O ataque mudou de alvo: agora ele quer ser você
Um levantamento de inteligência de ameaças divulgado pela Infosecurity Magazine aponta que o phishing AiTM (adversary-in-the-middle, adversário no meio) se tornou o principal vetor de acesso inicial contra escritórios de advocacia. Segundo o mesmo relatório, ataques baseados em identidade já respondem por 56% de todas as ameaças observadas no setor jurídico. A leitura publicamente disponível indica ainda que a técnica está migrando para prestadores de serviços profissionais de outros segmentos.
O que torna o AiTM diferente do phishing clássico é o mecanismo. Em vez de apenas capturar usuário e senha, o atacante interpõe uma página intermediária que retransmite a autenticação em tempo real e captura o cookie de sessão, o arquivo temporário que mantém o usuário logado depois da verificação. Com esse cookie em mãos, o segundo fator tradicional já foi cumprido e não é solicitado de novo. Reportagens complementares da Infosecurity Magazine mostram que campanhas de phishing também têm explorado plataformas legítimas de colaboração como canal de entrega, o que aumenta a credibilidade da isca.
Fica a pergunta que interessa a quem decide: se o seu segundo fator pode ser contornado sem que ninguém perceba, o que exatamente está protegendo a conta de quem assina contratos na sua empresa?
Por que isso conversa com qualquer empresa, não só com bancas jurídicas
O setor jurídico aparece nas manchetes por um motivo econômico simples: escritórios concentram contratos, dados de fusões e aquisições, informações societárias e segredos de clientes. Uma única caixa de e-mail comprometida ali vale muito. Mas o raciocínio do atacante é replicável. Empresas de contabilidade, comércio, indústria, construção e saúde também guardam propostas, tabelas de preço, dados bancários de fornecedores e conversas que revelam quem aprova pagamentos.
O ponto central é uma mudança de alvo. O ativo atacado deixou de ser o servidor e passou a ser a identidade. Isso desloca a conversa de orçamento: proteger apenas o perímetro da rede resolve pouco quando a porta usada é uma credencial válida acessada de fora, com sessão legítima e sem malware envolvido. Para o líder de TI interno, o número de 56% é um argumento objetivo para revisar a prioridade da camada de identidade.
Há também um efeito de cadeia que costuma passar despercebido. Uma conta comprometida em uma empresa vira remetente confiável para clientes, fornecedores e parceiros. É assim que nascem variações como o golpe do falso advogado ou do falso fornecedor, em que a mensagem vem do endereço real, com histórico real, pedindo uma alteração de dados bancários que parece plausível. Não é preciso invadir o financeiro quando dá para escrever a partir da caixa de alguém em quem o financeiro confia.
Para empreendedores de TI que atendem carteiras de clientes, o dado tem leitura comercial direta: revisar a postura de autenticação de toda a base antes do primeiro incidente é mais barato, e muito mais confortável, do que revisar depois.
A boa notícia: essa porta tem fechadura conhecida
O primeiro movimento, e o de maior impacto por real investido, é adotar MFA resistente a phishing. Padrões como FIDO2 e passkeys vinculam a autenticação criptograficamente ao endereço legítimo do serviço, de modo que uma página intermediária simplesmente não consegue retransmitir a credencial. É a diferença entre um segundo fator que confirma uma ação e um segundo fator que confirma a identidade do destino. Códigos por SMS e aprovações por push continuam melhores do que senha sozinha, mas são justamente o cenário que o AiTM foi desenhado para vencer.
O segundo movimento são políticas de acesso condicional, regras que só liberam a sessão quando o acesso vem de um dispositivo conhecido, gerenciado e em conformidade. Amarrar sessão a dispositivo confiável tira o valor do cookie roubado: mesmo capturado, ele não abre nada em outra máquina. Somado a isso, monitoramento 24/7 com detecção de login anômalo e revogação automática de sessão encurta a janela entre o roubo da credencial e a tentativa de fraude, que é onde o prejuízo realmente acontece.
A camada seguinte cuida do que vem depois do acesso inicial. EDR (Endpoint Detection and Response, detecção e resposta em endpoints) impede que o invasor estabeleça persistência nos dispositivos. Gestão de patches fecha as falhas usadas para escalar privilégios. Backup imutável, aquele que não pode ser alterado nem apagado dentro do período de retenção, somado a um plano de continuidade testado, garante que uma tentativa de extorsão não pare a operação. E treinamento periódico de usuários mantém a equipe capaz de reconhecer o pedido estranho antes do clique.
Nada disso exige um projeto de dois anos. Exige sequência: identidade primeiro, endpoint depois, resiliência sempre, com trilhas de auditoria que atendem exigências contratuais de clientes e marcos regulatórios de privacidade como GDPR e LGPD.
Sua empresa conseguiria detectar uma sessão sequestrada antes do prejuízo?
Essa é a pergunta que separa quem tem segurança de quem tem apenas ferramentas instaladas. A resposta prática é bastante alcançável. Um inventário honesto de quais contas ainda dependem de SMS ou push simples, começando por sócios, diretoria, financeiro e TI, costuma revelar em poucas horas onde está a exposição real. A partir daí, migrar esse grupo para MFA resistente a phishing e aplicar acesso condicional com dispositivo confiável já elimina a maior parte do valor de um cookie roubado.
O restante é operação contínua e bem distribuída: monitoramento 24/7 que enxerga login improvável e revoga sessão sem esperar o horário comercial, EDR ativo nos endpoints, gestão de patches com cadência definida, backup imutável testado em restauração, treinamento recorrente e suporte remoto estruturado para responder rápido quando algo soar errado. Empresas de 5 a 5000 funcionários operam esse conjunto todos os dias, muitas com equipe enxuta e o apoio de um modelo de TI gerenciada. O AiTM é sofisticado, mas não é invencível: ele depende de um elo específico, e esse elo tem substituto maduro e disponível. Quem faz essa troca de forma organizada sai do ciclo de reagir a susto e passa a operar com previsibilidade.
Perguntas frequentes
O que é phishing AiTM e por que ele contorna o MFA?
Phishing AiTM (adversary-in-the-middle, adversário no meio) é uma técnica em que o atacante posiciona uma página intermediária entre o usuário e o serviço real, retransmitindo a autenticação em tempo real. Como o login legítimo é concluído, o atacante captura o cookie de sessão, o arquivo que mantém o usuário autenticado. Com esse cookie, o segundo fator já foi cumprido e não é solicitado novamente, o que permite acesso sem senha nem código.
MFA por SMS ou push ainda vale a pena?
Sim, qualquer segundo fator é melhor do que senha isolada e ainda barra a maioria dos ataques automatizados. O ponto é que SMS e push simples não protegem contra sequestro de sessão, porque não verificam se o site que solicita a autenticação é o legítimo. Por isso a recomendação é evoluir para MFA resistente a phishing, com padrões como FIDO2 e passkeys, priorizando contas de sócios, diretoria, financeiro e TI.
Por quais contas começar a migração de autenticação?
A prioridade deve seguir o valor do que a conta acessa e o poder de decisão de quem a usa. Sócios, C-levels, financeiro, jurídico e administradores de TI concentram contratos, aprovações de pagamento e privilégios elevados, sendo os alvos mais rentáveis. Depois desse núcleo, a expansão para o restante da organização pode ser feita em ondas, sem interromper a operação.
Se quiser mapear onde sua empresa ainda depende de autenticação vulnerável, converse com nossos especialistas em um Diagnóstico Estratégico de TI, Sem Compromisso.