Por anos, a autenticação multifator (MFA) foi tratada como a muralha final contra invasões de contas. Mas, o novo serviço malicioso chamado VoidProxy vem provando em 2025 que essa muralha tem brechas, e que executivos e empresas precisam evoluir agora as suas estratégias de proteção digital.
O que é VoidProxy?
O VoidProxy não é um simples site de phishing: trata-se de um Phishing-as-a-Service (PaaS). Isso significa que qualquer criminoso, mesmo sem expertise técnica, pode alugar a infraestrutura para executar ataques sofisticados.
Na prática, o VoidProxy automatiza o chamado ataque Adversary-in-the-Middle (AiTM), em que o criminoso atua como intermediário entre usuário e plataforma legítima. Essa abordagem vai além do roubo de senha: captura também os códigos MFA e, principalmente, os tokens de sessão, que garantem acesso irrestrito à conta.
Para empresas, o risco é crítico: basta um colaborador cair no golpe para que o invasor obtenha controle sobre e-mails, documentos, dados sensíveis, integrações SaaS e até credenciais privilegiadas.
Acompanhe a anatomia desse ataque
O VoidProxy combina engenharia social, evasão técnica e rapidez de execução:
- E-mail inicial (a isca):
- Utiliza serviços legítimos de e-mail marketing comprometidos, como Constant Contact e Active Campaign, aumentando a taxa de entrega.
- O conteúdo apela para urgência: faturas, alertas de segurança, compartilhamento de arquivos.
- Redirecionamentos sucessivos:
- O link não leva direto ao phishing. Passa antes por encurtadores de URL e múltiplos redirecionamentos.
- Isso ofusca o destino e dificulta bloqueios por ferramentas de reputação de links.
- Página falsa de login:
- Réplica idêntica ao portal da Microsoft ou do Google.
- Protegida por Cloudflare e CAPTCHA, o que passa legitimidade e dificulta detecção por sistemas automáticos.
- Opera em tempo real: as credenciais digitadas são repassadas instantaneamente ao site oficial.
- Captura da MFA e do token:
- O usuário insere login e senha.
- A página maliciosa solicita o código MFA (do SMS ou aplicativo autenticador).
- Ao repassar essa informação para o site legítimo, o VoidProxy intercepta o token de sessão – equivalente a uma “pulseira de acesso VIP”.
- Com o token em mãos, o criminoso acessa a conta sem precisar repetir MFA.
- Infraestrutura descartável:
- Domínios e servidores são trocados constantemente.
- Assim que um endereço é identificado e bloqueado, outro é ativado, mantendo o ataque vivo.
O que torna o VoidProxy tão perigoso
O diferencial é que o VoidProxy não rouba apenas senhas, ele anula o próprio conceito de MFA baseada em códigos.
- Vulneráveis: SMS e aplicativos como Google Authenticator ou Microsoft Authenticator, que dependem de códigos digitáveis.
- Resistentes: tecnologias como Passkeys e Security Keys (FIDO2/WebAuthn), que criam um vínculo criptográfico entre usuário, dispositivo e serviço – impossível de ser replicado pelo atacante.
Os impactos de tudo isso para o ambiente corporativo são diversos, como:
- Sequestro de identidade digital: acesso a e-mails, documentos, contatos e sistemas SaaS.
- Escalada lateral: uso da conta comprometida para atingir parceiros, fornecedores ou clientes.
- Risco reputacional: phishing interno disparado de uma conta legítima pode enganar facilmente outras vítimas.
- Compliance e regulação: falhas de proteção de identidade podem gerar sanções em setores regulados (financeiro, saúde, energia).
O que sua empresa precisa fazer agora
Migrar para MFA resistente a phishing:
- Implementar chaves físicas de segurança (YubiKey, Titan, Feitian) ou Passkeys.
- Priorizar contas administrativas e de alto impacto (TI, financeiro, jurídico).
Educação contínua:
- Treinar executivos e equipes para reconhecer e-mails com urgência suspeita.
- Reforçar a regra: não inserir credenciais após clicar em links de e-mail.
Monitoramento e resposta:
- Ativar alertas de login anômalo.
- Revisar dispositivos conectados e sessões ativas em contas críticas.
- Implementar soluções de Zero Trust, reduzindo dependência de credenciais únicas.
Simulações de phishing:
- Avaliar o nível de preparo da organização com campanhas internas controladas.
O VoidProxy inaugura uma nova fase no cibercrime: o phishing de sessões, que vai além do roubo de credenciais. Para empresas, é o alerta definitivo de que MFA baseada em códigos não é mais suficiente.
Executivos que desejam proteger seus negócios devem agir agora: migrar para autenticação resistente a phishing, revisar políticas de identidade digital e adotar uma mentalidade de Zero Trust.
Últimos Posts
0 comentário