento após uma troca de fator ou de contato — uma demora antes de habilitar operações sensíveis. Custa pouco e quebra o passo 4.
• Reverificação de identidade na recuperação de conta — voltar a provar quem é a pessoa, em vez de aceitar um código.

Depois.

• Gestão de casos de fraude — fila, critério, rastreabilidade e capacidade de reverter. É uma plataforma própria e uma equipe, não uma função de um SDK.
• Correlação com eventos de segurança — os registros de acesso vistos junto ao resto da telemetria, habitualmente em um sistema de gestão de eventos que não pertence ao domínio de identidade.
• Regras do lado dos meios de pagamento — as que atuam sobre a transação, já fora do controle de acesso.

Boa parte do que decide o resultado de um account takeover, a gestão de casos, a correlação de eventos e as regras de pagamentos, não é vendida por um fornecedor de identidade. Uma equipe que queira cobrir essa fraude inteira precisa de pelo menos três tipos de fabricante distintos, e convém saber disso antes de assinar com um só.

Como a VU aborda

A VU trabalha em três dos quatro momentos.

Antes do acesso, o Autentica suporta sete fatores, incluindo vários que não dependem da linha telefônica nem de um segredo reutilizável. Trocar o fator é a medida que mais reduz a superfície das três rotas principais.

Durante a sessão e na operação, o Protege contra a fraude avalia sinais de dispositivo e de comportamento em tempo real, que é a camada que serve para as três rotas ao mesmo tempo, porque atua depois que a autenticação já foi superada.

Na recuperação e no escalonamento, o Verifica volta a provar presença com biometria, o que fecha o passo 4. Sua prova de vida é certificada pela iBeta no Nível 2 de seu programa de testes, que aplica a metodologia da norma ISO/IEC 30107-3.

A gestão de casos posterior e a correlação com o resto da telemetria de segurança continuam sendo trabalho de outras ferramentas e de uma equipe.