Phishing AiTM: Porque até o código 2FA inserido numa página falsa é roubado

Durante anos, a implementação do MFA (autenticação multifator) foi apresentada como o escudo definitivo contra o roubo de credenciais. Para os CISO e equipas de segurança, exigir um código temporário por SMS ou uma notificação push permitia neutralizar de imediato 99% dos ataques de phishing convencionais. Contudo, esta certeza desmorona-se perante o crescimento acentuado dos ataques AiTM (Adversary-in-the-Middle).

Atualmente, um colaborador pode introduzir rigorosamente a sua palavra-passe e validar o segundo fator no telemóvel, entregando em simultâneo o acesso total à sua caixa de correio profissional ou ao ambiente cloud. Os atacantes já não procuram quebrar palavras-passe: contornam diretamente o controlo de acesso. Compreender este mecanismo técnico tornou-se indispensável para ajustar a sua estratégia defensiva e os programas de sensibilização interna.

Como é que um kit de phishing AiTM interceta o token de sessão apesar da dupla autenticação?#

Em resumo: Um kit AiTM atua como um reverse proxy malicioso que reencaminha em tempo real os pedidos entre a vítima e o serviço legítimo. Quando o utilizador valida o código 2FA, o servidor autêntico emite um cookie de sessão que o atacante interceta para usurpar de imediato a identidade autenticada.

Ao contrário de uma página de phishing tradicional, que se limita a replicar o aspeto visual de um ecrã de início de sessão para registar toques no teclado, a infraestrutura AiTM baseia-se num fluxo dinâmico:

• O retransmissor em espelho: O atacante implementa um servidor proxy inverso sob um domínio fraudulento. Quando a vítima acede à ligação maliciosa, o servidor do atacante carrega a verdadeira página de autenticação do fornecedor (por exemplo, o portal de um serviço colaborativo cloud) e apresenta-a à vítima.
• A interceção do primeiro fator: O utilizador introduz o seu identificador e a palavra-passe. O proxy malicioso transmite estes dados no mesmo instante ao serviço legítimo, que solicita o segundo fator habitual.
• A validação do MFA: A vítima recebe o pedido de aprovação na sua aplicação autenticadora ou o código numérico, validando-o com total confiança. Do ponto de vista do utilizador, a experiência é idêntica a um início de sessão comum.
• A captura do cookie de sessão: Assim que o MFA é aprovado, o servidor legítimo gera um token de autenticação (session cookie) para manter a sessão ativa. É este elemento crucial que o proxy AiTM captura em trânsito antes de redirecionar a vítima para uma página inofensiva.

Com a posse deste cookie de sessão, o atacante injeta-o no seu próprio navegador. Desta forma, contorna a palavra-passe, o MFA e eventuais alterações de credenciais, acedendo diretamente ao ambiente de trabalho sem gerar alertas imediatos.

Porque é que os métodos 2FA convencionais já não chegam face ao roubo de sessão?#

Em resumo: Os métodos MFA tradicionais, como SMS, aplicações TOTP e notificações push, não associam criptograficamente a sessão ao domínio web legítimo. Comprovam apenas a identidade do utilizador num determinado momento sem validar a autenticidade do URL consultado pelo navegador.

Os códigos de utilização única gerados por aplicações ou transmitidos por SMS partilham uma fragilidade estrutural crítica: dependem da ação humana. Sempre que um utilizador precisa de ler caracteres para os introduzir num formulário, pode ser induzido em erro e inseri-los num domínio malicioso.

A limitação das notificações push e dos códigos TOTP

Mesmo as notificações push com emparelhamento de números (number matching) continuam expostas a ataques AiTM. O proxy inverso transfere o número indicado pelo servidor legítimo diretamente para o ecrã do colaborador enganado, que seleciona o número correspondente no seu telemóvel sem suspeitar da fraude.

A necessidade de autenticação FIDO2 e Passkeys

Para neutralizar em definitivo esta vulnerabilidade, as arquiteturas modernas evoluem para modelos de autenticação resistentes ao phishing (phishing-resistant MFA) fundamentados nos standards FIDO2 e WebAuthn:

• Ligação criptográfica ao domínio: Numa autenticação FIDO2 (recorrendo a chaves de segurança físicas ou Passkeys), o navegador comunica diretamente com o componente de hardware seguro, transmitindo o URL exato do endereço acedido.
• Bloqueio automático em domínios falsos: Se o utilizador estiver num domínio fraudulento (como login-protegido-empresa.com em vez do domínio oficial), a chave criptográfica recusa assinar o pedido devido à divergência de origem. O proxy AiTM não recebe informação útil e fica impossibilitado de obter qualquer cookie de sessão.

Como proteger concretamente os colaboradores contra o phishing AiTM?#

A transição para chaves físicas e Passkeys exige planeamento e ajustes operacionais. Em paralelo com essa modernização técnica, diversas medidas práticas permitem diminuir de forma expressiva a superfície de exposição ao risco.

Reforçar as políticas de acesso condicional

Limite a utilidade de eventuais cookies de sessão roubados aplicando controlos de contexto rigorosos:

• Exigência de dispositivos conformes: Impeça o uso de sessões web originadas em equipamentos não registados ou que não cumpram as diretrizes de conformidade da organização (gestão centralizada via MDM).
• Restrições geográficas e deteção de viagens impossíveis: Monitorize incoerências de acesso temporal, como uma autenticação concluída em Lisboa seguida de pedidos de API a partir de outro continente poucos minutos depois.
• Redução do tempo de vida dos tokens: Diminua o período de persistência das sessões web para exigir reautenticações frequentes no acesso a aplicações críticas.

Desenvolver o escrutínio do URL nas equipas

O elo mais fraco de uma operação AiTM continua a ser o domínio utilizado: o atacante não consegue replicar o domínio exato do fornecedor legítimo. A verificação atenta da barra de endereço do navegador mantém-se como uma barreira defensiva determinante.

Para transformar esta verificação num hábito consolidado em toda a organização, o treino em contexto prático é indispensável. Com o Super Phisher, o nosso simulador de campanadas de phishing de treino implementado com os nossos especialistas, confronta as suas equipas com cenários modernos e fidedignos, avaliando a capacidade de identificar anomalias nos URLs antes da partilha de credenciais.

INTERFACE E EXPERIÊNCIA BRAIN SECURITY · Super Phisher

Rumo a uma estratégia de cibersegurança que combina tecnologia e fator humano#

O phishing baseado no contorno de múltiplos fatores evidencia a rapidez com que as táticas hostis se transformam. Confiar exclusivamente num mecanismo tecnológico sem atualizar as competências dos colaboradores gera uma falsa perceção de proteção altamente arriscada.

A abordagem mais sólida combina a adoção de normas FIDO2, a configuração detalhada dos controlos de acesso e o treino regular das pessoas contra esquemas avançados de engenharia social. Pretende avaliar o nível de preparação dos seus colaboradores perante os vetores de ataque atuais e estruturar um plano de treino ajustado à sua realidade? Fale connosco sobre as suas necessidades para dialogar com a nossa equipa e conhecer os nossos métodos imersivos.

Para aprofundar: artigos relacionados e soluções da Brain Security#

Artigos complementares sobre este tema

• Engenharia social nas redes profissionais: Quando uma falsa oferta oculta uma intrusão (Phishing e Engenharia social) : Descubra como os atacantes exploram as redes sociais profissionais para enganar colaboradores com falsas ofertas de emprego e roubar acessos.
• Taxa de reporte de phishing: por que razão o CISO deve abandonar a taxa de clique (Phishing e Engenharia social) : Descubra por que a taxa de reporte de phishing supera a taxa de clique para mitigar o risco e proteger a organização em poucos minutos.
• Baiting e pens USB armadilhadas: Porque a curiosidade continua a ser um vetor de intrusão temível (Phishing e Engenharia social) : Descubra como o baiting com pens USB compromete os colaboradores e conheça as medidas de segurança física cruciais para proteger a sua organização.
• PCI DSS v4.0 Requisito 12.6: Reforçar a sensibilização contra phishing (Conformidade (NIS 2, DORA, ISO)) : Conheça as exigências do PCI DSS v4.0 (12.6) para a formação em cibersegurança e o combate ao phishing com as nossas recomendações práticas.

Descobrir as soluções da Brain Security no site

• Solução associada : Super Phisher : O simulador de phishing que treina as suas equipas para os ataques reais, do falso e-mail ao código QR armadilhado, num quadro controlado que nunca captura uma palavra-passe.
• Consultar os casos de uso por necessidade e setor
• Comparar os nossos formatos de sensibilização ciber e IA
• Explorar todo o catálogo interativo da Brain Security
• Falar das suas necessidades com a nossa equipa (demo e implementação)