Como um evento de compras ao vivo contendeu um ataque coordenado em 3 minutos

A Verra Foods havia agendado um evento de compras ao vivo na tarde de sexta-feira no Instagram Live para lançar um novo produto em edição limitada. A equipe havia promovido o evento por duas semanas, esperava ~3.000 espectadores simultâneos no pico e projetava $40–60k em GMV durante a sessão de 45 minutos.

A transmissão ao vivo foi apresentada pelo fundador e apoiada por dois moderadores voluntários que monitoravam o chat. A equipe havia testado a configuração, realizado a demonstração do produto duas vezes e estava confiante no fluxo de trabalho. O que eles não haviam planejado foi um ataque coordenado.

19 minutos após o início do evento ao vivo — o ponto em que a contagem de espectadores atingiu o pico de 2.400 simultâneos — o chat começou a mostrar um padrão incomum. Contas com datas de criação recentes começaram a postar mensagens quase idênticas atacando o produto e a marca. O padrão era claramente coordenado: mesma estrutura de frase, mesmos pontos de discussão, mesmo timing.

Em 90 segundos, o volume era avassalador. Os dois moderadores humanos não conseguiam acompanhar a velocidade das mensagens. Um dos moderadores descreveu mais tarde como "assistir a uma mangueira de incêndio de ódio idêntico." Cada mensagem visível poderia ser vista por milhares de espectadores ao vivo — e cada mensagem visível poderia ser um golpe de conversão.

A Verra Foods tinha a FeedGuardians conectada com a detecção de ataque em transmissão ao vivo ativada. O classificador de detecção de ataque observa: (1) picos de velocidade incomuns, (2) agrupamento semântico (mensagens que são muito semelhantes) e (3) agrupamento de contas (múltiplas contas com frescor e padrão suspeitos).

O classificador disparou um alerta automático 47 segundos após a primeira mensagem de ataque. O alerta foi direcionado ao canal Slack da marca e, simultaneamente, ativou o modo de lockdown no chat ao vivo — exigindo que novos comentaristas fossem aprovados por um moderador humano antes que suas mensagens aparecessem.

O fundador na transmissão ao vivo recebeu uma notificação do Slack em seu telefone. Ele não precisou interromper a apresentação; o lockdown já havia sido ativado automaticamente. Ele continuou a demonstração do produto e o evento ao vivo continuou.

Com o modo de lockdown ativo, as mais de 200 contas de ataque não puderam mais postar mensagens visíveis. Suas tentativas foram direcionadas para a Fila de Aprovação da FeedGuardians, onde um dos membros da equipe comunitária da marca (que havia sido acionado pelo alerta do Slack) conseguiu negar todas em uma única ação em massa.

Espectadores legítimos continuaram a participar. Fãs reais fazendo perguntas reais sobre o produto foram aprovados pela fila em segundos. A resposta automática da IA lidou diretamente com perguntas frequentes. A transmissão ao vivo não perdeu o ritmo visualmente — espectadores que não estavam assistindo o chat de perto não tinham ideia de que um ataque havia sido derrotado em tempo real.

No minuto 22 da transmissão ao vivo — três minutos após o início do ataque — o ataque estava totalmente contido. As contas de ataque foram bloqueadas permanentemente. O modo de lockdown permaneceu ativo pelo restante do evento.

O evento ao vivo foi concluído no horário em 45 minutos. O GMV final foi de $47.300 — pouco abaixo do limite superior da projeção pré-evento e superior à média da marca para eventos de compras ao vivo. O ataque não teve impacto mensurável no GMV porque nenhuma mensagem prejudicial permaneceu visível tempo suficiente para afetar as decisões de compra.

A Verra Foods posteriormente determinou que o ataque foi organizado por uma pequena comunidade de trolls que havia mirado em várias marcas de snacks desafiadoras ao longo do mês anterior. Outras três marcas na mesma comunidade haviam sido atacadas durante eventos ao vivo e duas haviam encerrado suas transmissões mais cedo como resultado. A Verra Foods foi a primeira a completar o evento completo sem interrupções.

A equipe adicionou a detecção de ataques à sua lista de verificação pré-evento para cada transmissão ao vivo subsequente. Agora é um controle permanente que é executado em todos os eventos ao vivo.