¿Son siempre los mismos usuarios? ¿Están intentando usar la API?
Si no es así y no lo están, revisa los perfiles de algunos usuarios afectados: ¿parecen precisas sus direcciones IP? ¿Son todas iguales o similares? De ser así, se trata de un proxy inverso mal configurado o de algo como Cloudflare siendo utilizado con la nube naranja activada sin la plantilla especificada en el archivo YML.