--- id: CP-004 slug: ataque-aitm-roubo-token-mfa lang: pt title: Ataque AiTM e roubo de token MFA description: Um site de início de sessão falso retransmite em direto a sua palavra-passe e o código MFA, e o atacante rouba a sessão. Como funciona e como se proteger. canonical_url: https://startbrain.io/cyberpedia/pt/articles/ataque-aitm-roubo-token-mfa/ markdown_url: https://startbrain.io/cyberpedia/pt/articles/ataque-aitm-roubo-token-mfa.md publisher: Brain (https://startbrain.io) license: CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/) cite_as: Brain, «Ataque AiTM e roubo de token MFA», Cyberpedia, 2026. https://startbrain.io/cyberpedia/pt/articles/ataque-aitm-roubo-token-mfa/ (CC BY 4.0) wing: 1 theme: detect_phishing reflex: cr-004 schema: G1 updated: "2026-11-03" translations: pt: https://startbrain.io/cyberpedia/pt/articles/ataque-aitm-roubo-token-mfa/ fr: https://startbrain.io/cyberpedia/fr/articles/attaque-aitm-vol-jeton-mfa/ en: https://startbrain.io/cyberpedia/en/articles/aitm-attack-mfa-token-theft/ de: https://startbrain.io/cyberpedia/de/articles/aitm-angriff-mfa-token-diebstahl/ es: https://startbrain.io/cyberpedia/es/articles/ataque-aitm-robo-token-mfa/ it: https://startbrain.io/cyberpedia/it/articles/attacco-aitm-furto-token-mfa/ nl: https://startbrain.io/cyberpedia/nl/articles/aitm-aanval-diefstal-mfa-token/ sources: - "n": 1 title: "From cookie theft to BEC: Attackers use AiTM phishing sites as entry point to further financial fraud" publisher: Microsoft url: https://www.microsoft.com/en-us/security/blog/2022/07/12/from-cookie-theft-to-bec-attackers-use-aitm-phishing-sites-as-entry-point-to-further-financial-fraud/ published: "2022-07-12" accessed: "2026-11-03" - "n": 2 title: "Use Alternate Authentication Material: Web Session Cookie, Sub-technique T1550.004 - Enterprise" publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1550/004/ accessed: "2026-11-03" - "n": 3 title: Implementing Phishing-Resistant MFA publisher: CISA url: https://www.cisa.gov/sites/default/files/publications/fact-sheet-implementing-phishing-resistant-mfa-508c.pdf accessed: "2026-11-03" - "n": 4 title: Passkeys (FIDO2) authentication method in Microsoft Entra ID publisher: Microsoft url: https://learn.microsoft.com/en-us/entra/identity/authentication/concept-authentication-passkeys-fido2 accessed: "2026-11-03" - "n": 5 title: Adversary-in-the-Middle, Technique T1557 - Enterprise publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1557/ accessed: "2026-11-03" - "n": 6 title: "Phishing: Spearphishing Link, Sub-technique T1566.002 - Enterprise" publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1566/002/ accessed: "2026-11-03" - "n": 7 title: Steal Web Session Cookie, Technique T1539 - Enterprise publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1539/ accessed: "2026-11-03" - "n": 8 title: Multi-factor authentication for your corporate online services publisher: NCSC (Royaume-Uni) url: https://www.ncsc.gov.uk/collection/mfa-for-your-corporate-online-services published: "2024-09-26" accessed: "2026-11-03" --- # Ataque AiTM e roubo de token MFA Introduz a palavra-passe, valida o código da aplicação de autenticação e o correio eletrónico abre como de costume. No entanto, a página de início de sessão era falsa. Num ataque chamado «adversary-in-the-middle» (AiTM, o atacante no meio), um servidor colocado entre si e o serviço verdadeiro transmite tudo em direto, e o atacante guarda pelo caminho a prova do seu início de sessão. Essa prova é o cookie de sessão, o pequeno ficheiro que o serviço entrega ao navegador depois de a identificação ter sucesso. Com ele, o atacante entra na sua conta sem que o serviço lhe volte a pedir fosse o que fosse. ## Em 30 segundos - Onde acontece: numa página de início de sessão de um serviço em linha (correio eletrónico, aplicações de escritório em linha), a que se chega a partir de uma ligação ou de um anexo recebidos por correio eletrónico [1]. - O que quer o atacante: a palavra-passe e, sobretudo, o cookie de sessão, para iniciar sessão em seu nome apesar da autenticação multifator (MFA) [1]. - O reflexo: não abra a página de início de sessão a partir de uma mensagem; use o seu favorito ou o endereço que escreve você mesmo, e comunique qualquer mensagem que o envie para lá. - Se já aconteceu: avise de imediato o serviço informático, porque um atacante pode agir na caixa de correio poucos minutos depois do roubo [1]. ## Perguntas diretas ### A MFA não protege contra o roubo de contas? Pára muitas ameaças. A Microsoft escreve que o AiTM não é uma falha da MFA: como o cookie de sessão é roubado, o atacante fica autenticado no lugar do utilizador, qualquer que seja o método de início de sessão deste [1]. A MITRE observa igualmente que usar um cookie de sessão roubado contorna alguns protocolos MFA, uma vez que a sessão já está autenticada [2]. ### Qual é o aspeto da página armadilhada? O da verdadeira. O servidor do atacante retransmite cada troca para o site imitado: a página é visualmente idêntica à original, e o endereço é a única diferença visível [1]. Se a organização personalizou a sua página de início de sessão do Azure AD, a página falsa reproduz a mesma personalização [1]. ### Um código de seis dígitos chega para me proteger? Não. A CISA descreve uma técnica de phishing corrente: a mensagem leva a um site que imita o portal de início de sessão de uma empresa, e o utilizador introduz aí o nome de utilizador, a palavra-passe e o código de 6 dígitos da sua aplicação de autenticação [3]. ### Que proteção resiste de facto? As chaves e passkeys FIDO2. A Microsoft explica que protegem contra a usurpação do verificador: o autenticador só entrega os seus segredos ao serviço junto do qual a chave foi registada, e não a um atacante que se faça passar por ele [4]. A CISA inclui a FIDO/WebAuthn e a autenticação por infraestrutura de chave pública (PKI) entre as MFA resistentes ao phishing [3]. ## Na pele do atacante O atacante não precisa de fabricar um site falso: instala um servidor web que faz passar os pacotes HTTP entre a vítima e o serviço visado, nos dois sentidos [1]. A página contém duas sessões TLS distintas, uma com a vítima e outra com o site verdadeiro, o que lhe permite extrair dos pedidos as palavras-passe e, mais importante, os cookies de sessão [1]. Este trabalho pode ser automatizado com kits de código aberto. A Microsoft cita o Evilginx2, o Modlishka e o Muraena [1]. A MITRE esclarece que o Evilginx2 pode servir de retransmissor AiTM entre um site legítimo e uma pessoa vítima de phishing para capturar credenciais, tokens de autenticação e cookies de sessão [5]. Depois de obter o cookie, o atacante injeta-o no seu próprio navegador para saltar a autenticação, mesmo que a MFA do alvo esteja ativada [1]. ## O que vê no ecrã No início, há uma mensagem. A MITRE descreve o correio eletrónico com ligação armadilhada, que serve nomeadamente para evitar as defesas que inspecionam anexos [6]. Na campanha estudada pela Microsoft, o correio trazia um anexo HTML e anunciava uma mensagem de voz [1]. A página mostrava uma barra de transferência da mensagem, mas a barra estava escrita de forma fixa no ficheiro: nenhum ficheiro de áudio era transferido [1]. A vítima era depois redirecionada para uma página que pré-preenchia o seu endereço de correio eletrónico, o que reforçava a credibilidade da armadilha [1]. Segue-se a página de início de sessão, cópia do portal da Microsoft. Depois de introduzidas as credenciais e concluída a autenticação, a vítima chegava à página verdadeira office.com [1]. Nada assinala a interceção: em segundo plano, o atacante já tinha intercetado as credenciais e aberto uma sessão por sua vez [1]. Eis uma ilustração neutralizada da forma de um endereço destes, para mostrar que só o endereço denuncia a armadilha: ```text Ilustração (endereço neutralizado, inventado para o exemplo): hxxps://login[.]exemple-portail[.]invalid/[identificador da vítima] Página apresentada: [cópia do formulário de início de sessão da Microsoft] Endereço esperado: [o endereço oficial do serviço, escrito ou guardado por si] ``` ## Por baixo do capô Um serviço web abre uma sessão depois da autenticação, para não voltar a pedir a identidade em cada página. Essa sessão assenta num cookie fornecido pelo serviço de autenticação, que prova ao servidor que o utilizador tem sessão iniciada [1]. A MITRE refere que estes cookies permanecem muitas vezes válidos durante muito tempo, mesmo quando a aplicação não está a ser usada ativamente [7]. Um atacante que tenha um pode importá-lo para um navegador que controla e iniciar sessão na aplicação [2]. Na campanha de 2022, os cookies traziam uma declaração MFA: o atacante servia-se deles para aceder à conta apesar da política MFA da organização [1]. A MITRE cita também um caso em que o APT29 usou cookies roubados para aceder a recursos na nuvem, e um cookie duo-sid forjado para contornar a MFA de uma conta de correio eletrónico, durante o comprometimento da SolarWinds [2]. Do lado da defesa, a CISA classifica as formas de MFA da mais forte à mais fraca. Os códigos de utilização única de uma aplicação são vulneráveis ao phishing, tal como os SMS e as chamadas de voz [3]. As notificações push com introdução de um número resistem ao «push bombing», mas não ao phishing [3]. Só a FIDO/WebAuthn é, segundo a CISA, a autenticação resistente ao phishing amplamente disponível [3]. O NCSC britânico dedica um guia aos métodos de MFA mais sólidos [8]. A Microsoft recomenda ainda políticas de acesso condicional, avaliadas a cada tentativa de utilização de um cookie roubado (dispositivo conforme, endereço IP de confiança) [1]. ## Autópsias ### Julho de 2022: uma campanha dirigida a mais de 10 000 organizações A 12 de julho de 2022, a Microsoft publica a análise de uma campanha de phishing AiTM em grande escala. Roubou palavras-passe, desviou sessões e ignorou a autenticação mesmo quando a MFA estava ativada. Segundo os dados da Microsoft, tentou atingir mais de 10 000 organizações desde setembro de 2021 [1]. Os atacantes imitavam a página de autenticação em linha do Office, com o kit Evilginx2 [1]. ### Depois do roubo: a fraude por transferência Os atacantes serviam-se depois das credenciais e dos cookies roubados para aceder a caixas de correio e lançar fraudes por transferência (BEC) contra outros alvos [1]. A Microsoft observou que cinco minutos podiam bastar entre o roubo e o início da fraude [1]. Nos dias seguintes, o atacante consultava de poucas em poucas horas os correios e anexos financeiros, procurava conversas em curso e depois apagava o correio de phishing inicial [1]. Criava depois uma regra da caixa de entrada que movia para «Arquivo», marcadas como lidas, as mensagens vindas do domínio do alvo da fraude, para que o titular não visse nada [1]. Por fim, respondia aos fios de conversa sobre pagamentos e faturas e apagava as suas respostas dos itens enviados [1]. Numa ocasião, conduziu várias tentativas em paralelo a partir da mesma caixa [1]. ## Fontes 1. Microsoft, «From cookie theft to BEC: Attackers use AiTM phishing sites as entry point to further financial fraud», 12 de julho de 2022. https://www.microsoft.com/en-us/security/blog/2022/07/12/from-cookie-theft-to-bec-attackers-use-aitm-phishing-sites-as-entry-point-to-further-financial-fraud/ (consultado em 3 de novembro de 2026) 2. MITRE ATT&CK, «Use Alternate Authentication Material: Web Session Cookie, Sub-technique T1550.004 - Enterprise». https://attack.mitre.org/techniques/T1550/004/ (consultado em 3 de novembro de 2026) 3. CISA, «Implementing Phishing-Resistant MFA». https://www.cisa.gov/sites/default/files/publications/fact-sheet-implementing-phishing-resistant-mfa-508c.pdf (consultado em 3 de novembro de 2026) 4. Microsoft, «Passkeys (FIDO2) authentication method in Microsoft Entra ID». https://learn.microsoft.com/en-us/entra/identity/authentication/concept-authentication-passkeys-fido2 (consultado em 3 de novembro de 2026) 5. MITRE ATT&CK, «Adversary-in-the-Middle, Technique T1557 - Enterprise». https://attack.mitre.org/techniques/T1557/ (consultado em 3 de novembro de 2026) 6. MITRE ATT&CK, «Phishing: Spearphishing Link, Sub-technique T1566.002 - Enterprise». https://attack.mitre.org/techniques/T1566/002/ (consultado em 3 de novembro de 2026) 7. MITRE ATT&CK, «Steal Web Session Cookie, Technique T1539 - Enterprise». https://attack.mitre.org/techniques/T1539/ (consultado em 3 de novembro de 2026) 8. NCSC (Royaume-Uni), «Multi-factor authentication for your corporate online services», 26 de setembro de 2024. https://www.ncsc.gov.uk/collection/mfa-for-your-corporate-online-services (consultado em 3 de novembro de 2026) --- Fonte original: Cyberpedia, a enciclopédia pública de cibersegurança e IA publicada pela Brain. Versão canónica: https://startbrain.io/cyberpedia/pt/articles/ataque-aitm-roubo-token-mfa/ Pode reutilizar livremente este texto sob a licença CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/), desde que cite «Brain, Cyberpedia» com uma ligação para o endereço acima.