A Cloudflare anunciou um novo painel como parte do serviço Account Abuse Protection (AAP), permitindo que as equipes antifraude investiguem o abuso de contas conectando eventos de login e criação de contas a um histórico do comportamento, da rede e do dispositivo. O painel está inicialmente disponível para clientes do programa Early Access.
A medida responde ao aumento do uso de inteligência artificial por fraudadores para imitar identidades e contornar verificações de identidade tradicionais. A Cloudflare considera que passar por uma senha, uma verificação biométrica ou um teste de vivacidade comprova o que aconteceu em um determinado momento, mas, por si só, não é suficiente para avaliar a confiabilidade da conta.
De uma verificação instantânea a uma visão comportamental contínua
A AAP usa um identificador escolhido pelo cliente no fluxo de login ou criação de conta, como endereço de e-mail, nome de usuário ou número de telefone. A Cloudflare transforma esse valor em um Hashed User ID criptografado e específico para cada domínio, de modo que ele represente a conta dentro do serviço sem exibir o valor original.
A cada login ou criação de conta, o serviço acrescenta o evento e os sinais de rede e dispositivo observados pela Cloudflare na borda. Com o tempo, forma-se um histórico que mostra o comportamento habitual da conta, ajudando os analistas a distinguir desvios em vez de tratar cada solicitação como um incidente separado.
O fluxo de investigação, da visão geral à conta
A Cloudflare projetou o painel como um fluxo investigativo que começa no nível do grupo de usuários e depois passa para as contas individuais. As equipes podem consultar o total de logins e registros, o número de contas que geraram esses eventos, os endereços IP e dispositivos únicos, além das distribuições por país e provedores de serviços de Internet ou números de sistemas autônomos (ASN).
Em um cenário de ataque de credential stuffing, o painel exibe indicadores como tentativas de login malsucedidas e resultados de correspondência com credenciais vazadas. O exemplo apresentado no material mostra cerca de 2,4 mil eventos que resultaram em uma correspondência de nome de usuário ou senha vazada, contra 11,7 mil eventos cujas credenciais foram classificadas como limpas. A Cloudflare alerta que esse resultado orienta a investigação e não prova que todas as contas envolvidas foram comprometidas.
Em seguida, os analistas podem restringir o escopo usando filtros, como selecionar contas que registraram pelo menos três tentativas de login malsucedidas, três correspondências com credenciais vazadas e que apareceram a partir de pelo menos cinco endereços IP únicos. Depois, é possível examinar as contas selecionadas por meio do Hashed User ID, comparar eventos anteriores e posteriores e identificar novos dispositivos ou locais.
O que muda na prática para as equipes de segurança?
A visão da conta individual exibe a taxa de sucesso de login, correspondências com credenciais vazadas e as redes, locais e dispositivos mais associados à conta. Ela também inclui no histórico de eventos o horário, o Ray ID e qualquer ação de mitigação aplicada, permitindo relacionar o evento a informações adicionais em Security Events.
Se a investigação confirmar que a conta foi comprometida, a equipe poderá iniciar os procedimentos de recuperação adotados por ela. O Hashed User ID também pode ser usado em uma regra do WAF para aplicar um desafio ou bloquear solicitações futuras associadas a ele.
Controles de acesso e limitações
A Cloudflare oferece duas novas funções para controle de permissões: Account Abuse Protection, para acesso ao painel, e Account Abuse Protection PII, para acesso a dados pessoais adicionais, como o endereço de e-mail. A segunda função também é usada para criar ou atualizar tarefas do Logpush que incluem dados pessoais.
Essa estrutura reforça o princípio do menor privilégio, mas não elimina a necessidade de interpretar os indicadores com cautela; uma correspondência com credenciais vazadas ou o aparecimento de uma conta em várias redes, por si só, não constitui prova conclusiva de comprometimento. Além disso, a disponibilidade atual está limitada a clientes do Early Access, enquanto a Cloudflare informa que clientes do Bot Management Enterprise interessados nesses recursos podem se candidatar para obtê-los.