AiTM e roubo de sessão: o que o token do aplicativo protege e o que não protege

Resumo: credencial, código e sessão não são iguais

A senha comprova conhecimento de um segredo; o código de uso único, ou OTP, acrescenta uma verificação. O cookie de sessão mantém a continuidade do acesso após a autenticação. Confundir essas peças transforma um possível problema de intermediação ou abuso de sessão em um diagnóstico impreciso de “falha do token”.

Para bancos e fintechs, não basta perguntar se existe um segundo fator. É preciso identificar a propriedade do método e o que acontece depois do acesso. Esta nota sintetiza investigações de terceiros; não apresenta telemetria própria de invasões nem um inventário completo de bancos afetados.

O que muda na intermediação em tempo real

No padrão de proxy reverso descrito pela Sekoia, a página fraudulenta retransmite a autenticação e obtém credenciais e cookies. Os mais de 1.200 domínios são um total histórico do fornecedor desde agosto de 2023, não domínios bancários latino-americanos ou necessariamente ativos ao mesmo tempo.

Não é preciso dizer que o ataque “não rouba senha”: ele pode capturar credenciais e também a sessão. Da mesma forma, phishing interativo não prova sempre a existência de um proxy reverso. Um painel que pede outro código com um operador presente descreve uma capacidade cuja implementação precisa ser examinada.

A classificação pode consultar T1557, Adversary-in-the-Middle e T1539, roubo de cookies de sessão, conforme a evidência. Um identificador ATT&CK não substitui a descrição do comportamento observado nem determina sozinho o funcionamento de um incidente.

Cronologia documentada, não uma medição atual do mercado

O comunicado da Microsoft de 4 de março de 2026 descreve a apreensão de 330 domínios ativos da infraestrutura central do Tycoon 2FA. É o resultado daquela operação, não um censo de toda a infraestrutura de phishing.

O relatório da Abnormal AI de 6 de maio de 2026 descreve uma reconstrução posterior: campanha identificada vinte dias após a intervenção e verificada como ativa em 2 de abril. Isso sustenta o reaparecimento relatado, não a conclusão de que a operação não teve efeito nem uma participação global de mercado.

A pesquisa da Sekoia sobre Sneaky 2FA distingue circulação desde outubro de 2024, descoberta em dezembro e publicação em janeiro de 2025. O preço de 200 dólares mensais pertence àquele relatório, não a uma consulta atual. A fonte não demonstra aumento de vendas causado pela intervenção no Tycoon.

Três casos financeiros e os limites de cada um

Phoenix System. A Group-IB descreve intervenção em tempo real em um painel encontrado durante pesquisa global de smishing que inclui LATAM. A cobertura regional não equivale a nomear um banco latino-americano comprometido no texto revisto.

ZeroTokens. A Abnormal AI informa configurações para 53 marcas financeiras em 14 localidades e concentração de organizações associadas a domínios .au. Modelo, marca e destinatário não significam conta comprometida. Essa distribuição não é extrapolada para LATAM.

UNC6671. A GTIG/Mandiant documenta vishing e AiTM contra funcionários e ambientes corporativos de nuvem, incluindo serviços financeiros. O contexto difere do acesso de clientes ao internet banking pessoal.

A conclusão limita-se a essas referências: esta nota não estabelece, a partir de seus textos, um incidente bancário latino-americano suficientemente identificado. Não afirma que incidentes ou pesquisas fora desse conjunto não existam. Consulte os critérios de citabilidade e alcance do dataset.

Separar autenticação, sessão e autorização de pagamento

O NIST SP 800-63B-4 não considera códigos OTP digitados manualmente resistentes a phishing. Descreve a vinculação criptográfica ao verificador e cita WebAuthn/FIDO2. Uma notificação push com dados do pagamento, isoladamente, não demonstra a mesma propriedade.

Na revisão defensiva, faça três perguntas: um impostor consegue retransmitir a autenticação? A sessão pode ser reutilizada em outro contexto? Qual operação é autorizada pela confirmação do pagamento? Exibir valor e destinatário pode integrar o desenho da autorização; não equivale automaticamente a um protocolo resistente a phishing.

Proteger a credencial não torna toda a conta invulnerável. Recuperação, cadastramento, troca de dispositivo, sessões e operações sensíveis continuam fazendo parte da avaliação. São áreas de verificação propostas, não resultados de testes em um aplicativo bancário específico.

Alcance regulatório e limites da evidência

Afirmações sobre biometria, SMS e regulação financeira no México e no Brasil que não foram verificadas em fonte primária vigente não são usadas aqui para concluir conformidade, descumprimento ou obrigação para toda a região.

Comparar tecnicamente mecanismos de autenticação não constitui uma conclusão jurídica. Um panorama regulatório publicável exige associar cada afirmação à norma, à data e às instituições ou aos canais abrangidos.

Três decisões para uma revisão defensiva

Separar mecanismos. Registrar credenciais, OTP, cookies e autorizações de pagamento como elementos diferentes. O roubo de códigos, sozinho, não demonstra uso de proxy reverso.

Testar o fluxo completo. Avaliar autenticação resistente a phishing, recuperação da conta e controles de sessão sem prometer que uma única medida elimina todos os ataques.

Exigir alcance verificável. Para falar em vítimas regionais, preservar fonte, país, período e tipo de evidência. Marcas em modelos, menções a LATAM e incidentes confirmados precisam de rótulos diferentes. A síntese não acrescenta IOCs nem atribui um operador comum aos casos.