Por anos, abusar de teste grátis era coisa de gente esperta demais: alguém criava um segundo e-mail, ou pedia pro amigo cadastrar de novo, pra usar o plano gratuito por mais tempo. Chato, mas pequeno. Em 2026 esse jogo mudou de escala. Agora existem scripts e agentes de IA treinados só pra isso: eles geram e-mails descartáveis, preenchem formulários, confirmam cadastros e criam dezenas ou centenas de contas gratuitas em minutos, sem nenhum humano no meio do caminho.

O problema fica mais sério quando o produto usa IA por trás. Cada conta nova que roda um prompt, gera uma imagem ou processa um arquivo está consumindo créditos de verdade em algum provedor de IA, e esse custo sai do bolso de quem oferece o SaaS, não de quem abre a conta. É o que analistas de fraude vêm chamando de ataque de "esgotamento de carteira": em vez de roubar dados, o objetivo é simplesmente fazer a empresa gastar até doer.

De truque isolado a operação em escala

A diferença não é só de volume, é de intenção. Um usuário legítimo testando o produto duas vezes não é um problema. Um bot criando quinhentas contas em uma hora, todas usando o recurso mais caro do plano, é outra história. E como esses agentes conseguem imitar bem o comportamento humano, preenchendo campos, clicando em confirmações, respondendo captchas simples, fica cada vez mais difícil distinguir uma coisa da outra só olhando pros dados de cadastro.

Proteger sem afastar quem é de verdade

A resposta não é transformar o cadastro numa prova de obstáculos. Isso só afasta o cliente real, que já desiste diante de qualquer fricção extra. O caminho mais equilibrado costuma juntar algumas camadas simples: verificação de e-mail antes de liberar o acesso, limite de contas por IP ou dispositivo, bloqueio de domínios de e-mail descartáveis conhecidos, e um teto de uso para as funções que custam caro, mesmo no plano grátis. Nenhuma dessas medidas sozinha resolve tudo, mas juntas fecham boa parte das brechas mais óbvias sem exigir que o usuário prove que é humano toda vez que clica em algo.

Vale lembrar que isso não é um problema exclusivo de quem já tem escala. Um SaaS recém lançado, ainda validando a ideia, também pode virar alvo, principalmente se usa alguma API de IA por trás. É por isso que faz sentido pensar nessa proteção desde o início, e não só quando a fatura já veio salgada. No CastorStack, autenticação, verificação de e-mail e a parte de cobrança já vêm prontas de fábrica, então esse tipo de brecha fica coberto antes mesmo do primeiro usuário se cadastrar.