Um ataque AiTM (adversary-in-the-middle, ou adversário no meio) é um phishing em que um proxy se coloca entre a vítima e a página de login real, como a do Microsoft 365, e captura a senha e o cookie de sessão depois que a MFA (autenticação multifator) é concluída. É uma variante do man-in-the-middle; a MFA resistente a phishing, como as passkeys, reduz sua efetividade.
Como a TecnetOne resolve isso: TecnetSOC
AiTM, adversary in the middle, phishing AiTM, phishing de proxy reverso, bypass de MFA, roubo de cookies de sessão
Termos relacionados
Acesso just-in-time (JIT)
Acesso just-in-time (JIT) é um modelo que concede privilégios elevados apenas quando são necessários, para uma tarefa específica e por tempo limitado, e os remove automaticamente ao fim do prazo. Assim, não sobram contas de administrador com permissões permanentes. Por exemplo, um técnico solicita acesso de administrador a um servidor por duas horas e o sistema revoga esse acesso depois.
Identidades não humanas (contas de serviço)
Identidades não humanas são as credenciais com que sistemas e aplicações se autenticam, e não pessoas: contas de serviço, chaves de API (interface de programação de aplicações), tokens, certificados e automações. Costumam ter permissões amplas, não podem usar autenticação multifator e raramente são trocadas. Por exemplo, a conta com que o ERP de uma empresa se conecta ao banco de dados.
Phishing de consentimento (OAuth)
Phishing de consentimento é o ataque que engana um usuário para que autorize um aplicativo malicioso por meio do OAuth (protocolo de autorização aberta), que assim obtém acesso ao seu e-mail ou aos seus arquivos sem conhecer a senha. Como a permissão é concedida pelo próprio usuário, a autenticação multifator (MFA) não o impede, e trocar a senha não revoga esse acesso por si só.
Fraude de identidade sintética
Fraude de identidade sintética é o golpe que usa uma identidade inventada, combinando dados reais, como um CPF roubado, com dados falsos, como outro nome ou endereço, para abrir contas ou pedir crédito. Como não há uma única vítima para reclamar, pode passar meses sem ser detectado. Afeta sobretudo bancos, fintechs e varejistas que cadastram clientes on-line.
Sequestro de sessão e roubo de tokens
Sequestro de sessão (session hijacking) é o ataque em que um terceiro rouba o identificador de uma sessão já iniciada, como um cookie ou um token, e o reutiliza para entrar como o usuário sem senha nem MFA (autenticação multifator). Diferente do roubo de credenciais, o que se rouba é a sessão ativa; costuma ser obtido com infostealers ou phishing AiTM (adversário no meio).
Quer levar o conceito para a sua operação?
Conte o que você precisa e um engenheiro da TecnetOne responde.
Falar com um engenheiroFalar com um engenheiro
Conte o que você precisa e respondemos em português.