Roubo de Token: Como o Adversário Burlava o MFA

O que é o ataque de adversário intermediário

No ataque de adversário intermediário, o criminoso coloca um servidor próprio entre a vítima e o site legítimo. A página clonada é um proxy reverso: tudo o que o usuário digita passa por ele antes de chegar ao destino real.

Assim, o atacante vê a senha, vê o código do segundo fator e captura o cookie de sessão já autenticada. Mesmo com MFA ativo, ele passa a usar a sessão roubada sem precisar de mais nada.

O ataque não exige vulnerabilidade no software: explora o comportamento humano e a arquitetura de sessão. Por isso, nenhuma atualização de sistema resolve sozinha — a defesa depende de desenhar autenticação e sessão de forma resiliente desde o início.

• Proxy reverso entre a vítima e o serviço legítimo
• Captura de senha, código de segundo fator e cookie de sessão
• A autenticação do usuário é real — não há quebra de criptografia
• O token roubado dispensa nova autenticação

Por que códigos por SMS e por app não bastaram

O código de uso único é gerado para a sessão e enviado ao usuário, mas o adversário intermediário simplesmente repassa esse código ao site real em tempo real. Como o código é digitado no proxy, ele funciona e é capturado no caminho.

Esse é o motivo pelo qual a indústria classifica MFA por SMS e por aplicativo não vinculado ao domínio como resistente, mas não à prova de phishing. Ele eleva a barreira, porém não elimina a captura.

Ferramentas que transformam a página falsa em proxy também reescrevem o cookie de sessão, o que torna o rastreamento por endereço pouco confiável. A defesa não está em detectar a origem, mas em impedir que o token roubado seja suficiente para agir em nome da vítima.

FIDO2 e WebAuthn como resposta

O padrão FIDO2/WebAuthn resolve o problema na raiz porque a autenticação é vinculada ao domínio legítimo. A chave criptográfica do dispositivo só assina para o domínio correto; numa página falsa, ela simplesmente se recusa a responder.

Além de resistente a phishing, a chave é vinculada ao dispositivo físico, o que impede que o segredo seja copiado para outro ambiente. Chaves de segurança físicas são o padrão ouro para contas administrativas.

Vale destacar que passkeys e chaves físicas não exigem senha, o que também remove a superfície de senhas vazadas em outros serviços. A eliminação da senha ataca duas frentes ao mesmo tempo: phishing e reaproveitamento de credencial.

• Autenticação vinculada ao domínio legítimo
• Chave criptográfica que não assina para site falso
• Chaves de segurança física para contas privilegiadas
• Passkeys oferecendo experiência sem senha com a mesma base

Acesso condicional e políticas de sessão

Além do fator, políticas de acesso condicional avaliam o contexto: dispositivo conhecido, localização, risco do login. Dias de token de sessão curtos e reautenticação para ações sensíveis reduzem o dano de um token eventualmente vazado.

Bloquear autenticação legada, exigir dispositivos gerenciados e revogar sessões ativas após alerta são medidas complementares que fecham flancos comuns.

• Políticas que avaliam risco, localização e conformidade do dispositivo
• Redução do tempo de vida do token de sessão
• Reautenticação para operações administrativas sensíveis
• Bloqueio de protocolos de autenticação legados

Detecção e resposta a sessão comprometida

Quando o token já foi roubado, a resposta rápida importa. Monitorar logins do impossível — acessos de regiões improváveis em curto intervalo — e configurar revogação de sessão permitem derrubar o invasor antes que ele explore persistência.

EDR no endpoint e ferramentas de identidade trabalham juntas: o primeiro detecta o comportamento anômalo no dispositivo, a segunda identifica o acesso fora do padrão na conta.

Investir em detecção de identidade — regras de risco, alertas de viagem impossível e revogação rápida de sessão — completa o ciclo. Autenticação forte previne, detecção de identidade contém, e o EDR cobre o dispositivo caso o atacante já tenha acesso local.

• Alerta para login do impossível e viagem geográfica atípica
• Revogação imediata de sessões ativas comprometidas
• Correlação entre telemetria de identidade e de endpoint
• Registro de auditoria para investigação pós-incidente

O adversário intermediário quebra a criptografia do site?

Não. Ele não quebra criptografia: coloca um servidor próprio como intermediário e a vítima acessa a página falsa, que se comunica com o site real em nome dela. A autenticação acontece de verdade, mas o tráfego passa pelo criminoso, que captura senha, código de segundo fator e cookie de sessão.

FIDO2 elimina totalmente o risco de roubo de credencial?

Elimina o roubo por página falsa, porque a chave só assina para o domínio legítimo. Ainda assim, outras técnicas como malware no dispositivo ou engenharia social podem tentar explorar o usuário. Por isso FIDO2 deve ser combinado com acesso condicional, dispositivos gerenciados e EDR no endpoint.

Como reduzir o impacto se um token de sessão vazar?

Encurte o tempo de vida do token de sessão, exija reautenticação para ações administrativas e implemente revogação imediata de sessões. Some a isso políticas de acesso condicional que avaliam risco e dispositivo. Assim, mesmo que um token seja roubado, a janela e o alcance do abuso ficam muito menores.

Por que o endereço de origem não basta para bloquear o adversário intermediário?

Porque ferramentas que transformam a página falsa em proxy reescrevem o cookie de sessão, tornando o rastreamento por endereço pouco confiável. A defesa está em impedir que o token roubado seja suficiente, com autenticação vinculada ao domínio, sessões curtas e reautenticação para ações sensíveis.

Próximo passo: Quer avaliar se a sua autenticação resiste ao roubo de token e ao adversário intermediário? Fale com a vWare para um diagnóstico de conformidade. Diagnóstico de conformidade