A farsa do "Temos Firewall e MFA": por que empresas paulistas estão caindo em golpes que não usam senha roubada

O que é um ataque Adversary-in-the-Middle

A técnica dominante hoje é chamada de Adversary-in-the-Middle (AiTM), também descrita como "reverse-proxy phishing". Em vez de criar uma página falsa que só coleta senha, o golpista posiciona um servidor intermediário entre a vítima e o site real — normalmente uma página de login do Microsoft 365, Google Workspace ou outro sistema corporativo. A vítima recebe um link, clica, vê a tela de login genuína (porque na prática está navegando através do proxy do atacante até o site verdadeiro), digita usuário e senha corretos, e aprova a notificação de MFA no celular normalmente.

É exatamente nesse instante que o golpe acontece: o proxy intercepta a sessão já autenticada — o "cookie" que prova que aquele login passou por senha e MFA — e o atacante copia essa sessão para si. Ele não precisa da senha depois disso. Não precisa aprovar MFA nenhuma vez. Ele simplesmente está dentro da conta, com a mesma sessão que o funcionário acabou de abrir. Essa cobertura técnica sobre AiTM já é consolidada em relatórios de 2026 da Microsoft Security, WorkOS e Hive Security.

Isso não é ataque raro — é commodity

A Cisco Talos identificou que quase metade dos incidentes de segurança que atendeu no início de 2024 envolveu falha relacionada a MFA — aprovação de notificação falsa ou roubo de sessão autenticada em tempo real. E a escala só cresceu desde então: em abril de 2026, a Microsoft Security registrou uma única campanha de AiTM que comprometeu mais de 35 mil usuários em 13 mil organizações, em 26 países, em apenas três dias.

O que torna isso ainda mais preocupante para PMEs é que esse tipo de ataque deixou de exigir um invasor sofisticado. Kits de phishing prontos — Phishing-as-a-Service, como Evilginx, Tycoon 2FA e Mamba 2FA — automatizam toda a técnica de AiTM e são alugados por valores baixos, na casa de U$120 por um período curto de acesso, segundo cobertura de 2026 da Axis Intelligence e SafeToOpen. Não é preciso saber programar para lançar esse golpe: é preciso apenas pagar por ele.

O volume total de phishing acompanha essa tendência. O APWG (Anti-Phishing Working Group) registrou 971.181 ataques de phishing só no primeiro trimestre de 2026 — alta de 13,8% sobre o trimestre anterior. Empresas de Suzano, Mogi das Cruzes, Poá, Itaquaquecetuba e Ferraz de Vasconcelos não estão fora do alcance desse volume: o golpe é automatizado e enviado em massa, sem escolher porte de empresa.

Por que MFA por app, SMS ou push não impede esse golpe

MFA tradicional — código por SMS, notificação push do aplicativo autenticador, código de 6 dígitos — prova que a pessoa tem o celular certo naquele momento. Mas nenhum desses métodos verifica se a página de login que a pessoa está usando é realmente o domínio verdadeiro. É exatamente essa brecha que o proxy do atacante explora: ele fica no meio, repassando a interação em tempo real, e nenhum desses métodos de MFA é capaz de perceber a diferença.

A defesa que efetivamente barra esse tipo específico de golpe são métodos de MFA resistentes a phishing por design — os padrões FIDO2/WebAuthn, usados em chaves de segurança físicas (como YubiKey) ou passkeys. A diferença técnica é simples de entender: esses métodos vinculam a autenticação criptograficamente ao domínio real do site. Se o funcionário está numa página de proxy, a chave FIDO2 simplesmente se recusa a autenticar, porque o domínio não bate. É esse consolidado técnico de 2026, reunido por Adaptive Security e Microsoft Security, que aponta FIDO2/passkeys como a resposta real ao problema — não "mais um fator" de MFA, mas um fator que verifica o site, não só a pessoa.

Checklist: sua empresa está exposta a esse golpe?

• Você sabe, hoje, quais contas da empresa usam MFA por app/SMS/push e quais (se alguma) já usam FIDO2/passkey?
• A equipe já recebeu treinamento explicando que um golpe pode passar por login e MFA corretos e mesmo assim ser fraude?
• Existe orientação clara sobre desconfiar de links de login recebidos por e-mail ou WhatsApp, mesmo quando a página parece idêntica à verdadeira?
• Alguém monitora sessões ativas e logins de locais/dispositivos incomuns nas contas corporativas?
• Existe revisão periódica dos aplicativos de terceiros com acesso OAuth concedido às contas da empresa (um vetor comum de persistência após um AiTM bem-sucedido)?
• As contas com maior privilégio — e-mail da diretoria, financeiro, administração de TI — têm prioridade para migrar a um MFA resistente a phishing?