Phishing em Nuvem: AitM Sequestra Sessões MFA
A infraestrutura de nuvem legítima tornou-se um vetor crítico para ataques de phishing avançados, especialmente aqueles que empregam técnicas de Adversário no Meio (AitM) para contornar a autenticação multifator (MFA). A análise da Securelist revela como atores de ameaças estão sequestrando plataformas como Cloudflare Workers, Vercel e GitHub Pages para hospedar páginas maliciosas que imitam serviços confiáveis, capturando credenciais e tokens de sessão em tempo real. Este cenário exige uma compreensão aprofundada dos mecanismos de ataque e a adoção de estratégias robustas de proteção de identidade digital.
A Nuvem como Refúgio para Phishers
Plataformas de nuvem oferecem vantagens inerentes que as tornam atraentes para criminosos cibernéticos. Primeiramente, a confiança e reputação associadas a esses serviços reduzem a suspeita das vítimas. Em segundo lugar, os planos gratuitos generosos e a ausência de verificação de identidade (KYC) permitem que um único ator crie centenas de contas maliciosas em minutos. Além disso, a evasão e anonimato proporcionados pelos CDNs obscurecem o IP de origem, dificultando a detecção por soluções de segurança. Um ponto crítico é o uso de subdomínios compartilhados: bloquear o domínio pai causaria danos colaterais a usuários legítimos, forçando os defensores a adotar análises baseadas em conteúdo.
Anatomia de um Ataque AitM em Múltiplos Estágios
Um ataque AitM moderno, conforme documentado pela Securelist, opera em três estágios distintos, cada um projetado para evadir detecções e maximizar a eficácia.
Estágio 1: Coleta de Contatos e Evasão de Monitoramento
O ataque inicia com um e-mail de phishing com pretexto plausível, como uma solicitação de colega para revisar documentos. Ao clicar no link, a vítima é redirecionada para uma página falsa de CAPTCHA hospedada em um site comprometido. Esse site atua como um retransmissor descartável, evitando a detecção precoce do conteúdo principal hospedado na nuvem. O objetivo é colher o endereço de e-mail da vítima e filtrar bots, encaminhando usuários legítimos para um subdomínio workers.dev. O e-mail é incorporado no hash da URL, permitindo a extração sem comunicação com o servidor do atacante.
Estágio 2: Inicialização de um Proxy Transparente
No subdomínio workers.dev, a vítima enfrenta um CAPTCHA genuíno, garantindo interação humana. Após a conclusão, um service worker é registrado no navegador. Esse script, projetado para PWAs, intercepta todas as requisições de rede da aba. Os atacantes usam a biblioteca legítima Ultraviolet para reescrever dinamicamente links e formulários, forçando todo o tráfego — incluindo credenciais da Microsoft — a passar pelo servidor do atacante. O e-mail da vítima é armazenado no sessionStorage para pré-preencher o campo de usuário, aumentando a credibilidade.
Estágio 3: Sequestro de Sessão e Spoofing de Janela
O estágio final combina AitM com Browser-in-the-Browser (BitB). Uma janela pop-up falsa, visualmente idêntica a uma janela nativa do navegador, exibe uma barra de endereço falsa com URL legítima da Microsoft. Dentro dela, um iframe carrega a interface de login autêntica, roteada pelo proxy reverso. Quando a vítima insere credenciais e código MFA, o proxy intercepta tudo. Após o login, a vítima é redirecionada para uma página de erro genérica, minimizando suspeitas.
Estatísticas de Phishing em Plataformas de Nuvem
Dados da Securelist, referentes ao período de agosto de 2025 a julho de 2026, mostram que 224.984 subdomínios únicos em serviços de nuvem foram bloqueados por phishing. A tabela abaixo resume os principais pontos:
| Plataforma | Tendência Observada | Risco Principal |
|---|---|---|
| Cloudflare Workers | Uso crescente para hospedar páginas AitM | Alta evasão devido a subdomínios dinâmicos |
| Vercel e Netlify | Exploração de planos gratuitos e deploys rápidos | Dificuldade em distinguir projetos legítimos |
| GitHub Pages | Abuso de repositórios públicos para phishing | Confiança no domínio github.io |
| IPFS | Hospedagem descentralizada resistente a remoção | Persistência de conteúdo malicioso |
Esses números reforçam a necessidade de monitoramento contínuo e soluções que analisem o conteúdo, não apenas a reputação do domínio.
Golpe do Falso Suporte Técnico: Uma Extensão do Phishing
O golpe do falso suporte técnico compartilha princípios com o phishing em nuvem: explora a confiança e a urgência. Criminosos ligam ou exibem pop-ups alegando problemas no dispositivo, induzindo a vítima a instalar software de acesso remoto ou fornecer credenciais. Em cenários corporativos, podem se passar por equipes de TI legítimas, solicitando tokens MFA ou senhas. A conexão com o AitM é direta: ambos visam obter acesso à sessão autenticada, contornando controles de segurança. Para mitigar, oriente funcionários a nunca fornecer credenciais por telefone, verificar a identidade do chamado por canais oficiais e desconfiar de contatos não solicitados.
Proteção Corporativa e Pessoal
Diante desse cenário, a proteção da identidade digital exige uma abordagem em camadas:
- Educação contínua: treinar usuários para reconhecer phishing, incluindo BitB e janelas falsas.
- Monitoramento de credenciais: utilizar serviços que alertem sobre exposição de dados, como a Kzarka, para detectar vazamentos precocemente.
- Políticas de acesso: implementar MFA resistente a phishing (como FIDO2) e revisar permissões de aplicações em nuvem.
- Análise comportamental: empregar soluções que detectem anomalias em sessões, como logins de locais incomuns.
A Kzarka oferece monitoramento proativo de vazamentos de dados e alertas em tempo real, permitindo que indivíduos e empresas ajam rapidamente para mitigar riscos de roubo de identidade. Verifique se seus dados foram comprometidos e mantenha sua identidade digital sob vigilância constante.
Perguntas Frequentes (FAQ)
O que é um ataque AitM?
Um ataque Adversário no Meio (AitM) intercepta a comunicação entre o usuário e o serviço legítimo, capturando credenciais e tokens de sessão em tempo real, mesmo com MFA habilitada.
Como os phishers usam plataformas de nuvem legítimas?
Eles abusam de serviços como Cloudflare Workers e GitHub Pages para hospedar páginas maliciosas, aproveitando a reputação e a infraestrutura confiável para evadir bloqueios e enganar vítimas.
O que é Browser-in-the-Browser (BitB)?
É uma técnica que simula uma janela de navegador dentro de uma página web, exibindo uma barra de endereço falsa com URL legítima, induzindo o usuário a inserir credenciais em um formulário controlado pelo atacante.
Como posso me proteger contra phishing em nuvem?
Verifique sempre a URL real, desconfie de janelas pop-up que solicitam credenciais, use gerenciadores de senhas que só preenchem em domínios legítimos e ative MFA resistente a phishing, como chaves de segurança.
Qual a relação entre golpe do falso suporte técnico e phishing?
Ambos exploram engenharia social para obter acesso a credenciais ou sessões. O falso suporte técnico frequentemente induz a vítima a instalar malware ou fornecer códigos MFA, complementando ataques de phishing.
Como a Kzarka pode ajudar a proteger minha identidade?
A Kzarka monitora vazamentos de dados e alerta sobre exposição de informações pessoais, permitindo ação rápida para evitar roubo de identidade. Visite kzarka.com para verificar seus dados.