O navegador, principal vetor de invasões corporativas em 2026

Em 2026, o navegador tornou-se o campo de batalha principal para as invasões corporativas: não é apenas a porta de entrada para as aplicações de negócios, mas também aí é executado grande parte da cadeia de ataque. Relatórios e detecções do setor apontam para seis técnicas que dominam o panorama: phishing AiTM com proxy inverso, campanhas que induzem as vítimas a colar e executar comandos (ClickFix e variantes), abusos de fluxos OAuth e consentimentos, extensões maliciosas ou comprometidas, compromissos por senhas “fantasma” fora de SSO, e sequestro de sessões. A seguir explico o que está acontecendo, como essas táticas funcionam tecnicamente, a quem afetam, quais consequências práticas supõem e quais medidas concretas podem aplicar as equipes de segurança e os usuários.

Atos confirmados: fornecedores e relatórios do setor documentaram um aumento sustentado de ataques que se desenvolvem completamente dentro do navegador. Microsoft e outros relatórios públicos catalogam técnicas como a suplantação de consentimento OAuth e o uso de kits Phishing-as-a-Service; o RFC 8628 descreve tecnicamente o “device code flow” que está sendo abusado no terreno real (RFC 8628). A Verizon Data Breach Investigations Report (DBIR) 2025 e outras análises indicam que uma percentagem significativa de incidentes começa em dispositivos não geridos e que o roubo de credenciais continua presente em muitas intrusões (Verizon DBIR). Microsoft também destacou vetor recentes onde o usuário pega comandos em sua equipe como vetor inicial de compromisso (Microsoft Digital Defense Report).

Como funcionam, em termos técnicos: os kits AiTM (adversary-in-the-middle por proxy inverso) criam uma passarela entre vítima e serviço legítimo e relayan em tempo real credenciais, cookies e tokens de sessão, o que permite contornar MFA baseado em fatores controlados pelo usuário. ClickFix e suas variantes convencem a vítima de copiar e executar comandos em seu terminal; esses scripts costumam instalar infostealers ou RATs, que exfiltran cookies, credenciais e artefatos de sessão. Os abusos de OAuth aproveitam fluxos de consentimento ou o “device code” para obter tokens sem que o usuário reingrese credenciais; aqui o mecanismo de autenticação se mantém intacto, mas a permissão concedida autoriza o atacante. As extensões maliciosas obtêm permissões de navegador suficientes para ler e modificar páginas, registrar cliques ou capturar tokens em trânsito; frequentemente os atores compram extensões legítimas e corrompem-nas em uma atualização. Finalmente, as “ghost logins” aparecem quando aplicativos não integrados com o SSO mantêm credenciais locais ou métodos de autenticação alternativos que ficam fora do controle do provedor de identidade e de seus registros.

Quem afecta: organizações com uso intensivo de web apps —fintech, SaaS, saúde, legal—, equipamentos com desenvolvedores que usam máquinas pessoais ou terceiros, e qualquer empresa que permita instalação livre de extensões ou não aplique políticas de SSO centralizadas. Os usuários individuais também estão em risco pela mesma dinâmica: navegadores sincronizados com contas pessoais podem propagar tokens e senhas para ambientes corporativos, e as práticas de copiar/pegar comandos são comuns entre funcionários que tentam “arreglar” problemas por sua conta.

Consequências reais: uma intrusão que nunca abandona o navegador dificulta a detecção por ferramentas tradicionais centradas em e-mail, rede ou endpoint, porque o tráfego parece legítimo e as credenciais ou tokens capturados são válidos. O resultado pode ser acesso persistente, exfiltração silenciosa de dados, movimentos laterais usando credenciais reutilizadas e, em ambientes com sincronização ativada, compromissos cruzados entre contas pessoais e corporativas. Além disso, a comercialização destes kits reduz a barreira técnica do atacante, ampliando o número potencial de operações maliciosas direcionadas.

Informação estimada e ainda incerta: as percentagens exactas de incidência entre técnicas variam de acordo com o dataset do fornecedor que os publica; por exemplo, alguns atores de telemetria comercial relatam que o ClickFix foi dominante no seu corpus, mas os números nem sempre são representativos de todos os setores ou regiões. Há também incerteza sobre a eficácia a longo prazo de defesas emergentes específicas (por exemplo, certas implementações de DPoP ou token binding), porque os atacantes adaptam rapidamente suas ferramentas.

Medidas concretas e práticas — o que devem fazer hoje as equipas de segurança e os utilizadores:

- Implementar políticas de navegador a nível central: use allowlisting de extensões e políticas de bloqueio padrão geridas pelo Chrome Enterprise, Edge for Business ou as políticas de navegador do seu EMM. Controle atualizações e implantação revisões de código para extensões internas.

- Restringir e auditar aplicações de terceiros e consentimentos OAuth: configure um processo de aprovação para qualquer aplicativo que solicite permissões, limite os scopes, e registre cada consentimento. Revise e revogue permissões inativas periodicamente e alerte sobre consentimentos incomuns ou de novos IPs.

- Proibir ou mitigar a prática de copiar/pegar comandos: estabeleça medidas técnicas que bloqueem a execução de programas não assinados (PowerShell Constrained Language, políticas de execução, AppLocker/WDAC no Windows), implantação EDR com controle de comportamento e desactive a colagem direta em consoles em sistemas corporativos.

- Aumentar a visibilidade sobre sessões e tokens: registrar e monitorize usos de tokens, detectar replays de sessão, implemente detecção de anomalias em uso de tokens (nova geolocalização, agente de usuário diferente). Favoreça sessões de curta duração e revogação automática de refresh tokens após mudanças de risco.

- Enforce SSO e fechar “ghost logins”: centralize o acesso através de IDP, desative métodos de autenticação locais em aplicações sempre que possível, e audite logins fora do IDP. Para aplicações que não suportam SSO, documente e gestione credenciais com vaults corporativos e políticas de rotação.

- Tentar dispositivos não geridos como alto risco: aplique políticas de acesso condicional que exijam dispositivos com pós-ureo conhecido, minimize o uso de contas corporativas em máquinas pessoais e desactive a sincronização de navegadores para contas sensíveis.

- Educação e rede team: forme usuários com exercícios de phishing que incluam vetores não e-mail (mensagem, SMS, redes sociais) e campanhas que simulem pedidos de colar e executar comandos. Para reduzir a superfície de ataque, você pode combinar a formação com testes técnicos — desenvolvimento de navegador, navegação remota ou proxies de segurança web.

Estas linhas de acção combinam controlos técnicos, governação e sensibilização. Nenhuma medida é completa por si só: a ameaça migradou o navegador e exige controles específicos nesse nível. Para aprofundar os fluxos OAuth e a técnica de device code, consulte o texto do padrão RFC 8628, e para contexto sobre tendências de intrusão e dispositivos não geridos, verifique a Verizon DBIR e os relatórios de defesa digital dos grandes fornecedores citados acima (Verizon DBIR) (Microsoft Digital Defense Report). Implementar políticas de navegador geridas, auditar consentimentos OAuth e colocar barreiras técnicas ao “paste-and-run” são as ações com maior retorno imediato para reduzir o risco.