O ecossistema de ameaças cibernéticas no Brasil enfrenta uma transformação relevante impulsionada pela disseminação de malwares da categoria infostealers. Desenvolvidos para extrair credenciais de acesso, dados de preenchimento automático e tokens de sessão gravados diretamente em navegadores web, esses códigos maliciosos tornaram-se o ponto de partida para grande parte das invasões de redes corporativas e desvios financeiros registrados no país.
Diferente de ataques tradicionais de phishing que exigem a digitação da senha em páginas clonadas, os infostealers operam no próprio dispositivo da vítima após uma infecção primária. A partir desse acesso local, os criminosos capturam não apenas combinações de usuário e senha, mas também os cookies de sessão autenticados. Esse mecanismo permite que invasores clonem o estado de login ativo e acessem plataformas corporativas sem acionar imediatamente os alertas de múltiplo fator de autenticação (MFA) baseados em SMS ou aplicativos geradores de código temporário (TOTP).
Como operam os ladrões de informação no ambiente corporativo
A entrada de infostealers nas organizações brasileiras decorre frequentemente da sobreposição entre uso pessoal e profissional de computadores portáteis e estações de trabalho, cenário consolidado com o modelo híbrido de trabalho. Os vetores de disseminação mais comuns envolvem downloads de softwares não homologados, ativadores piratas, documentos falsos enviados via campanhas de engenharia social direcionada e anúncios manipulados em buscadores (malvertising).
Uma vez executado no sistema operacional, o malware executa uma varredura silenciosa que costuma durar poucos segundos. O alvo principal são os diretórios de navegadores baseados no projeto Chromium (como Google Chrome, Microsoft Edge e Opera) e Mozilla Firefox. O código coleta:
- Senhas e nomes de usuário armazenados no gerenciador integrado do navegador;
- Cookies de sessão, especialmente aqueles que mantêm logins ativos em ferramentas como Google Workspace, Microsoft 365, painéis de CRM e sistemas de gestão em nuvem;
- Dados de carteiras de criptomoedas mantidas em extensões;
- Histórico de navegação e metadados de identificação do hardware infectado.
Os dados consolidados são reunidos em arquivos compactados — conhecidos tecnicamente como logs — e transmitidos para servidores de comando e controle controlados pelos operadores do malware ou para canais privados em aplicativos de mensageria como o Telegram.
A economia subterrânea dos ‘logs’ e o modelo de cibercrime como serviço
A expansão dessas ameaças é acelerada pelo modelo de negócios estruturado sob a modalidade de Malware-as-a-Service (MaaS). Famílias conhecidas no monitoramento global de ameaças, como RedLine, Lumma Stealer, Vidar e Stealc, operam como plataformas de assinatura. Desenvolvedores vendem o acesso aos painéis de controle e aos arquivos executáveis atualizados para afiliados que conduzem as campanhas de distribuição.
Os registros coletados alimentam marketplaces clandestinos na dark web e canais públicos ou restritos em redes sociais. Nessas plataformas, compradores podem adquirir credenciais segmentadas por tipo de serviço, país ou segmento econômico. No contexto brasileiro, credenciais de acesso a portais governamentais, sistemas judiciais, plataformas de e-commerce e painéis de administração de servidores web figuram entre os itens mais transacionados.
Especialistas em inteligência de ameaças apontam que a aquisição de um cookie de sessão válido permite a realização do ataque conhecido como session hijacking (sequestro de sessão). Com o token ativo importado para o navegador do criminoso, os controles perimetrais de segurança muitas vezes interpretam a conexão como legítima, ignorando exigências adicionais de senha e verificação em duas etapas, uma vez que a sessão já foi validada no momento original do login pelo usuário legítimo.
Impactos regulatórios e responsabilidade corporativa
No Brasil, o comprometimento de acessos corporativos por infostealers traz implicações diretas sob a ótica da Lei Geral de Proteção de Dados Pessoais (LGPD – Lei nº 13.709/2018). Quando o acesso indevido envolve bases de dados com informações pessoais de clientes, fornecedores ou colaboradores, as organizações devem avaliar a gravidade do incidente de segurança e comunicar a Autoridade Nacional de Proteção de Dados (ANPD) e os titulares afetados nos prazos e condições estabelecidos pela legislação.
Além dos desdobramentos administrativos e eventuais sanções, o uso de credenciais vazadas costuma servir como estágio inicial para incidentes de maior gravidade, como ataques de ransomware com dupla extorsão. Nesses casos, os criminosos utilizam as permissões da conta comprometida para efetuar movimentação lateral na rede interna da empresa, escalar privilégios administrativos e exfiltrar volumes substanciais de dados confidenciais antes de criptografar os servidores centrais.
Mudança de paradigma: a migração para credenciais resistentes a phishing
Diante das limitações do modelo tradicional de autenticação para conter os infostealers, a indústria de tecnologia e os departamentos de segurança da informação vêm acelerando a adoção de defesas arquiteturais baseadas em conceitos de Zero Trust (Confiança Zero).
Entre as abordagens que oferecem maior barreira técnica contra esse tipo de malware destaca-se o padrão FIDO2 e as chaves de acesso (passkeys). Esse modelo substitui o armazenamento de segredos compartilhados nos navegadores por criptografia de chave pública assimétrica vinculada diretamente ao hardware do dispositivo, via módulos criptográficos como o TPM (Trusted Platform Module) ou chaves físicas de segurança USB/NFC.
Diferente de senhas comuns, uma chave privada FIDO2 não pode ser extraída pelos métodos convencionais empregados pelos infostealers em navegadores. Além disso, as chaves de acesso incorporam validação de origem criptográfica, o que impede que sejam utilizadas em domínios falsos ou transferidas para terceiros em pacotes de logs.
Recomendações técnicas para mitigação de riscos
Para mitigar a exposição de redes e sistemas contra malwares ladrões de credenciais, equipes de tecnologia e segurança da informação recomendam medidas práticas em várias camadas:
- Restrição ao salvamento de senhas em navegadores: Implementar políticas centralizadas (via GPO ou soluções de gerenciamento de dispositivos móveis – MDM) que desabilitem o armazenamento nativo de senhas no navegador, priorizando gerenciadores corporativos com criptografia dedicada e proteção de memória;
- Validação contínua de sessão: Configurar períodos curtos de expiração para tokens de acesso em serviços críticos e implementar vinculação de sessão (token binding e Device Bound Session Credentials), mecanismo que atrela o cookie criptograficamente ao dispositivo original onde o login ocorreu;
- Isolamento de dispositivos pessoais: Proibir o acesso direto a ambientes corporativos por meio de computadores pessoais que não estejam sob monitoramento e conformidade de segurança;
- Filtragem e monitoramento de tráfego de saída: Monitorar comunicações anômalas para portas e protocolos comumente utilizados por canais de comando e controle, incluindo APIs de mensageria e serviços de hospedagem temporária de arquivos;
- Conscientização contra softwares piratas: Treinar colaboradores sobre os riscos associados ao download de extensões não verificadas, arquivos executáveis externos e ativadores de aplicativos.
Com o avanço e a comercialização facilitada dessas ferramentas de espionagem, a integridade da identidade digital corporativa passa a depender de políticas ativas de controle de sessão e da redução progressiva da dependência de senhas estáticas em todos os níveis da operação.
Relatórios de inteligência de ameaças cibernéticas e documentação técnica FIDO Alliance
