--- id: "phishing-011" title: "Phishing AiTM: Porque até o código 2FA inserido numa página falsa é roubado" description: "Saiba como o phishing AiTM contorna o MFA através do roubo de cookies de sessão e descubra as estratégias essenciais para proteger a sua organização." canonical: https://startbrain.io/pt/ciberseguranca/phishing-aitm-roubo-sessao-mfa-protecao/ slug: "phishing-aitm-roubo-sessao-mfa-protecao" date: "2026-09-29" category: "phishing" product: "superphisher" lang: pt author: "Brain Security · I&D Ciber e Fator Humano" frameworks: "CNCS · QNRCS · NIS 2 · DORA · RGPD · ISO 27001" --- # Phishing AiTM: Porque até o código 2FA inserido numa página falsa é roubado Durante anos, a implementação do MFA (autenticação multifator) foi apresentada como o escudo definitivo contra o roubo de credenciais. Para os CISO e equipas de segurança, exigir um código temporário por SMS ou uma notificação push permitia neutralizar de imediato 99% dos ataques de phishing convencionais. Contudo, esta certeza desmorona-se perante o crescimento acentuado dos ataques AiTM (Adversary-in-the-Middle). Atualmente, um colaborador pode introduzir rigorosamente a sua palavra-passe e validar o segundo fator no telemóvel, entregando em simultâneo o acesso total à sua caixa de correio profissional ou ao ambiente cloud. Os atacantes já não procuram quebrar palavras-passe: contornam diretamente o controlo de acesso. Compreender este mecanismo técnico tornou-se indispensável para ajustar a sua estratégia defensiva e os programas de sensibilização interna. --- ## Como é que um kit de phishing AiTM interceta o token de sessão apesar da dupla autenticação? > **Em resumo: Um kit AiTM atua como um reverse proxy malicioso que reencaminha em tempo real os pedidos entre a vítima e o serviço legítimo. Quando o utilizador valida o código 2FA, o servidor autêntico emite um cookie de sessão que o atacante interceta para usurpar de imediato a identidade autenticada.** Ao contrário de uma página de phishing tradicional, que se limita a replicar o aspeto visual de um ecrã de início de sessão para registar toques no teclado, a infraestrutura AiTM baseia-se num fluxo dinâmico: - **O retransmissor em espelho:** O atacante implementa um servidor proxy inverso sob um domínio fraudulento. Quando a vítima acede à ligação maliciosa, o servidor do atacante carrega a verdadeira página de autenticação do fornecedor (por exemplo, o portal de um serviço colaborativo cloud) e apresenta-a à vítima. - **A interceção do primeiro fator:** O utilizador introduz o seu identificador e a palavra-passe. O proxy malicioso transmite estes dados no mesmo instante ao serviço legítimo, que solicita o segundo fator habitual. - **A validação do MFA:** A vítima recebe o pedido de aprovação na sua aplicação autenticadora ou o código numérico, validando-o com total confiança. Do ponto de vista do utilizador, a experiência é idêntica a um início de sessão comum. - **A captura do cookie de sessão:** Assim que o MFA é aprovado, o servidor legítimo gera um token de autenticação (session cookie) para manter a sessão ativa. É este elemento crucial que o proxy AiTM captura em trânsito antes de redirecionar a vítima para uma página inofensiva. Com a posse deste cookie de sessão, o atacante injeta-o no seu próprio navegador. Desta forma, contorna a palavra-passe, o MFA e eventuais alterações de credenciais, acedendo diretamente ao ambiente de trabalho sem gerar alertas imediatos. --- ## Porque é que os métodos 2FA convencionais já não chegam face ao roubo de sessão? > **Em resumo: Os métodos MFA tradicionais, como SMS, aplicações TOTP e notificações push, não associam criptograficamente a sessão ao domínio web legítimo. Comprovam apenas a identidade do utilizador num determinado momento sem validar a autenticidade do URL consultado pelo navegador.** Os códigos de utilização única gerados por aplicações ou transmitidos por SMS partilham uma fragilidade estrutural crítica: dependem da ação humana. Sempre que um utilizador precisa de ler caracteres para os introduzir num formulário, pode ser induzido em erro e inseri-los num domínio malicioso. ### A limitação das notificações push e dos códigos TOTP Mesmo as notificações push com emparelhamento de números (number matching) continuam expostas a ataques AiTM. O proxy inverso transfere o número indicado pelo servidor legítimo diretamente para o ecrã do colaborador enganado, que seleciona o número correspondente no seu telemóvel sem suspeitar da fraude. ### A necessidade de autenticação FIDO2 e Passkeys Para neutralizar em definitivo esta vulnerabilidade, as arquiteturas modernas evoluem para modelos de autenticação resistentes ao phishing (phishing-resistant MFA) fundamentados nos standards FIDO2 e WebAuthn: - **Ligação criptográfica ao domínio:** Numa autenticação FIDO2 (recorrendo a chaves de segurança físicas ou Passkeys), o navegador comunica diretamente com o componente de hardware seguro, transmitindo o URL exato do endereço acedido. - **Bloqueio automático em domínios falsos:** Se o utilizador estiver num domínio fraudulento (como `login-protegido-empresa.com` em vez do domínio oficial), a chave criptográfica recusa assinar o pedido devido à divergência de origem. O proxy AiTM não recebe informação útil e fica impossibilitado de obter qualquer cookie de sessão. --- ## Como proteger concretamente os colaboradores contra o phishing AiTM? A transição para chaves físicas e Passkeys exige planeamento e ajustes operacionais. Em paralelo com essa modernização técnica, diversas medidas práticas permitem diminuir de forma expressiva a superfície de exposição ao risco. ### Reforçar as políticas de acesso condicional Limite a utilidade de eventuais cookies de sessão roubados aplicando controlos de contexto rigorosos: - **Exigência de dispositivos conformes:** Impeça o uso de sessões web originadas em equipamentos não registados ou que não cumpram as diretrizes de conformidade da organização (gestão centralizada via MDM). - **Restrições geográficas e deteção de viagens impossíveis:** Monitorize incoerências de acesso temporal, como uma autenticação concluída em Lisboa seguida de pedidos de API a partir de outro continente poucos minutos depois. - **Redução do tempo de vida dos tokens:** Diminua o período de persistência das sessões web para exigir reautenticações frequentes no acesso a aplicações críticas. ### Desenvolver o escrutínio do URL nas equipas O elo mais fraco de uma operação AiTM continua a ser o domínio utilizado: o atacante não consegue replicar o domínio exato do fornecedor legítimo. A verificação atenta da barra de endereço do navegador mantém-se como uma barreira defensiva determinante. Para transformar esta verificação num hábito consolidado em toda a organização, o treino em contexto prático é indispensável. Com o [Super Phisher](/pt/catalogo/super-phisher/), o nosso simulador de campanadas de phishing de treino implementado com os nossos especialistas, confronta as suas equipas com cenários modernos e fidedignos, avaliando a capacidade de identificar anomalias nos URLs antes da partilha de credenciais. --- ## Rumo a uma estratégia de cibersegurança que combina tecnologia e fator humano O phishing baseado no contorno de múltiplos fatores evidencia a rapidez com que as táticas hostis se transformam. Confiar exclusivamente num mecanismo tecnológico sem atualizar as competências dos colaboradores gera uma falsa perceção de proteção altamente arriscada. A abordagem mais sólida combina a adoção de normas FIDO2, a configuração detalhada dos controlos de acesso e o treino regular das pessoas contra esquemas avançados de engenharia social. Pretende avaliar o nível de preparação dos seus colaboradores perante os vetores de ataque atuais e estruturar um plano de treino ajustado à sua realidade? [Fale connosco sobre as suas necessidades](/pt/marcacao/) para dialogar com a nossa equipa e conhecer os nossos métodos imersivos. ### 15 / 30 / 60 / 90-Day Rollout Plan: Phishing AiTM: Porque até o código 2FA inserido numa página falsa é roubado | Horizon | Priority Workstream | Operational Implementation | Reference Section | | --- | --- | --- | --- | | **D+15 · Scope** | O retransmissor em espelho | O atacante implementa um servidor proxy inverso sob um domínio fraudulento. Quando a vítima acede à ligação maliciosa, o servidor do atacante carrega… | Como é que um kit de phishing AiTM interceta o token de sessão… | | **D+30 · Pilot** | Ligação criptográfica ao domínio | Numa autenticação FIDO2 (recorrendo a chaves de segurança físicas ou Passkeys), o navegador comunica diretamente com o componente de hardware seguro… | Porque é que os métodos 2FA convencionais já não chegam face ao… | | **D+60 · Rollout** | Exigência de dispositivos conformes | Impeça o uso de sessões web originadas em equipamentos não registados ou que não cumpram as diretrizes de conformidade da organização (gestão… | Como proteger concretamente os colaboradores contra o phishing… | | **D+90 · Audit** | A interceção do primeiro fator | O utilizador introduz o seu identificador e a palavra-passe. O proxy malicioso transmite estes dados no mesmo instante ao serviço legítimo, que… | Como é que um kit de phishing AiTM interceta o token de sessão… | --- ## Para aprofundar: artigos relacionados e soluções da Brain Security ### Artigos complementares sobre este tema - **[Engenharia social nas redes profissionais: Quando uma falsa oferta oculta uma intrusão](/pt/ciberseguranca/engenharia-social-redes-profissionais-falsas-ofertas-intrusao/)** (Phishing e Engenharia social) : Descubra como os atacantes exploram as redes sociais profissionais para enganar colaboradores com falsas ofertas de emprego e roubar acessos. - **[Taxa de reporte de phishing: por que razão o CISO deve abandonar a taxa de clique](/pt/ciberseguranca/taxa-reporte-phishing-ciso-taxa-clique/)** (Phishing e Engenharia social) : Descubra por que a taxa de reporte de phishing supera a taxa de clique para mitigar o risco e proteger a organização em poucos minutos. - **[Baiting e pens USB armadilhadas: Porque a curiosidade continua a ser um vetor de intrusão temível](/pt/ciberseguranca/baiting-pen-usb-armadilhada-engenharia-social/)** (Phishing e Engenharia social) : Descubra como o baiting com pens USB compromete os colaboradores e conheça as medidas de segurança física cruciais para proteger a sua organização. - **[PCI DSS v4.0 Requisito 12.6: Reforçar a sensibilização contra phishing](/pt/ciberseguranca/pci-dss-v4-requisito-12-6-sensibilizacao-phishing/)** (Conformidade (NIS 2, DORA, ISO)) : Conheça as exigências do PCI DSS v4.0 (12.6) para a formação em cibersegurança e o combate ao phishing com as nossas recomendações práticas. ### Descobrir as soluções da Brain Security no site - **Solução associada : [Super Phisher](/pt/catalogo/super-phisher/)** : O simulador de phishing que treina as suas equipas para os ataques reais, do falso e-mail ao código QR armadilhado, num quadro controlado que nunca captura uma palavra-passe. - **[Consultar os casos de uso por necessidade e setor](/pt/casos-de-uso/)** - **[Comparar os nossos formatos de sensibilização ciber e IA](/pt/comparativo/)** - **[Explorar todo o catálogo interativo da Brain Security](/pt/catalogo/)** - **[Falar das suas necessidades com a nossa equipa (demo e implementação)](/pt/marcacao/)** --- - https://startbrain.io/pt/ciberseguranca/phishing-aitm-roubo-sessao-mfa-protecao/ - [Français](https://startbrain.io/fr/cybersecurite/attaque-aitm-adversary-in-the-middle-vol-session/) - [Deutsch](https://startbrain.io/de/cybersecurity/aitm-phishing-mfa-session-hijacking-schutz/) - [English (UK)](https://startbrain.io/en-gb/cybersecurity/aitm-phishing-session-cookie-theft-mfa-bypass/) - [English (US)](https://startbrain.io/en-us/cybersecurity/aitm-phishing-session-cookie-bypass-mfa/) - [Español](https://startbrain.io/es/cyberseguridad/phishing-aitm-robo-sesion-mfa-doble-autenticacion/) - [Italiano](https://startbrain.io/it/sicurezza-informatica/phishing-aitm-furto-codice-2fa-cookie-sessione/) - [Nederlands](https://startbrain.io/nl/cybersecurity/aitm-phishing-mfa-bypass-sessiecookie-beveiliging/) - [日本語](https://startbrain.io/ja/cybersecurity/aitm-phishing-mfa-bypass-session-cookie-theft/) - [Polski](https://startbrain.io/pl/cyberbezpieczenstwo/phishing-aitm-omijanie-2fa-kradziez-sesji-mfa/) - [Svenska](https://startbrain.io/sv/cybersakerhet/aitm-phishing-kringga-mfa-sessionsstold/) - [Dansk](https://startbrain.io/da/cybersikkerhed/aitm-phishing-session-cookie-omgaaelse-mfa-2fa/) - [Suomi](https://startbrain.io/fi/kyberturvallisuus/aitm-phishing-mfa-istuntotietojen-kaappaus/) - [Norsk](https://startbrain.io/no/cybersikkerhet/aitm-phishing-mfa-sesjonskapsler-sikkerhet/) - [English (Canada)](https://startbrain.io/en-ca/cybersecurity/aitm-phishing-session-cookie-bypass-mfa/) - [llms.txt](https://startbrain.io/llms.txt)