O roubo invisível de contas por infostealers: por que o 2FA via SMS e WhatsApp faliu e como funciona o sequestro de sessão

O senso comum sobre segurança da informação foi construído em torno de uma máxima repetida à exaustão: crie senhas fortes e ative a autenticação em duas etapas (2FA). No entanto, milhões de executivos, influenciadores, profissionais liberais e usuários comuns continuam tendo suas contas de e-mail, redes sociais e sistemas corporativos invadidas todos os dias sem que suas senhas tenham sido descobertas e sem que nenhum código de seis dígitos tenha sido digitado pelos invasores.

A explicação para esse fenômeno silencioso chama-se sequestro de sessão (session hijacking), operacionalizado por uma classe de pragas digitais conhecida como infostealers. Esses malwares modernos ignoram solenemente a tela de login tradicional e vão direto ao prêmio mais valioso armazenado no disco do seu computador: os tokens e cookies de autenticação criptográfica da memória do navegador.

## COOKIES DE AUTENTICAÇÃO: O PASSAPORTE DIGITAL QUE DISPENSA SENHA E CÓDIGO

Para compreender a mecânica do ataque, é necessário entender como a web funciona. Quando você insere sua senha em um serviço como Google, Microsoft ou Meta e digita o código do aplicativo autenticador, o servidor valida sua identidade e grava no seu navegador um cookie de sessão assinado digitalmente.

Esse cookie atua como uma credencial temporária de acesso (geralmente válida por dias, semanas ou até meses) que permite ao usuário abrir abas, atualizar páginas e navegar sem precisar digitar a senha a cada clique.

A Cybersecurity and Infrastructure Security Agency alertou formalmente em diretrizes técnicas que ataques de sequestro de cookies de sessão permitem que invasores assumam o controle total de identidades digitais autenticadas, neutralizando por completo a proteção do segundo fator de autenticação baseado em senhas e códigos descartáveis. Se um atacante copia o arquivo desse cookie e o injeta no próprio navegador, o servidor do serviço trata aquele dispositivo como o legítimo titular já autenticado, sem solicitar senha, biometria ou código de celular.

## A DISSEMINAÇÃO DOS MALWARES INFOSTEALERS EM ANÚNCIOS PATROCINADOS

Diferente de vírus pesados que travam o computador ou criptografam arquivos exigindo resgate (ransomware), os infostealers operam em total discrição. Famílias como RedLine, Lumma Stealer e Vidar são programas minúsculos, projetados para invadir o sistema, extrair credenciais e sumir em questão de segundos.

A esteira de infecção costuma seguir três vetores principais:

1. Malvertising nos Mecanismos de Busca: Quadrilhas compram anúncios patrocinados no Google para palavras-chave populares como "download de software contábil", "leitor de PDF gratuito" ou "gerador de nota fiscal". A vítima clica no primeiro resultado patrocinado acreditando ser a página oficial, baixa um instalador executável e infecta o computador.

2. Cracks de Softwares e Jogos: Arquivos disponibilizados em sites de pirataria sob o pretexto de desbloquear programas comerciais contêm rotinas ocultas que leem as pastas do Chrome, Edge e Firefox.

3. E-mails de Recursos Humanos e Fornecedores: Mensagens falsas de processos seletivos ou cobranças tributárias em formato .zip que induzem o usuário a descompactar e executar o arquivo malicioso.

Assim que executado, o infostealer lê os arquivos SQLite onde o navegador armazena cookies e senhas salvas, compacta as credenciais em um pacote criptografado e as transmite via API para canais privados de golpistas em redes de mensageria.

## SIMULAÇÃO PRÁTICA: O PREJUÍZO DE UMA CONTA COMERCIAL COMPROMETIDA

O impacto de um cookie sequestrado é proporcional ao valor da identidade digital associada. Considere o impacto em um escritório de advocacia ou em uma pequena agência digital:

• O Tempo de Invasão: Menos de 40 segundos após o download inadvertido do arquivo infectado.

• A Troca Imediata de Credenciais: Dentro da sessão invadida, o atacante acessa as configurações de segurança, adiciona novos e-mails de recuperação, gera chaves de backup e desvincula os dispositivos do proprietário.

• O Prejuízo em Campanhas de Anúncios: Se o navegador continha contas vinculadas de gerenciadores de anúncios (como Meta Ads ou Google Ads), os invasores ativam campanhas de fraude financeira consumindo limites de cartão corporativo. O prejuízo médio por conta comercial violada varia entre R$ 8.000 e R$ 35.000 em gastos de publicidade não autorizada em menos de 12 horas.

• O Custo de Recurso e Resgate de Domínio: Contratar consultoria jurídica para recuperação de contas corporativas sequestradas custa em média de R$ 5.000 a R$ 15.000, com taxa de sucesso dependente da morosidade do suporte de grandes plataformas.

• O Investimento em Chaves Físicas FIDO2/U2F: Cerca de R$ 250 a R$ 400 por colaborador para compra de chaves físicas (tokens de hardware) ou ativação gratuita de passkeys no dispositivo. Esse protocolo criptográfico vincula a sessão à chave privada inviolável do hardware local, tornando o cookie inútil se exportado para outro computador.

## O LADO B: A FALSA SEGURANÇA DO SMS E AS LIMITAÇÕES DOS APLICATIVOS AUTENTICADORES

A percepção de que receber um código numérico por SMS garante segurança é uma das maiores vulnerabilidades sistêmicas do mercado brasileiro.

O Instituto Nacional de Padrões e Tecnologia dos Estados Unidos (NIST) estabeleceu em suas diretrizes oficiais de identidade digital (SP 800-63B) que o envio de senhas descartáveis por redes de telefonia pública (SMS e chamadas de voz) é um método restrito e desaconselhado devido à suscetibilidade a ataques de clonagem de linha, desvios de rota de telecomunicações e phishing intermediário (Adversary-in-the-Middle).

No Brasil, a prática de SIM swap — quando criminosos subornam atendentes de operadoras de telefonia ou utilizam engenharia social para transferir a linha telefônica da vítima para um chip virgem — torna o SMS um convite ao desastre financeiro.

Com o número sob controle temporário da quadrilha, os invasores utilizam o fluxo de "Esqueci minha senha" para resetar contas bancárias e carteiras digitais. Mesmo os aplicativos autenticadores em tela (TOTP), embora superiores ao SMS, continuam vulneráveis a proxies reversos que capturam tanto o código de seis dígitos quanto o cookie gerado no instante da digitação.

## ANÁLISE EDITORIAL NVN: A URGÊNCIA DE APOSENTAR A AUTENTICAÇÃO BASEADA EM TELEFONIA

É inaceitável que, em pleno ano de 2026, instituições financeiras e plataformas digitais de grande porte ainda utilizem o número de telefone celular e mensagens SMS como mecanismo padrão de recuperação e confirmação de identidade de seus clientes.

As redes de telecomunicações móveis foram desenhadas décadas atrás para trafegar voz e mensagens de texto comuns, e não para servir de âncora de segurança para o sistema financeiro global. Insistir nessa conveniência barata é negligência institucional que gera bilhões de reais em fraudes anuais e sobrecarrega o Poder Judiciário com ações de indenização.

A única resposta tecnicamente sustentável para estancar o sequestro em massa de identidades digitais é a adoção acelerada de padrões FIDO2 e passkeys criptográficas com vinculação de canal (channel binding), nos quais nenhuma credencial que trafega pela rede pode ser reutilizada fora do dispositivo original. Até que essa transição seja obrigatória por regulação setorial, usuários e empresas devem remover o SMS de qualquer conta crítica, migrar para chaves de hardware ou passkeys e limpar periodicamente as sessões ativas de seus navegadores.