Durante os últimos dez anos da cibersegurança corporativa, a recomendação mais difundida para proteger contas de colaboradores contra o roubo de senhas por Phishing foi a ativação da Autenticação Multifator (MFA / 2FA - Two-Factor Authentication). A premissa parecia inabalável: "Mesmo que um funcionário caia em um e-mail falso e digite sua senha na página de um hacker, o criminoso não conseguirá entrar na nuvem da empresa (Microsoft 365, Google Workspace, VPN) porque ele não terá o código numérico de 6 dígitos que chega no SMS ou no aplicativo gerador (Google Authenticator / Microsoft Authenticator) do celular da vítima".
Hoje, no entanto, essa sensação de segurança em torno do MFA tradicional tornou-se uma das ilusões mais perigosas do mundo corporativo. Cartéis de espionagem cibernética, operadores de Ransomware e atacantes na Dark Web desenvolveram e massificaram uma nova e devastadora geração de ferramentas ofensivas: o Phishing AiTM (Adversary-in-the-Middle - Adversário no Meio) operado via Proxy Reverso em tempo real (utilizando frameworks de código aberto como Evilginx2, Modlishka ou Muraena). Essa tecnologia é capaz de contornar, burlar e aniquilar 100% das defesas de MFA baseadas em senhas temporárias (SMS OTP e aplicativos TOTP) sem que a vítima perceba qualquer anomalia no processo de login.
A Evolução do Ataque: Como Funciona o Proxy Reverso Evilginx2
No Phishing antigo (de primeira geração), o hacker construía em seu servidor de hospedagem uma página HTML estática que era uma cópia visual "burra" e congelada da tela de login do banco ou do e-mail da Microsoft. Quando o usuário digitava sua senha, a página PHP do hacker gravava o texto no banco de dados criminoso e exibia uma mensagem de erro genérica ("Senha incorreta"). Se a conta tivesse MFA ativado, aquela senha roubada tornava-se inútil para o criminoso após 60 segundos.
O Phishing AiTM via Proxy Reverso opera com uma mecânica arquitetural de rede completamente diferente e cirúrgica. O hacker não cria uma página estática falsa; ele hospeda em um servidor na nuvem um motor proxy (como o Evilginx2) e registra um domínio parecido com a marca (Typosquatting — ex: login.microzofte365-portal.com com certificado SSL HTTPS válido).
O Passo a Passo da Invasão em Milissegundos:
- 1. O Clique na Armadilha: O colaborador da empresa recebe um e-mail de Spear Phishing altamente convincente (ex: "Alerta do RH: Atualize seu recadastramento de plano de saúde") e clica no link para o domínio proxy do hacker:
https://login.microzofte365-portal.com. - 2. O Espelhamento da Tela Real (A Ponte de Rede): Em vez de carregar uma tela local falsa, o servidor proxy reverso do hacker conecta-se em tempo real em segundo plano diretamente à página de login oficial e legítima da Microsoft (
login.microsoftonline.com). O proxy espelha e repassa a tela real da Microsoft para o navegador da vítima na internet. O colaborador vê exatamente os logotipos originais, animações oficiais e certificados SSL verdes. - 3. A Intercepção da Senha e do Desafio MFA: O funcionário digita seu e-mail corporativo e sua senha real. O proxy reverso captura o texto e o repassa em tempo real para a Microsoft. A Microsoft autentica a senha e devolve o desafio do MFA na tela: "Digite o código de 6 dígitos enviado para seu aplicativo autenticador ou SMS". O colaborador abre seu celular, lê o código do Google Authenticator (ex:
840 291) e digita na tela do proxy. O proxy reverso captura instantaneamente esse código de 6 dígitos e o injeta no servidor da Microsoft antes que os 30 segundos expirem. - 4. O Golpe Final: O Roubo do Cookie de Sessão (Session Cookie): A Microsoft valida o código MFA corretamente, confirma que o login é autêntico e emite em resposta um Cookie de Sessão (Session Cookie / Token Bearer JWT) logado e válido de longa duração para aquele colaborador. É neste milissegundo que a catástrofe acontece: no meio do tráfego de resposta, o servidor proxy reverso do hacker intercepta, recorta, copia e rouba esse Cookie de Sessão logado e o grava em um arquivo de log secreto do criminoso! Em seguida, para disfarçar o ataque, o proxy reverso redireciona de forma transparente o navegador da vítima para a caixa de entrada real da empresa no Outlook. O colaborador entra em seu e-mail de trabalho normalmente e nunca desconfia de nada.
Posse do arquivo com o Cookie de Sessão interceptado e roubado (ex: o cookie ESTAOUTHPERSI da Microsoft), o criminoso cibernético na Dark Web abre o seu próprio navegador (utilizando extensões gerenciadoras como EditThisCookie), cola o valor do cookie roubado de João e acessa a URL portal.office.com. Como o cookie de sessão já comprova perante a Microsoft que aquela conta já validou a senha e já superou o desafio MFA poucos minutos atrás, o servidor web abre as portas do e-mail corporativo, do OneDrive, do SharePoint e dos arquivos administrativos em nuvem diretamente para o computador do hacker sem NUNCA pedir senha e sem NUNCA disparar nenhum alarme de MFA para o celular da vítima, consumando o Account Takeover (ATO).
Por Que os Códigos SMS e App Authenticator Falharam?
O motivo pelo qual o SMS OTP e os aplicativos geradores de 6 dígitos (TOTP) foram facilmente derrotados pelo Phishing AiTM é um defeito de design estrutural na sua concepção histórica: os códigos numéricos temporários são completamente desvinculados do contexto e da origem de domínio da rede onde estão sendo digitados.
Para o código 840 291 gerado pelo Google Authenticator no celular, faz absolutamente zero diferença se o colaborador vai digitar esse número no site original microsoft.com, no site falso do hacker microzofte.com, em um pedaço de papel de pão ou no WhatsApp. O número é um "segredo compartilhado estático temporário" que pode ser lido por qualquer ser humano e retransmitido para qualquer lugar do planeta em tempo real por um proxy reverso.
A Solução Definitiva e Imbatível: Autenticação FIDO2 / WebAuthn (Phishing-Resistant MFA)
Para estancar essa hemorragia cibernética global, um consórcio dos maiores gigantes mundiais de tecnologia (Google, Microsoft, Apple e Yubico — reunidos na Aliança FIDO e no W3C) criou e padronizou a única arquitetura de segurança matemática e tecnicamente 100% imune a ataques de Phishing com proxy reverso: o padrão aberto FIDO2 / WebAuthn (Autenticação sem Senha e Resistente a Phishing - Passwordless Phishing-Resistant MFA).
O FIDO2 materializa-se pela utilização de Tokens de Hardware Físicos USB/NFC (como as chaves de segurança YubiKey ou Google Titan) ou pela biometria nativa embutida em hardwares criptográficos de computadores modernos (como o Windows Hello for Business com chip TPM 2.0 ou Apple Touch ID / Face ID no Secure Enclave).
Por Que o FIDO2 Aniquila o Proxy Reverso Evilginx2?
A invulnerabilidade matemática do FIDO2 reside em uma propriedade criptográfica revolucionária denominada Vinculação à Origem da URL (Origin Binding) via Criptografia Assimétrica de Curva Elíptica (ECC):
- Quando o colaborador espeta sua chave YubiKey na porta USB e toca no sensor metálico para logar, o token FIDO2 não envia um código numérico legível pela rede.
- Em vez disso, o navegador web lê a string de domínio exata que está escrita na barra de endereço naquele milissegundo (ex: se o usuário estiver na página falsa, a string é
https://login.microzofte365-portal.com) e envia essa string de URL para dentro do chip criptográfico da chave YubiKey no USB. - O processador da YubiKey analisa a URL: "Eu só possuo uma chave privada autorizada a assinar logins para o domínio exato e canônico
login.microsoftonline.com. Como a barra de endereço atual dizmicrozofte365-portal.com, a assinatura criptográfica é negada pelo hardware!". - Como o token FIDO2 se recusa a assinar criptograficamente qualquer URL que não seja a oficial registrada, o servidor proxy reverso do hacker tenta retransmitir o pacote para a Microsoft, mas a assinatura não bate com o domínio original; o login é abortado instantaneamente na nuvem, impedindo qualquer emissão de cookie de sessão e tornando o ataque AiTM matematicamente impossível.
Sua Empresa Ainda Depende de SMS OTP ou Aplicativos Vulneráveis a Phishing?
Nossos consultores em Identidade (IAM) e Cloud Security arquitetam a migração dos seus colaboradores e acessos administrativos para o padrão FIDO2 / Passwordless, enquanto nosso Red Team executa simulações reais de Phishing AiTM para auditar sua imunidade.
Implementar MFA Resistente a Phishing com a ByteAbyss