Это всегда одни и те же пользователи? Пытаются ли они использовать API?
Если нет, проверьте профили некоторых затронутых пользователей: выглядят ли их IP-адреса корректно? Все ли они одинаковые или похожие? Если да, то это либо неправильно настроенный обратный прокси, либо использование Cloudflare с включенным оранжевым облаком без указания шаблона в YAML-файле.