Na Black Friday, o volume muda, mas não é só ele. Clientes compram com mais frequência, entram em lojas e aplicativos em horários diferentes, aumentam o valor de seus pedidos, experimentam novos canais e podem utilizar dispositivos que não fazem parte de seu comportamento habitual.
Para o negócio, esse movimento é exatamente o que se espera de uma data de alta demanda.
Para uma estratégia antifraude, porém, ele cria um desafio adicional: muitos dos comportamentos que poderiam representar um sinal de risco em um dia comum também podem ser perfeitamente legítimos durante um período de pico. E os fraudadores sabem disso.
É nesse contexto que o Account Takeover (ATO) ganha uma camada extra de complexidade. Quando uma conta legítima é comprometida, o atacante passa a operar utilizando uma identidade que a empresa já conhece. Se as decisões de segurança considerarem apenas credenciais corretas ou regras fixas de comportamento, uma tentativa de fraude pode se misturar com facilidade ao aumento natural de atividade.
A questão, então, deixa de ser apenas identificar o que está “fora do padrão”. Passa a ser entender quando uma mudança de comportamento representa um novo contexto legítimo e quando diferentes sinais, combinados, indicam uma tomada de conta em andamento.
Black Friday aumenta o volume e muda a referência de risco
Entre 1º e 26 de novembro de 2025, a Serasa Experian analisou mais de 15 milhões de pedidos no e-commerce brasileiro, que movimentaram R$ 8,5 bilhões. Nesse período, foram identificadas 117.968 tentativas de fraude, com potencial de gerar mais de R$ 104 milhões em perdas caso fossem concluídas.
Somente entre os dias 27 e 30 de novembro daquele ano, foram mais de 4,9 milhões de pedidos e 22.295 operações classificadas como tentativas de golpe.
Os dados mostram algo importante: a exposição não começa na sexta-feira da Black Friday. As promoções se estendem, o comportamento do consumidor se transforma durante semanas e a superfície que precisa ser monitorada acompanha esse movimento.
O cenário de ameaças também continua evoluindo. Dados divulgados pela Serasa Experian em outubro de 2026 apontaram crescimento de 27,2% nas ameaças digitais identificadas no primeiro semestre deste ano em comparação com o mesmo período de 2025.
Dentro desse ambiente, o Account Takeover merece atenção especial. Globalmente, a TransUnion registrou crescimento de 37% na taxa de tentativas digitais suspeitas de ATO entre 2024 e 2025.
Mas o desafio não está apenas no aumento quantitativo dos ataques, está na forma como eles acontecem.
O que é Account Takeover?
Account Takeover é a tomada não autorizada de uma conta legítima. Em vez de criar uma identidade falsa do zero, o fraudador consegue acesso a uma conta que já possui relacionamento, histórico e, muitas vezes, um nível estabelecido de confiança dentro do serviço.
Isso pode acontecer a partir de diferentes vetores, como:
- Phishing e engenharia social;
- Credenciais expostas em vazamentos;
- Credential stuffing;
- Comprometimento de dispositivos;
- Roubo ou reutilização de sessões;
- Exploração de fluxos de recuperação de conta;
- Comprometimento ou alteração indevida de fatores de autenticação.
Credential stuffing, por exemplo, utiliza combinações de usuário e senha obtidas em vazamentos anteriores para testar automaticamente o acesso em outros serviços. A OWASP aponta esse tipo de ataque como um dos mecanismos utilizados para tomar contas, especialmente devido à reutilização de credenciais entre diferentes plataformas.
O que torna o ATO particularmente relevante para jornadas digitais é o que acontece depois que o acesso é obtido. Para o sistema, aquela conta continua sendo real. O histórico existe. O cadastro existe. A relação com o negócio existe. O que mudou foi quem está operando a identidade.
Account Takeover não é um único evento
Tratar ATO somente como um problema de login reduz a visibilidade sobre uma cadeia muito maior. Uma tomada de conta pode evoluir em diferentes etapas:
Essa progressão explica por que autenticar uma vez e confiar durante toda a sessão pode ser insuficiente. O risco não permanece necessariamente igual do primeiro acesso até a última ação.
Na Black Friday, comportamento fora do padrão não significa necessariamente fraude
Imagine um cliente que normalmente compra uma vez por mês, pelo celular, durante a noite, com ticket médio de R$ 300. Na Black Friday, ele:
- Acessa pela manhã;
- Consulta várias ofertas em pouco tempo;
- Realiza três compras no mesmo dia;
- Chega a um ticket total muito superior ao habitual;
- Utiliza o computador em vez do celular.
Existem várias mudanças, mas nenhuma delas, sozinha, prova que a conta foi comprometida. É justamente aqui que uma estratégia excessivamente baseada em regras fixas encontra seu limite.
Se “ticket acima da média” sempre resultar em bloqueio, clientes legítimos podem ser barrados exatamente no momento de maior intenção de compra.
Se “novo dispositivo” sempre exigir uma sequência longa de verificações, o negócio pode adicionar fricção a uma parcela relevante dos consumidores.
Por outro lado, simplesmente flexibilizar os controles durante o período promocional também amplia a exposição. A solução não é ignorar desvios nem transformar cada desvio em fraude. É interpretar o contexto.
Detecção de anomalia e detecção de fraude não são a mesma coisa
Essa distinção é essencial. Uma anomalia indica que alguma coisa mudou em relação a uma referência. Fraude exige entender o que aquela mudança significa dentro do restante da jornada.
Considere alguns exemplos:
| Sinal identificado | Explicação legítima possível | Quando o risco aumenta |
| Novo dispositivo | Cliente trocou de aparelho ou acessou pelo computador | Novo dispositivo seguido de alteração cadastral e transação sensível |
| Localização diferente | Viagem, deslocamento ou alteração de rede | Mudança incompatível com o histórico combinada a outros sinais |
| Ticket elevado | Compra promocional ou concentração de compras | Valor elevado associado a novo dispositivo e comportamento incomum |
| Muitas ações em sequência | Cliente comparando e aproveitando ofertas | Velocidade incompatível com comportamento humano ou histórico |
| Alteração de telefone | Atualização legítima de cadastro | Alteração imediatamente antes de recuperação de conta ou transação |
| Horário incomum | Períodos de promoção alteram hábitos | Horário atípico combinado com novas credenciais, rede ou dispositivo |
A força da análise está menos no evento isolado e mais na correlação: um novo dispositivo pode ser normal. Um novo dispositivo, seguido por redefinição de senha, alteração de telefone e tentativa de transação fora do perfil esperado, conta uma história diferente.
O fraudador também tenta parecer legítimo
Outro problema das estratégias baseadas exclusivamente em anomalias é pressupor que todo ataque terá uma aparência evidente.
Fraudadores procuram justamente reduzir essa diferença. Credenciais válidas, dispositivos preparados, proxies, controle de sessão e informações obtidas por engenharia social podem tornar uma interação tecnicamente semelhante à de um usuário real.
Estudos recentes sobre fraude digital reforçam essa mudança. A TransUnion aponta que os ataques estão migrando para abordagens que exploram identidades e relacionamentos já estabelecidos, tornando controles pontuais de verificação menos suficientes quando utilizados isoladamente.
Por isso, a pergunta não deveria ser apenas “este login parece suspeito?”. Ela precisa evoluir para “o nível de confiança que tínhamos nesta identidade continua fazendo sentido diante do que está acontecendo agora?”.
Essa mudança parece pequena, mas altera completamente a arquitetura de prevenção.
Por que apenas adicionar mais autenticação não resolve?
MFA continua sendo um controle importante contra ataques baseados em credenciais.
A própria OWASP recomenda sua utilização e aponta que a autenticação adicional pode reduzir significativamente a exposição a credential stuffing e password spraying.
O problema é transformar MFA em uma resposta automática para qualquer situação.
Quando o mesmo desafio é aplicado ao cliente em dispositivo conhecido, ao acesso em novo dispositivo, à troca de telefone, a uma consulta simples ou a uma transação crítica, a empresa desperdiça contexto. Pior: transfere parte do custo da própria incerteza para o cliente.
Em períodos como a Black Friday, isso se torna especialmente relevante. Cada etapa adicional entre intenção e compra pode afetar a experiência. E uma estratégia antifraude que protege o negócio gerando falsos positivos em excesso pode trocar um problema por outro.
Autenticação adaptativa: o risco determina a resposta
A autenticação adaptativa, também chamada de autenticação baseada em risco, muda a lógica de decisão: em vez de exigir sempre o mesmo conjunto de fatores, a jornada considera atributos contextuais para determinar o nível de verificação adequado.
OWASP cita sinais como novo dispositivo, endereço IP, localização e características da tentativa de acesso como elementos que podem justificar uma autenticação adicional. A organização também recomenda o chamado step-up authentication em ações de maior risco.
As diretrizes atuais do NIST também reconhecem técnicas adaptativas e baseadas em risco, incluindo sinais como endereço IP, geolocalização, padrões temporais e metadados do navegador.
Na prática, a decisão pode seguir três caminhos.
- Permitir: o contexto é consistente com o histórico e não existem sinais relevantes de risco. O usuário segue sua jornada sem uma verificação adicional.
- Aumentar a autenticação: existe uma mudança relevante, mas não informação suficiente para concluir que a ação é fraudulenta. A jornada solicita um fator adicional adequado ao contexto.
- Interromper: a combinação dos sinais indica risco elevado. O acesso ou a operação pode ser negado, temporariamente bloqueado ou encaminhado para outro fluxo de análise.
O objetivo é simples: colocar fricção onde existe risco, e não onde existe apenas atividade.
Como se preparar para Account Takeover antes do pico
A Black Friday não é o melhor momento para descobrir que uma regra gera falsos positivos demais ou que uma jornada crítica não consegue solicitar autenticação adicional.
A preparação precisa acontecer antes. Algumas perguntas ajudam a avaliar a maturidade da estratégia:
- O risco é analisado apenas no login? Se a confiança estabelecida no primeiro acesso permanecer intacta durante toda a sessão, alterações importantes podem passar sem nova avaliação.
- A empresa reconhece a relação entre identidade e dispositivo? Novo dispositivo não significa automaticamente fraude, mas é um dado importante quando combinado a outras mudanças.
- Regras conseguem trabalhar em conjunto? Uma estratégia baseada em dezenas de decisões isoladas pode perder justamente a correlação que revela um ATO.
- A autenticação consegue responder ao risco? É possível solicitar step-up somente quando necessário ou todos percorrem a mesma jornada?
- Ações críticas possuem controles próprios? Recuperação de conta, troca de credenciais e transações sensíveis precisam receber atenção proporcional ao impacto que podem gerar.
- Segurança e conversão são acompanhadas juntas? Taxa de fraude sem análise de falsos positivos conta apenas parte da história.
- Existe visibilidade sobre o que aconteceu antes da transação? Uma fraude financeira pode ser o último evento de uma sequência que começou muito antes.
Como o authcube apoia a prevenção de Account Takeover
O authcube permite trabalhar identidade, autenticação e risco de forma conectada ao longo da jornada digital.
Seu motor de risco considera sinais como dispositivo, IP, geolocalização, horário, histórico e comportamento para definir uma resposta de acordo com o contexto: permitir a interação, exigir autenticação adicional ou negar a ação.
A plataforma também integra autenticação, autorização, MFA, antifraude e orquestração em uma arquitetura low code e agnóstica, permitindo construir jornadas nas quais diferentes provedores e controles podem ser acionados conforme a necessidade do negócio.
Proteja a jornada sem transformar segurança em mais uma barreira
Períodos de alta demanda deixam uma coisa clara: não existe uma única definição de comportamento normal que funcione para todos os contextos.
O cliente muda. O volume muda. O risco muda.
A estratégia de proteção precisa ter capacidade de acompanhar essas mudanças sem partir do princípio de que toda exceção representa fraude — nem assumir que uma conta autenticada permanecerá confiável independentemente do que acontecer depois.
Prevenir Account Takeover passa por construir uma visão mais completa da jornada, correlacionar sinais e aplicar o nível de proteção adequado a cada situação.
Para negócios digitais, isso significa buscar um equilíbrio que não deveria ser tratado como escolha: reduzir fraude e preservar a experiência de clientes legítimos ao mesmo tempo.
Sua jornada consegue responder quando o risco muda?
O authcube ajuda empresas a orquestrar identidade, autenticação e análise de risco para construir jornadas capazes de adaptar a proteção ao contexto de cada interação.
Conheça o authcube e descubra como tornar sua estratégia de prevenção a fraudes mais adaptativa, conectada e preparada para diferentes cenários de risco.
