São sempre os mesmos usuários? Eles estão tentando usar a API?
Se não for esse o caso e eles não estiverem, verifique os perfis de alguns usuários afetados: os IPs deles parecem corretos? Todos são iguais ou semelhantes? Se sim, pode ser um proxy reverso mal configurado ou algo como o Cloudflare sendo usado com a nuvem laranja ativada, sem o template especificado no YML.