O que é um ataque intermediário (MITM)?

Depois de se colocarem discretamente entre as comunicações de duas partes, os invasores MITM interceptam dados sensíveis como números de cartão de crédito, informações de conta e credenciais de login. Os hackers então usam essas informações para cometer outros crimes cibernéticos, como fazer compras não autorizadas, sequestrar contas financeiras e roubar identidades.

Além das comunicações entre um usuário e uma aplicação, um invasor MITM pode monitorar conversas privadas entre duas pessoas. Nesse cenário, o atacante redireciona e retransmite as mensagens entre as duas pessoas, às vezes alterando ou substituindo mensagens para controlar a conversa.

Algumas organizações e especialistas em cibersegurança estão se afastando do termo “man-in-the-middle” (intermediário), pois alguns podem considerá-lo potencialmente tendencioso. O termo também pode falhar em capturar situações onde a entidade no meio é um bot, dispositivo ou malware, e não uma pessoa.

Termos alternativos para esse tipo de ataque cibernético incluem machine-in-the-middle, on-path attack, adversary-in-the-middle (AITM) e manipulator-in-the-middle.

Vulnerabilidades em redes, navegadores, contas de e-mail, comportamentos dos usuários e protocolos de segurança são os pontos de partida para ataques MITM. Os cibercriminosos exploram essas fraquezas para se inserirem entre os usuários e aplicações confiáveis, de forma que possam controlar as comunicações e interceptar dados em tempo real.

Ataques de phishing são um dos métodos mais comuns de entrada para invasores MITM. Clicando em um link malicioso de e-mail, um usuário pode acidentalmente desencadear um ataque man-in-the-browser. Os invasores MITM costumam usar essa tática para infectar o navegador de um usuário com malware, o que permite que façam alterações ocultas em páginas da web, manipulem transações e espionem a atividade do usuário.

Outra fonte comum de ataques MITM são os pontos de acesso público de wifi. Roteadores de wifi públicos têm menos protocolos de segurança do que os roteadores de wifi domésticos ou de ambientes de trabalho. Isso facilita a conexão de usuários próximos com a rede. Mas isso também facilita para hackers comprometerem o roteador, permitindo que espionem o tráfego de internet e coletem dados de usuários.

Os invasores do MITM podem criar redes wifi públicas maliciosas para atrair usuários desprevenidos e capturar seus dados pessoais.

Os invasores MITM podem criar websites falsos que aparentam ser legítimos, mas estão, na realidade, capturando dados críticos, como credenciais de login. Os hackers podem utilizar essas credenciais para se conectar às contas dos usuários em sites legítimos. Eles também podem utilizar o site fraudulento para induzir os usuários a realizar pagamentos ou transferir dinheiro.

Ataques intermediários exigem que os cibercriminosos: 1) interceptem os dados que estão passando entre os dois alvos e 2) decifrem essas informações.

Para se posicionar entre dois alvos em comunicação, como um usuário e um aplicativo web, um invasor precisa interceptar os dados que trafegam entre os dois. O invasor então redireciona essa informação entre os alvos como se uma comunicação normal estivesse ocorrendo, de forma que as vítimas não suspeitem de nada.

A maioria das comunicações pela internet hoje é criptografada, portanto qualquer dado interceptado por um atacante MITM provavelmente precisará ser descriptografado antes de ser usado. Atacantes podem descriptografar dados roubando chaves de criptografia, executando ataques de força bruta ou usando técnicas especializadas de ataque MITM (ver seção seguinte).

Os invasores utilizam uma variedade de técnicas para interceptar e descriptografar dados durante ataques MITM. Técnicas comuns incluem:

Falsificação IP: endereços de protocolo de internet (IP) identificam entidades online, como sites, dispositivos e endereços de e-mail. Os invasores MITM alteram ou "falsificam" seus endereços de IP para que pareça que o usuário está se comunicando com um host legítimo, quando na verdade está conectado a uma fonte maliciosa.

Falsificação de ARP ou envenenamento de cache ARP: o protocolo de resolução de endereços (ARP) conecta um endereço IP com o endereço de controle de acesso de mídia (MAC) correto em uma rede local. Ao falsificar o endereço ARP, o invasor pode direcionar a conexão para o seu próprio endereço MAC e assim coletar dados.

Falsificação de DNS: o sistema de nomes de domínio (DNS) conecta os nomes de domínio dos sites aos seus endereços IP. Alterando um nome de domínio nos registros DNS, um atacante MITM pode redirecionar usuários de um site legítimo para um site fraudulento.

Falsificação de HTTPS: O HTTPS (protocolo de transferência de hipertexto seguro) garante comunicações seguras ao criptografar os dados que trafegam entre um usuário e um site. Atacantes MITM redirecionam secretamente os usuários para uma página HTTP padrão sem criptografia para acessar dados não protegidos.

Sequestro de SSL: o Secure Sockets Layer (SSL) é a tecnologia que oferece autenticação e criptografia entre um navegador da web e um servidor, utilizando certificados SSL. Os invasores MITM usam um certificado SSL falso para comprometer o processo e capturar dados antes que a criptografia ocorra.

Eliminação de SSL: essa técnica ocorre quando um site aceita conexões HTTP antes de redirecionar o tráfego para conexões seguras HTTPS. Os invasores MITM interrompem essa transição para acessar os dados desprotegidos antes de serem direcionados para uma conexão HTTPS segura.

Em ataques desse tipo, os cibercriminosos assumem o controle das contas de e-mail de uma empresa ou organização. Ataques MITM muitas vezes têm como alvo instituições financeiras, como bancos ou empresas de cartão de crédito.

Os hackers monitoram as comunicações, coletam dados pessoais e obtêm informações sobre as transações. Em alguns casos, eles falsificam o endereço de e-mail de uma empresa para convencer clientes ou parceiros a realizarem depósitos ou transferências para uma conta fraudulenta.

Quando o navegador de um usuário se comunica com um site, ele armazena temporariamente
informações em um cookie de sessão. Os atacantes MITM obtêm acesso a esses cookies e os utilizam para se passar pelo usuário ou roubar as informações contidas neles, que podem incluir senhas, números de cartão de crédito e outras informações de conta.

Como o cookie expira quando a sessão termina, os hackers precisam agir rapidamente antes que as informações desapareçam.

Os atacantes MITM às vezes criam redes Wi-Fi públicas e pontos de acesso em locais movimentados, como aeroportos, restaurantes e centros urbanos. Os nomes dessas redes fraudulentas geralmente são semelhantes aos de empresas próximas ou outras conexões Wi-Fi públicas confiáveis. Hackers também podem comprometer pontos de acesso Wi-Fi legítimos usados pelo público.

Em ambos os casos, quando usuários desavisados se conectam, os invasores capturam dados sensíveis, como números de cartões de crédito, nomes de usuário e senhas.

Em 2017, a agência de crédito Equifax foi vítima de um ataque man-in-the-middle devido a uma vulnerabilidade não corrigida em seu framework de aplicativo web. O ataque expôs as informações financeiras de quase 150 milhões de pessoas.

No mesmo período, a Equifax detectou lacunas de segurança em seus aplicativos móveis, deixando os clientes suscetíveis a ataques MITM adicionais. A Equifax removeu os aplicativos da Apple App Store e do Google Play.

Em 2011, hackers lançaram um ataque MITM bem-sucedido contra a autoridade de segurança digital holandesa DigiNotar, usando sites falsos para coletar senhas.

A violação foi significativa pois levou a DigiNotar a emitir mais de 500 certificados de segurança comprometidos para importantes websites, como Google, Yahoo! e Microsoft. A DigiNotar foi eventualmente removida como provedora de certificados de segurança e declarou falência.

Em 2024, pesquisadores de segurança relataram que uma vulnerabilidade permite que hackers realizem um ataque MITM para destrancar e roubar veículos Tesla.

Usando um hotspot wifi falsificado em uma estação de carregamento da Tesla, um invasor poderia roubar as credenciais da conta de um proprietário de Tesla. O invasor poderia então adicionar uma nova "chave de telefone" para destravar e ligar o veículo sem o conhecimento do proprietário, segundo os pesquisadores.

Existem medidas de cibersegurança que organizações e indivíduos podem adotar para se protegerem contra ataques intermediários. Os especialistas recomendam focar nestas estratégias:

HTTPS: os usuários devem acessar apenas sites com conexão segura, identificada por “HTTPS” e o ícone de cadeado na barra de endereços do navegador. Páginas que oferecem conexões HTTP não seguras devem ser evitadas. Além disso, os protocolos SSL e Transport Layer Security (TLS) para aplicações podem proteger contra tráfego web malicioso e evitar ataques de falsificação.

Segurança de endpoints: dispositivos como laptops, smartphones, estações de trabalho e servidores são alvos primários para invasores MITM. A segurança de endpoints, incluindo os mais recentes patches e softwares antivírus, é fundamental para impedir que invasores instalem malware nesses equipamentos.

Redes privadas virtuais: uma VPN fornece uma forte defesa contra ataques MITM, criptografando o tráfego de rede. Mesmo que ocorra uma violação, os hackers não conseguirão ler dados sensíveis, como credenciais de login, números de cartão de crédito e informações de conta.

Autenticação multifator (MFA): a MFA exige uma etapa adicional além de inserir uma senha para acessar contas, dispositivos ou serviços de rede. Mesmo que um invasor MITM consiga obter as credenciais de login, a autenticação multifator pode impedir que ele tome controle da conta.

Criptografia: a criptografia é um requisito fundamental para a segurança da rede e para a defesa contra ataques MITM. Uma criptografia robusta de ponta a ponta em todo o tráfego da rede e seus recursos, como conteúdo de e-mails, registros DNS, aplicativos de mensagens e pontos de acesso, pode impedir muitos ataques MITM.

Redes Wi-Fi públicas: os usuários devem evitar redes Wi-Fi públicas ao realizar transações que envolvam dados sensíveis, como ao fazer compras.