Dark Patterns 2.0

Blog » Dark Patterns 2.0

Como os Sites em 2025 Disfarçam Antifraude como Experiência do Usuário

Padrões sombrios são 🪄 truques de design que enganam os usuários e os induzem a tomar ações que beneficiam os criadores do site.

Padrões Sombrios Comuns

Você provavelmente já percebeu essas táticas mais de uma vez:

• As assinaturas são renovadas automaticamente;
• Cobranças extras aparecem inesperadamente no total do pagamento;
• É impossível recusar atualizações de software.

Por exemplo, você não pode cancelar as atualizações do Windows — apenas adiá-las.

Tudo isso se encaixa na categoria de ⬛ padrões sombrios. Mas existem truques muito mais sutis:

• Publicidade disfarçada: Você clica em um painel lateral achando que vai fechar uma imagem — em vez disso, abre uma nova página.
• Armadilhas de saída: Alguns apps móveis não respondem aos botões de “voltar” ou “sair”; a única forma de fechar é clicando em uma notificação de outro app.
• Contadores regressivos: Criam um senso de urgência (como um desconto prestes a expirar), mas se você atualizar a página ou esperar um pouco, a oferta ainda estará lá.

Padrões Sombrios como Mecanismos Antifraude

Essas táticas estão sendo cada vez mais usadas como parte de 👨‍⚖️ sistemas  antifraude. Os desenvolvedores de muitas plataformas estão bem cientes dos navegadores antidetect e do fato de que os usuários podem falsificar suas impressões digitais. Por isso, recorrem aos padrões sombrios 😐 para dificultar a vida de fraudadores e fazendeiros de contas falsas. Vamos analisar os truques de UI/UX mais comuns usados como ferramentas antifraude disfarçadas.

“Por favor, confirme que é realmente você” — reautenticação constante

Muitos sites agora exigem verificações frequentes do usuário, às vezes a cada poucos dias ou semanas. Na maioria das vezes, isso aparece na forma de:

• Códigos por SMS;
• Confirmações por e-mail;
• Captchas para provar que você não é um robô.

Na superfície, parece algo como “Nos importamos com sua segurança.” ou “Não queremos que ninguém mais acesse sua conta”.

Por exemplo, a PropellerAds frequentemente pede que os usuários insiram um código enviado por e-mail.

Na prática, essas verificações persistentes são usadas para:

• Verificar o acesso ao 📩 e-mail e ao 📱número de telefone (especialmente para identificar se são temporários ou descartáveis);
• Escanear as impressões digitais do dispositivo;
• Analisar padrões de comportamento (biometria comportamental).

Essas checagens são especialmente inconvenientes para usuários com múltiplas contas, o que ajuda a afastar fraudadores ao aumentar seus custos operacionais e o tempo necessário para agir.

“Personalize sua interface” — onboarding como ferramenta de antifraude e vigilância

Alguns sites e apps oferecem 🛠 personalização da interface logo após o cadastro:

• seleção de interesses;
• marcação de categorias favoritas;
• configuração de preferências para o feed de notícias;
• escolha de tópicos para newsletters;
• personalização do layout e das funcionalidades.

Por exemplo, o site de buscas de voos KIWI pede imediatamente que o usuário escolha um idioma e uma moeda.

À primeira vista, parece um recurso 👩‍❤️‍👨 amigável para o usuário. Mas, na prática, a plataforma coleta dados comportamentais extras para enriquecer a impressão digital. Com dados agregados suficientes, o sistema aprende:

• o que usuários reais tendem a escolher;
• o que fraudadores costumam selecionar;
• e o que bots geralmente escolhem.

Quando um usuário personaliza a interface, o sistema avalia:

• o quão “humano” o comportamento parece;
• a velocidade com que ele toma decisões;
• se os cliques são aleatórios ou deliberados;
• se as combinações de interesses escolhidas correspondem aos padrões típicos de usuários reais.

Se alguém se comporta 🚀 rápido demais, de forma muito mecânica ou escolhe combinações genéricas demais, isso pode levantar suspeitas de atividade de bot ou de múltiplas contas. As plataformas também podem comparar esses dados com contas previamente banidas, analisando:

• estruturas de preferências;
• velocidade de conclusão do onboarding;
• interesses selecionados.

Se o novo usuário se parecer com perfis fraudulentos do passado, o sistema pode reduzir a pontuação de confiança da conta, acionar etapas adicionais de verificação ou até limitar funcionalidades.

Elementos de UX para Verificação de Identidade

Nos últimos anos, muitos serviços começaram a exigir que os usuários 📱 vinculem um número de telefone para autenticação. Isso não é só para facilitar a recuperação rápida da conta — a plataforma usa o número para verificar se ele é reutilizado em várias contas, analisar a geolocalização e detectar histórico de banimentos.

Mesmo que o usuário tente falsificar isso com números virtuais ou descartáveis, o sistema pode realizar consultas HLR (Home Location Register) ou analisar metadados de SMS em busca de anomalias.

Outra tática é 🌏 pedir a cidade ou até o endereço físico completo (por exemplo, para fins de envio). Isso permite que a plataforma faça uma verificação cruzada do endereço com dados de geolocalização, endereços IP e impressões digitais de dispositivos comuns naquela área geográfica.

Mais um truque é 🙋‍♂️ oferecer uma recompensa em troca de dados pessoais — como um desconto para estudantes ou idosos. Para reivindicá-la, o usuário deve enviar um documento oficial ou identificação válida.

Esses documentos e as informações que contêm são então:

• Analisados pela plataforma;
• Comparados com dados de outros usuários;
• Associados à impressão digital do dispositivo para identificar padrões e relacionar contas.

Frustração Intencional como Teste

Muitos operadores de bots, fazendas de cliques e criadores de contas falsas agem seguindo roteiros rígidos e automatizados — frequentemente usando ferramentas como 🔥 Dolphin Anty para automatizar sessões inteiras de usuários.

Sistemas antifraude analisam biometria comportamental, incluindo: velocidade de digitação, tempo entre cliques e padrões de navegação. Para identificar automações, os sites podem intencionalmente “quebrar” partes da interface. Como bots não ficam “frustrados”, eles continuam executando ações de forma mecânica.

Mas usuários reais reagem emocionalmente:

• Clicam repetidamente;
• Movem o mouse ansiosamente;
• Recarregam a página;
• Começam a apertar várias teclas no teclado.

Outros podem simplesmente esperar o site “se recuperar”, o que também revela seu comportamento humano.

Exemplos de Táticas de Frustração Artificial:

Interface mais lenta. Se a lógica antifraude suspeitar de você, pode atrasar a resposta de botões, o scroll ou o carregamento da página. Bots não percebem — mas humanos ficam irritados e agem de forma errática. Essa técnica é comum em dashboards bancários online, fluxos de checkout em e-commerce, portais de pagamento;

Erros falsos. Mensagens como: “Algo deu errado, tente novamente mais tarde”, “Erro desconhecido”, “Falha ao salvar dados”. Esses erros muitas vezes não são reais — são disparados seletivamente para usuários suspeitos. Se você tentar de novo e funcionar na segunda vez, provavelmente caiu em um deles. A plataforma está observando sua reação.

Timeouts ocultos. O sistema atrasa artificialmente respostas de API ou “congela” formulários para simular lentidão do servidor. O objetivo é fazer o usuário sair da sessão ou desencadear um comportamento alternativo que possa ser analisado para detectar bots. Isso é útil para filtrar silenciosamente usuários suspeitos sem revelar que o antifraude foi acionado;

Formulários em várias etapas. Os usuários precisam preencher formulários longos com múltiplos campos obrigatórios, menus suspensos com centenas de opções (como uma lista completa de países), entradas repetidas (ex: e-mail duas vezes). Humanos reais geralmente completam o formulário — mesmo que irritados. Bots, por outro lado, podem falhar ou completar rápido demais, gerando suspeitas. Esses formulários são comuns em exchanges de cripto, bancos, redes CPA, serviços de pagamento etc.;

Deslogamentos ou quedas de sessão “aleatórias”. O usuário é deslogado inesperadamente após certas ações. Parece um timeout ou bug — mas é intencional. Bots geralmente não fazem login novamente, enquanto humanos tentam recuperar o acesso. Em alguns casos, fraudadores criam uma nova conta, se denunciando novamente;

Anúncios pop-up. O objetivo não é só publicidade — é uma armadilha comportamental. Se o usuário fecha ou minimiza o anúncio, isso imita uma interação humana natural. Bots geralmente ignoram pop-ups completamente, expondo sua automação.

Exemplo: um pop-up dizendo “Junte-se à Fast Company hoje” não é apenas um anúncio — é um teste.

Exemplos Reais de Antifraude Baseada em UX

Facebook — Lentidão Artificial na Interface. Quando o Facebook suspeita de atividade de bots ou engajamento falso, ele desacelera propositalmente a interface. Respostas de botões são atrasadas, páginas carregam mais devagar e as interações ficam lentas.

Se o usuário age de forma típica de pessoas reais (ex.: movendo o mouse, clicando com hesitação, esperando), a conta ganha confiança. Caso contrário, o sistema pode restringir o acesso ou escalar para um nível maior de verificação.

Verificação de Identidade KYC em Tempo Real. O Facebook às vezes usa KYC (Conheça Seu Cliente) em tempo real quando suspeita de múltiplas contas. Mas esse método é ainda mais comum em plataformas como Dojah, um serviço fintech na África. No cadastro, Dojah exige que o usuário:

• Envie uma foto ou documento de identidade;
• Complete um teste de “liveness” (por exemplo, tirar uma selfie em tempo real).

Isso atrasa um pouco os usuários reais — que precisam procurar documentos, tirar fotos e passar na verificação manualmente. Bots e fraudadores costumam ser filtrados, ou enviam imagens pré-fabricadas — comportamento que pode sinalizar a conta como suspeita.

Incognia — Verificação Inteligente Baseada em Risco. Incognia é uma plataforma que oferece detecção adaptativa de fraudes em sites e apps. Ela implementa um sistema de verificação por níveis:

• Baixo risco — checagens mínimas (quase invisíveis);
• Alto risco — verificações adicionais (SMS, e-mail, CAPTCHA, etc.).

Isso garante que usuários genuínos tenham uma experiência fluida, enquanto atores suspeitos enfrentam atrasos, etapas extras e gatilhos comportamentais.

Níveis de verificação antifraude configurados no Incognia.

Como se defender contra antifraude baseada em UX e padrões sombrios

No fim das contas, sua melhor arma é um navegador antidetect de alta qualidade e um comportamento que imite o mais fielmente possível um usuário típico. Veja como passar despercebido:

• Use logins de email reais dentro do mesmo ambiente do navegador que você usa para o site alvo.
• Ao comprar números virtuais ou eSIMs, certifique-se de que os códigos de área correspondam à região ou cidade do seu proxy.
• Minimize a automação — preencha formulários manualmente sempre que possível e reduza o uso de scripts ou dados pré-preenchidos.

Mais importante — use um navegador antidetect confiável e atualizado regularmente (como o 🚀 Dolphin Anty, por exemplo). Os desenvolvedores monitoram atualizações antifraude nas plataformas e ajustam a lógica de fingerprinting conforme necessário.