Account takeover
O controle de uma conta alheia por alguém que não é seu titular. Por que o termo nomeia um resultado e não um método, quais são as rotas que levam a ele e em que se diferencia da fraude no cadastro.
Em resumo
Um account takeover é a tomada de controle de uma conta existente por alguém que não é seu titular. A conta é legítima, foi aberta por uma pessoa real e verificada em seu momento: o que muda é quem a opera.
O termo nomeia o estado final, não a técnica. Por isso "detectar account takeover" não descreve um controle concreto até que se diga por qual rota ele chegou.
É um resultado, e chega por três rotas distintas
É a confusão que mais custa em uma conversa de projeto: trata-se o tema como se fosse um ataque com uma defesa própria, e não é. Cada rota é cortada em um lugar diferente.
- [Phishing](/fraude/phishing-y-smishing) — o titular entrega a credencial ou o código, convencido por uma mensagem que imita a organização.
- [Credential stuffing](/fraude/credential-stuffing) — o atacante testa em escala credenciais já vazadas em outro serviço, sem contato com o titular.
- [SIM swapping](/fraude/sim-swapping) — o atacante transfere a linha telefônica e recebe o código que confirmava a identidade do titular.
Há uma quarta rota que cresce com a biometria: a recuperação de acesso resolvida com um rosto. Quando uma conta é recuperada comparando o rosto de quem reclama com o do cadastro, o vetor é um deepfake, não uma senha.
Não é o mesmo que a fraude no cadastro
Os dois terminam com um atacante operando uma conta, e param em momentos diferentes do percurso.
- Account takeover — a conta existe, tem um titular real e um histórico legítimo. O atacante herda essa reputação, que é justamente o que a torna valiosa.
- Fraude no cadastro — a conta é aberta do zero com uma identidade falsificada ou com uma identidade sintética. Não há vítima com acesso prévio nem histórico a herdar.
A distinção define onde colocar o controle. A fraude no cadastro se combate na verificação de identidade. O account takeover se combate na autenticação e nos sinais da sessão, porque o cadastro já aconteceu e foi bem-feito.
Onde aparece em uma jornada de identidade
- Acesso — o momento em que se valida quem está voltando.
- Recuperação de acesso — o fluxo mais exposto, porque existe justamente para deixar entrar alguém que perdeu seus fatores.
- Troca de dados de contato — o passo que consolida o controle: quando o e-mail ou o telefone mudam, o titular deixa de receber os avisos.
- Operação de valor — transferência, cadastro de um destinatário, mudança de limites. É onde o controle tomado se converte em perda.
O passo de troca de dados de contato é o que separa uma tentativa de um takeover consumado, e é o que mais vezes fica sem um controle próprio.
Perguntas frequentes
É a tomada de controle de uma conta alheia existente por alguém que não é seu titular. A conta é legítima e foi verificada em seu momento; o que muda é quem a opera. Recebe esse nome pelo resultado e não pela técnica, porque se chega a ele por rotas distintas: phishing, credenciais vazadas, transferência da linha telefônica ou uma recuperação de acesso resolvida com um rosto que não é o do titular.
Por três rotas habituais. O phishing consegue que o titular entregue sua credencial ou seu código. O credential stuffing testa credenciais já vazadas até que uma funcione. O SIM swapping transfere a linha do titular para interceptar os códigos que chegam por SMS. Às três se soma a recuperação de acesso com biometria quando não há controle de presença.
Em que a conta já existia. No account takeover, o atacante herda uma conta real, com histórico e reputação construídos por seu titular. Na fraude no cadastro, a conta é criada com uma identidade que não pertence ao solicitante ou que não corresponde a ninguém. A primeira se combate na autenticação, a segunda na verificação de identidade.
