Como detectar um mouse jiggler sem espionar o teclado

Um mouse jiggler custa menos que um almoço, conecta-se por USB e mantém uma máquina como "ativa" a tarde inteira sem que ninguém a toque. Dá para detectá-lo sem registrar uma única tecla: o que denuncia a simulação não é o que se digita, mas o ritmo com que se digita.

Se você supervisiona uma frota, já conhece a cena. O painel diz que as oito posições estão ativas. Os indicadores estão todos verdes. E mesmo assim a fila cresce, os tickets não baixam e o trabalho não aparece em lugar nenhum. Alguém está "presente" segundo o sistema e ausente segundo a realidade.

O problema não é falta de monitoramento. É que o monitoramento tradicional mede justamente o mais fácil de falsificar: o tempo desde o último input. Qualquer coisa que mova o cursor ou repita uma tecla zera esse contador. E esse "qualquer coisa" hoje se compra on-line por poucos dólares.

Os três padrões de atividade simulada

Na prática, quase toda evasão de inatividade cai em três formas, e cada uma deixa uma impressão digital distinta:

O movedor de mouse (jiggler). Um dispositivo físico — ou uma almofada com o mouse em cima — que empurra o cursor alguns pixels de tempos em tempos. Sua assinatura: o cursor deriva dentro de um raio muito pequeno, sem um único clique e sem uma única tecla, por um bom tempo.

A tecla presa. Uma moeda, um clipe, uma tampa de caneta sobre uma tecla. O teclado entra em auto-repetição e a máquina acredita que alguém está digitando sem parar. Sua assinatura: entra input em praticamente todos os instantes medidos, enquanto o cursor está morto e nada recebe clique.

O cursor que vaga. O mais sutil: o mouse se move — às vezes bastante — mas nunca se clica nem se digita nada. Trabalho real produz um clique ou uma tecla a cada poucos minutos; movimento contínuo sem nenhuma interação, não.

Por que keylogging é a resposta errada

A tentação óbvia é gravar as teclas. Se você registra cada tecla, sabe se a pessoa está digitando de verdade. Resolve o problema técnico e cria três bem piores.

Primeiro, o legal: na maioria dos marcos de proteção de dados da América Latina e da Europa — a LGPD incluída — capturar o conteúdo do que uma pessoa digita é desproporcional diante do objetivo de saber se ela está trabalhando, e a desproporcionalidade é exatamente o que torna ilegal um monitoramento que de outro modo seria legítimo. Segundo, o de segurança: um registro de teclas contém, mais cedo ou mais tarde, senhas e dados de clientes. Você acabou de criar o arquivo mais perigoso da sua empresa para responder a uma pergunta de RH. Terceiro, o humano: no dia em que sua equipe descobrir — e vai descobrir — você perde toda a confiança que tornava a supervisão viável.

Observação: este artigo é informativo e não constitui assessoria jurídica. Consulte um advogado trabalhista do seu país antes de implementar qualquer política de monitoramento. Veja também nosso guia sobre se é legal monitorar os PCs dos seus funcionários e nossos princípios de monitoramento responsável.

A alternativa: medir o ritmo, não o conteúdo

Existe um sinal que separa um humano de um dispositivo sem jamais olhar qual tecla foi pressionada: a densidade do input.

A ideia é simples. Em vez de guardar as teclas, conta-se que proporção dos instantes medidos teve atividade de teclado. Um humano digitando rápido — mesmo em bom ritmo — deixa lacunas: entre palavras, entre frases, quando pensa. Uma tecla em auto-repetição não deixa nenhuma: preenche essencialmente todos os instantes.

Isso é um número entre 0 e 1. Não contém texto, não contém senhas, não contém nada que você possa ler. E basta para distinguir alguém que digita de um objeto em cima de uma tecla.

O mesmo vale para o cursor: a geometria do movimento — o quão longe ele viaja, se está confinado a um raio mínimo, se alguma vez há um clique — separa uma deriva mecânica de uma mão humana, sem registrar em que se clicou nem o que se abriu.

O verdadeiro problema não é detectar: é não acusar em falso

Qualquer um consegue escrever uma regra que marque "cursor confinado". O problema é que ela também marcaria a pessoa lendo um contrato de 40 páginas, a que está numa ligação com a mão descansando no mouse e a que está assistindo a um vídeo de treinamento.

Um falso positivo aqui não é um dado ruim num painel: é uma acusação contra um funcionário. Por isso o que importa não é o limiar, e sim quanto tempo o padrão precisa se sustentar antes de valer a pena olhar.

É assim que o Argos lida com isso: cada padrão tem sua própria barra de tempo, e elas são deliberadamente longas. A tecla presa precisa de saturação quase total por cerca de quatro minutos seguidos. O movedor de mouse, dois minutos de deriva confinada sem um único clique. O cursor que vaga — o mais fraco dos três sinais — precisa de dez minutos de movimento contínuo, e se reinicia por completo assim que o cursor fica parado um momento, porque uma pessoa presente se move em rajadas com pausas no meio.

Um clique real, um movimento amplo ou uma pausa natural apagam o contador na hora. É um desenho feito para deixar a dúvida passar, não para acumulá-la.

É um aviso de revisão, não um veredicto

Esta é a parte mais importante e onde mais gente erra ao comprar uma ferramenta assim.

Um padrão sustentado de atividade simulada não prova que alguém esteja trapaceando. Prova que a máquina reportou atividade que não se comporta como atividade humana. Pode ser um jiggler. Pode igualmente ser um teclado defeituoso, um processo automatizado legítimo ou uma sessão remota mal configurada.

O Argos marca como aviso de revisão e mostra na linha do tempo da máquina, para que um supervisor olhe com contexto: qual aplicativo estava aberto, o que aconteceu antes e depois, se é a primeira vez ou o quinto dia seguido. Essa conversa é de uma pessoa, não de um limiar.

Convém dizer também o que ele não detecta: um auto-clicker por software que envia cliques e teclas reais ao sistema operacional produz eventos indistinguíveis dos de um humano nesta camada de análise. Detectar input injetado é outro problema, e qualquer fornecedor que prometa caçar tudo com uma caixinha de seleção está te vendendo fumaça.

O que isso te dá na prática

Com os três padrões cobertos, o número no seu painel volta a significar alguma coisa. "Oito ativos" quer dizer oito pessoas trabalhando, não oito contadores de inatividade zerados por dispositivos de cinco dólares.

E você chega lá sem um único registro de teclas, sem ler e-mails e sem nada que precise esconder da sua equipe. Muito pelo contrário: é uma política que você pode anunciar em voz alta — "medimos o ritmo do uso, nunca o conteúdo" — e que se sustenta sozinha quando alguém pergunta.

Essa é a diferença entre um monitoramento que sua equipe tolera e um que termina em conflito trabalhista.

Veja a atividade real da sua frota

O Argos detecta os três padrões de atividade simulada, sem keylogging, com limiares pensados para não marcar quem só está lendo. Junto ao timeline de presença, ao mural de telas e aos alertas configuráveis, num único console.

Ver a detecção de presença na demo · Todas as funções de monitoramento