Plataformas Cloud Legítimas Viram Isca em Ataques AitM que Burlam MFA

Você confia na nuvem. Seu time confia. Os criminosos sabem disso e estão usando plataformas cloud legítimas para roubar credenciais e burlar a autenticação multifator (MFA).

Um novo relatório da Securelist revela que phishers estão migrando em massa para serviços como Cloudflare Workers, Vercel, Netlify, GitHub Pages e IPFS. O objetivo? Se esconder atrás da reputação dessas plataformas e lançar ataques adversário-no-meio (AitM) devastadores.

É a tática perfeita: domínios confiáveis, criptografia HTTPS e infraestrutura que não pode ser simplesmente bloqueada sem afetar milhões de sites legítimos.

O Ataque: Como a Nuvem Vira Cúmplice

O cenário é assustadoramente simples. Um e-mail de phishing chega na sua caixa de entrada. Parece um pedido da sua colega de trabalho para revisar um documento. Você clica.

O link leva para uma página falsa de CAPTCHA hospedada em um site legítimo comprometido. Você digita seu e-mail, passa pelo "teste" e é redirecionado para um subdomínio workers.dev. A partir daí, o ataque se desenrola em três estágios.

Estágio 1: Coleta de Contatos e Evasão

A página do CAPTCHA não é só um disfarce. Ela filtra bots e coleta seu endereço de e-mail. O e-mail é embutido no fragmento da URL (depois do #), o que o torna invisível para sistemas de monitoramento de rede. Assim, a vítima é encaminhada para o Workers sem disparar alarmes.

Estágio 2: O Proxy Transparente

No Workers, um CAPTCHA real valida que você é humano. Passou? Um service worker é registrado no seu navegador. Esse script, parte legítima de aplicações web progressivas (PWAs), agora intercepta todas as requisições da aba. Os criminosos usam a biblioteca Ultraviolet para reescrever links e formulários, forçando todo o tráfego – inclusive suas credenciais Microsoft – a passar pelo servidor deles.

Seu e-mail, ainda escondido no hash, é armazenado no sessionStorage e pré-preenche o campo de login. Isso aumenta a confiança. Você nem desconfia.

Estágio 3: Sequestro de Sessão e Janela Falsa

O golpe final combina AitM com a técnica Browser-in-the-Browser (BitB). Uma janela pop-up idêntica à do navegador é renderizada, com barra de endereço falsa mostrando uma URL legítima da Microsoft. Dentro dela, um iframe carrega a interface real de login, roteada pelo proxy reverso. Quando você digita a senha e o código MFA, o proxy intercepta tudo: credenciais e tokens de sessão.

Depois do "login bem-sucedido", você é redirecionado para uma tela de erro genérica, como "Sessão Expirada". Você pensa que foi um bug, tenta de novo, mas o invasor já tem acesso total à sua conta.

Esse método é tão eficaz que, segundo a Securelist, entre agosto de 2025 e julho de 2026, 224.984 domínios de terceiro nível únicos em serviços cloud e descentralizados foram bloqueados em ataques de phishing.

Por que Isso é Tão Perigoso?

• Confiança abusada: Plataformas como Cloudflare e Netlify são inerentemente confiáveis. Bloquear seus domínios quebraria a internet legítima.
• MFA burlada em tempo real: O proxy captura o token de sessão após a autenticação, tornando a MFA inútil nesse cenário.
• Infraestrutura descartável: Contas gratuitas são criadas em minutos, sem verificação de identidade (KYC).
• Evasão avançada: O uso de service workers e hash na URL dificulta a detecção por ferramentas de segurança tradicionais.

Enquanto isso, a ameaça se expande para outras frentes. Seu notebook roubado ou furtado pode ser a porta de entrada para um ataque ainda mais pessoal. Imagine um dispositivo desprotegido caindo nas mãos erradas: sessões abertas, tokens armazenados, acesso direto a e-mails e sistemas corporativos. Os mesmos criminosos que exploram a nuvem podem usar um laptop furtado para iniciar ataques de phishing internos ou acessar dados confidenciais sem precisar de malware sofisticado. Criptografe seu disco, ative a autenticação biométrica e tenha um plano de resposta a incidentes para dispositivos perdidos. Cada segundo conta.

Aliás, a sofisticação desses ataques não para por aí. Enquanto você se preocupa com phishing, já parou para pensar que a inteligência artificial pode estar quebrando a criptografia que protege seus dados? Em outro artigo, exploramos esse cenário alarmante: IA quebra criptografia? O risco real que ninguém te conta. A convergência dessas tecnologias torna o cenário de ameaças ainda mais complexo.

Como se Proteger Agora Mesmo

A defesa exige ação imediata. Não espere ser a próxima vítima.

• Desconfie de URLs, mesmo as conhecidas. Verifique se o domínio é exatamente o oficial. Subdomínios como workers.dev podem esconder armadilhas.
• Não ignore CAPTCHAs em sequência. Se após um CAPTCHA você for redirecionado para outro site e outro CAPTCHA, suspeite.
• Monitore sessões ativas. Revogue regularmente sessões em serviços críticos e ative notificações de login.
• Use chaves de segurança físicas (FIDO2). Elas são resistentes a AitM porque vinculam a autenticação ao domínio real.
• Mantenha navegadores e extensões atualizados. Service workers são poderosos; um navegador desatualizado pode ter menos controle sobre eles.

E tem mais: o perigo não está só na nuvem. Aplicativos que você usa para lazer também são vetores. Recentemente, uma falha no Age of Empires II expôs PCs a malware, mostrando como games podem ser a porta de entrada para invasões. Leia mais: Falha no Age of Empires II expõe PCs: o perigo real nos games. Seu time de TI precisa estar atento a tudo.

FAQ – Perguntas Frequentes

O que é um ataque Adversário-no-Meio (AitM)?

É um ataque em que o criminoso se posiciona entre você e o serviço legítimo, interceptando e possivelmente alterando a comunicação. No phishing moderno, ele captura credenciais e tokens de sessão em tempo real, burlando até a MFA.

Como os criminosos usam Cloudflare Workers para phishing?

Eles criam contas gratuitas e hospedam scripts que atuam como proxy reverso. O Workers.dev serve como ponte entre a vítima e o site real, roubando dados sem que a vítima perceba, pois o domínio é legítimo e possui HTTPS.

Por que não basta bloquear domínios de plataformas cloud?

Porque milhões de sites legítimos usam esses domínios. Bloquear .workers.dev ou .netlify.app quebraria serviços essenciais. A defesa precisa ser baseada em análise de conteúdo e comportamento, não apenas em listas negras de domínios.

O que é a técnica Browser-in-the-Browser (BitB)?

É uma simulação visual de uma janela de navegador dentro de uma página web. Ela exibe uma barra de endereço falsa com URL legítima, enganando o usuário para que insira credenciais em um formulário controlado pelo invasor, que parece ser o site real.

Como a Kzarka pode me ajudar a me proteger desses ataques?

A Kzarka monitora vazamentos de dados e a dark web em busca de suas informações pessoais expostas. Se suas credenciais vazarem, você é alertado imediatamente para agir antes que criminosos as usem em ataques como esse. Verifique agora se seus dados estão seguros.