Detecção de bots e lógica antifrode

Resumo curto

Proteção eficaz contra bots e fraudes é uma combinação de camadas: coleta de sinais (cliente, rede, dispositivo, comportamento), mapeamento de risco em tempo real, regras (deterministic) + modelos ML (propabilistic), análise gráfica de conexões e processos rigorosos de escalação. O objetivo é bloquear o dano e manter o UX e a conversão.

Ameaças e vetores

Bots e screepers: inscrição, login-excesso, farm de moleque, promoção de balanços, inscrição automática/apostas.
Conta Takeover (ATO): credential stuffing, phishing, roubos de sessão.
Payment fraud: cartões roubados, testes de limites, chargeback-farming.
Bónus abuse: multiplacaunting, «família» dispositivos/endereços, proxy/emuladores.
Affiliate/CPA-abuso: falsos registros/depósitos, clique-frod.

Arquitetura antibot/antifrod

1. Sensores e telemetria: frente-JS/SDK (human signals), SDK móvel, metricas de rede/NTR, eventos de backend.

2. Função Store (online/offline): normalização, unidades por janela T + N (1 min, 1 h, 24 h).

3. Real time motor: regras + ML inference (baixa demora), orquestra challenges.

4. Gráfico-motor: ligações de usuários por dispositivos, pagamentos, IP/ASN, cookies, endereços.

5. Armazenamento de incidentes e sinalização: treinamento de modelos ativo, RCA.

6. Orquestrador de respostas: bloco/desafio/congelamento/limite/verificação manual.

7. Observabilidade/SLO: métricas de qualidade (TP/FP/FN), tempo de solução, impacto na conversão.

Sinais e impressões digitais

Cliente e dispositivo

Device fingerprint: derivação user-agente, plataforma/CPU/GPU, renderização de Canvas/WebGL, fontes, timezone, linguagem, sensores; resistência à rotatividade.
Dinâmica de navegador: eventos do mouse, velocidade/ritmo de entrada, foco/blur, scroll, seqüências de transições, idle-pattern.
Métricas móveis: jailbrake/ruth, sinais emuladores, bandeiras de debag, sinais SDK.
Rede: IP/ASN/geo, proxy/VPN/hospedagem-ASN, frequência de turnos IP, estabilidade de RPT, JA3/TLS.

Comportamento e Contexto de Negócios

Velocity-métricas (registro/login/depósito/taxa por janela).
Anomalias de zona temporal/local/moeda, inadequação do dispositivo geo.
Pattern repetitivos de caminho/consulta, seqüências de formulários (típicos de script).
Economia de ação: discrepância LTV, combinações não naturais de promoção/conclusão.

Análise de gráficos (famílias e clusters)

Topo: usuários, dispositivos, IP/ASN, ferramentas de pagamento, endereços, cookies.
Costelas: «Acorda com», «paga através», «partilha o aparelho», «coincidiu com o fingerprint».

• 'k-core ≥ 3' usuários por ferramenta de pagamento → verificação manual.
• Um componente de conectividade com tamanho> X criado em <24 horas → congelamento da promoção e do revezamento KYC.
• Alta centralização por nó IP (índice Gini) na área de registro → antibot challenge.

Regras (determinadas) e compilação (ML)

Características da abordagem híbrida

Regras: rápidas e explicáveis (CUS/complacência, bloco de frente).
ML: captura «zonas cinzentas» e novos patterns; trabalhar no modo shadow antes de ativar as ações.

Regras típicas (exemplo de pseudóxodo)

yaml
- id: ATO_LoginBurst when:
path: "/login"
failures_last_10m_by_ip > 20 distinct_accounts_last_10m_by_ip > 5 action: challenge_mfa

- id: Bonus_MultiAccount when:
promo_code = "WELCOME100"
devices_shared_with_accounts >= 2 first_deposit_time_delta < 10m action: freeze_bonus_and_review

- id: Payment_CardTesting when:
card_decline_rate_30m_by_ip > 0. 6 unique_cards_attempted_30m_by_ip > 5 action: block_24h_and_notify

Fichas ML (com exemplos)

Temporal: frequências/intervalos, sazonalidade por hora/dia.
Categóricos ASN, país, dispositivo, navegador.
Gráficos: node degree, clustering coeficient, pagerank nó IP/dispositivo.
Técnica: comprimento da sessão, entropia dos dados digitados, raridade das sequências de cliques.
Financeiro: cheque médio, dispersão, time-to-withdraw, taxa de rejeição de pagamento.

Challengs e respostas (response orquestration)

Soft: desafio JS, proof-of-work, revalidação de e-mail/telefone, limite de velocidade/quotas.
Strong: MFA/JIT-KYC, congelamento temporário de fundos/bônus, bang temporário.

Adaptativo: alta da liminar para high-risk (TOR/Hospedagem ASN), listras grace para parceiros VIP/

Princípios UX: verificações não vistas por omissão; Um desafio claro, apenas por risco.

Antifrode para promoção e gaming

Integração de promoção: limites para promoção per-device/per-payment-montar; associar o status de promoção ao status KYC.
Multiplicaunting: device/IP gráficos, semelhante à trajetória comportamental; «família» → limite de prémios/congelamento.
Busting de ganhos, correlação anormal de apostas entre contas relacionadas → investigação.
iGaming KPI: proteção de conversão (registratsiya→depozit), Time-to-Wallet; Não «sufocar» os jogadores legam.

Antifrode de pagamento (em resumo)

3-D Secure/multifacetador: dinâmico em risco.
mTLS/assinatura de webhooks PSP: obrigatório.
Idempotidade: chave para operações de saída/depósito.
Sinais de pagamento: BIN/issuer, AVS/CVV resultados, taxa de falha, geo-discrepância.

Dados, fichador, janelas de agregação

Unidades online (low-latency): 1/5/15 minutos para velocidade, exclusividade, falha.
Near-real-time: 1-24 horas para promoção e lógica bónus.
Fies offline: 7 a 90 dias para aprender modelos.
Qualidade dos dados: dedução de eventos, proteção contra reaproveitamento, esquema de validação.

Observabilidade, SLO e métricas de qualidade

• p95 decisão (antifrod) ≤ 50 ms em caminhos críticos (login, depósitos).
• Disponibilidade do motor de varredura ≥ 99. 95 %/m.
• Uma proporção de eventos incógnitos sem fic-0. 1%.

• TP/FP/FN em cenários ATF/promo/pagamento; business-cost FP.
• Conversion impact (DG), registratsii→depozit checkout success.
• Hit-rate challengay (quantos challengs confirmam o risco).
• Monitoramento Draft (fici/avaliações/latência).

Privacidade e conformidade

Minimizar dados: armazenar exatamente o necessário; PII - Tocando/criptografando.
Transparência: Explicável (especialmente em casos de falhas e restrições).
GDPR/PCI DSS: segmentação de domínios de dados, acesso somente por papéis; logar o acesso e as alterações de regras.
Ética e bias: auditoria regular de liminares/liminares de discriminação.

Operações e incidentes

Runbooks: ATO-spike, card-testing, promoção, degradação SDK.
Função flags: rapidamente enfraquecimento/fortalecimento de regras, mudança de modelo, «kill-switch» challenge.
Ensinamentos, réplicas de ataques históricos, campanhas cinzentas, sinais súbitos de drible.
RCA/Sinalização: As malas de borda são marcadas e devolvidas ao training-dataset (ativo learning).

Exemplos de artefatos

1) Unidades SQL para recall (conceito)

sql
-- velocity of logins by IP in 10 minutes
SELECT COUNT() AS logins_10m
FROM auth_events
WHERE ip =:ip AND ts > now() - interval '10 minutes';

-- unique accounts by device_id in 24 hours
SELECT COUNT(DISTINCT user_id) AS accounts_24h
FROM sessions
WHERE device_id =:device_id AND ts > now() - interval '24 hours';

2) Regra em OPA/Rego (simplificado)

rego package antifraud. login

default action:= "allow"

high_risk_ip {
input. ip. asn in {"AS9009, ""AS14061,"" AS16509"} # example input. metrics. failures_10m_by_ip > 20 input. metrics. distinct_accounts_10m_by_ip > 5
}

action:= "challenge_mfa" { high_risk_ip }

3) Pseudocode de orquestra de challange

python risk = score(features) # 0..1 if risk >= 0. 9: block()
elif risk >= 0. 7: challenge("MFA")
elif risk >= 0. 5: throttle(rate="low")
else: allow()

Erros típicos

A única aposta é que os bots a contornam; Preciso de uma pilha de sinais multifactores.
Longos atrasos de escrutínio, quebra de UX, aumento da rejeição.
Bans globais IP/ASN para sempre: corta o tráfego legit; use o TTL e rever.
Sem conde, os multiacauntes permanecem invisíveis.
Regras rígidas sem canarinhos/shadow: sobe FP em venda.
Ciclo Fidback zero: os modelos não são readequados, as regras não são atualizadas.

Mapa de tráfego de implementação

1. Inventário de risco: registro, login, promoção, depósitos/conclusões.
2. Coleta de sinais e SDK: frente-JS/mobile, rede, eventos de servidor; Um único esquema.
3. Fichestor online: janelas 1/5/15/60 minutos; Deduplicação e SLA fic.
4. Perfil básico de regras: velocity + anomalias + evristicos gráficos simples.
5. ML na sombra: comparar ROC/PR, avaliar o efeito empresarial, incluir parcialmente.
6. Análise gráfica: clusterização de famílias, marcação automática em confirmação manual.
7. Orquestra de respostas: matriz (risk×stsenary→deystviye), controle A/B para UX.
8. Observabilidade e SLO: dashboards de qualidade e tecnologia, alerting, teste pós-incidente-mala-pula.
9. Privacidade/Complacência: PII minimizado, toquenização, acesso por papel, relatórios.

Resultado

Um forte sistema antifrod é um circuito de várias camadas e adaptativo, onde os sensores e comportamentos são transformados em fiques, as decisões são tomadas por um híbrido de regras e ML, e o conde de conexões identifica famílias de abuso. Adicione uma orquestração real tempo de respostas, observação com SLO e privacidade - e você vai garantir o equilíbrio entre segurança, UX e métricas de negócios mesmo sob pressão de bots bem organizados e redes de frod.