O que é roubo de token?
Aplicativos SaaS, como o Microsoft 365 e o Google Workspace, são ferramentas essenciais para a produtividade, a comunicação e a colaboração modernas, o que os torna alvos atraentes para os cibercriminosos. De acordo com uma pesquisa recente, as violações de segurança em aplicativos SaaS aumentaram 300% entre setembro de 2023 e 2024.
Atualmente, muitas empresas adotam medidas rigorosas, como tokens de segurança, para impedir que agentes mal-intencionados acessem seus sistemas e dados. Esses tokens vão além das senhas, reforçando ainda mais a segurança por meio da autenticação e autorização de usuários na autenticação de dois fatores (2FA) e na autenticação multifatorial (MFA). No entanto, os cibercriminosos encontraram novos métodos para roubar esses tokens e contornar a MFA.
Ainda este ano, um MSP compartilhou no Reddit que o e-mail do Microsoft 365 de um cliente foi invadido, apesar de a autenticação de duas etapas (MFA) estar ativada, e perguntou à comunidade como os invasores conseguiram contornar essa proteção.
Detectar e corrigir automaticamente ameaças à segurança de SaaS
Com o Kaseya SaaS Alerts , você pode identificar violações, criar alertas instantâneos e bloquear contas afetadas, o que permite responder rapidamente a incidentes de segurança de SaaS
Os cibercriminosos estão se tornando cada vez mais sofisticados e utilizam técnicas como o roubo de tokens e o sequestro de sessão para contornar a autenticação multifatorial (MFA). No entanto, muitas empresas e prestadores de serviços não estão plenamente cientes desses métodos de ataque.
Neste artigo, vamos abordar em profundidade o que é o roubo de tokens, como ele funciona e o que você pode fazer para proteger seus ambientes SaaS, usuários finais e dados.
O que é roubo de token?
O roubo de tokens é o processo de subtrair tokens de sessão ou chaves criptografadas digitalmente para obter acesso não autorizado a contas ou sistemas. O roubo de tokens representa uma grande ameaça para as organizações, pois, uma vez que os hackers capturam os tokens de login, eles podem se passar por um usuário ou acessar informações confidenciais, mesmo quando há senhas ou autenticação multifatorial (MFA) em vigor.
Tradicionalmente, os usuários inserem seus nomes de usuário e senhas sempre que desejam acessar um serviço ou sistema. Os usuários que utilizam a autenticação baseada em token fazem login uma única vez, e as credenciais são verificadas por meio de processos como a autenticação multifatorial (MFA). Após o login inicial, o sistema emite um token seguro (como uma chave digital) que comprova que o usuário está autenticado e permite o acesso a recursos protegidos por um período determinado. Os cibercriminosos buscam explorar essa vulnerabilidade roubando tokens de sessão válidos.
Alguns tipos comuns de tokens utilizados em sistemas modernos de autenticação e segurança incluem tokens de hardware, como as chaves de segurança FIDO 2, tokens de software, como o Google Authenticator ou o Microsoft Authenticator, e tokens de acesso, API, identificação e atualização.
Como funciona o roubo de tokens e quais são os métodos utilizados
Os tokens roubados permitem que os hackers contornem controles de segurança, como senhas e autenticação multifatorial (MFA), se passem por usuários e acessem contas ou sistemas.
Quando um usuário faz login em um aplicativo SaaS, como o Microsoft 365 ou o Google Workspace, o sistema gera um token de autenticação (um JSON Web Token (JWT) ou um cookie de sessão). Esse token permite que o usuário acesse o aplicativo e seus recursos sem a necessidade de vários logins sucessivos. Ele é armazenado no dispositivo do usuário (no armazenamento do navegador, na memória ou em cookies de sessão) para manter o usuário autenticado e preservar uma conexão contínua.
Se os agentes mal-intencionados conseguirem roubar esse token enquanto ele estiver válido, poderão inseri-lo em seus próprios navegadores ou ferramentas e obter acesso imediato à conta do usuário. Assim, poderão se passar pelo usuário, roubar informações confidenciais ou realizar atividades maliciosas. Em resumo, os invasores efetivamente se apropriam da sessão do usuário.
Métodos comuns utilizados para roubar tokens
Phishing
Os invasores enviam e-mails de phishing que contêm links ou anexos maliciosos. Ao clicar nesses links, os usuários são redirecionados para sites de phishing criados para se passar por páginas de login reais. Os invasores utilizam kits de phishing AiTM que capturam tanto as credenciais de login quanto os tokens, permitindo que contornem a autenticação multifatorial (MFA).
Malware e programas de roubo de informações
Os cibercriminosos utilizam softwares maliciosos, como o RedLine ou o Raccoon Stealer, para extrair tokens e cookies de sessão do navegador ou dos dispositivos dos usuários. O malware vasculha o armazenamento do navegador e a memória dos aplicativos em busca de tokens que possam ser roubados.
Ataques MitM
Nesse tipo de ataque, os invasores interceptam as comunicações de rede para capturar tokens em trânsito. Eles se posicionam entre o alvo e o serviço SaaS (por exemplo, o Microsoft 365). Utilizam ferramentas como o Evilginx (um servidor proxy reverso) que interceptam sessões de autenticação e capturam tokens de sessão válidos.
Reutilização de tokens e ataques de repetição
Depois que os invasores roubam os tokens, eles podem reutilizá-los várias vezes para acessar sistemas sem precisar de credenciais de login ou autenticação multifatorial (MFA). Esses métodos permitem que os invasores reutilizem os tokens roubados para se passar por um usuário ou obter acesso não autorizado a um serviço repetidamente, até que os tokens expirem ou sejam revogados.
Roubo de token x sequestro de sessão: qual é a diferença?
O roubo de tokens e o sequestro de sessão são vetores de ataque relacionados, mas distintos, e utilizam mecanismos diferentes.
O roubo de tokens envolve a extração ou o roubo de tokens de autenticação, como tokens OAuth, API ou JWT. Por outro lado, o sequestro de sessão envolve assumir o controle de uma sessão ativa por meio da exploração de um token de sessão roubado ou interceptado.
Aqui está uma breve explicação das diferenças entre o roubo de token e o sequestro de sessão.
| Característica | Roubo de tokens | Sequestro de sessão |
| Foco | Token de autenticação (OAuth, API, JWT) | ID da sessão ou cookie |
| Método comum de ataque | Phishing, malware, MiTM | Força bruta, cross-site scripting (XSS), MiTM, fixação de sessão |
| Escopo | Mais abrangente (APIs, dispositivos móveis, aplicativos web) | Normalmente voltado para sessões na web |
| Persistência | Com vida útil mais longa (depende da validade do token) | Sessão ativa ou até que a sessão expire |
Figura 1: Diferença entre roubo de token e sequestro de sessão
Os riscos e impactos do roubo de tokens
O roubo de tokens é uma das maiores ameaças enfrentadas pelas empresas atualmente. Os tokens roubados permitem que os invasores:
Ignorar a autenticação de duas etapas
Isso permite que os cibercriminosos contornem medidas de segurança, como senhas e até mesmo a autenticação multifatorial (MFA). Isso os ajuda a obter acesso não autorizado e persistente sem acionar alertas de MFA.
Acesso não autorizado à conta
Os invasores utilizam tokens roubados para se passar por usuários. Assim que obtêm acesso a uma conta, eles passam a atacar outras plataformas, como e-mail, redes sociais ou aplicativos corporativos. Eles podem se deslocar lateralmente dentro de um sistema ou rede, ou elevar os privilégios da conta para obter permissões de nível superior e direitos administrativos.
Comprometer dados confidenciais
Quando uma conta é comprometida, os agentes mal-intencionados podem acessar recursos confidenciais, como dados de usuários, registros financeiros, e-mails, conversas e outros serviços em nuvem. Isso pode resultar na exfiltração em massa de dados de plataformas SaaS, como o Microsoft 365 e o Google Workspace. Os cibercriminosos usam as informações roubadas para exigir resgate. Frequentemente, os dados exfiltrados são vendidos em fóruns da dark web com o objetivo de obter ganhos financeiros.
As consequências desses riscos podem resultar em violações de dados, perdas financeiras, descumprimento de normas e danos à reputação.
Devido aos riscos que representa, a Equipe de Detecção e Resposta da Microsoft (DART) analisa minuciosamente o roubo de tokens e suas táticas. A equipe DART da Microsoft tem como objetivo capacitar as equipes de TI e de segurança com o conhecimento e as estratégias adequadas para combater o roubo de tokens de forma eficaz.
Melhores práticas para prevenir o roubo de tokens
Embora o roubo de tokens seja uma ameaça complexa e contemporânea, há certas medidas que você pode tomar para mitigar esse risco.
Políticas de acesso condicional
As políticas de acesso condicional podem ser aplicadas em ambientes como o Microsoft Entra ID, o Azure AD e o Google Workspace. Essas políticas avaliam o contexto do acesso, o que pode ajudar a reduzir o risco associado ao roubo de tokens. Com base em regras predefinidas, as políticas de acesso condicional verificam diversos fatores, como a identidade do usuário, o status de conformidade do dispositivo, a localização/endereço IP, o aplicativo que está sendo acessado e avaliações de risco em tempo real, antes de conceder o acesso.
Informar os usuários
Embora os funcionários sejam o maior patrimônio de uma organização, o comportamento de risco dos usuários continua sendo um dos pontos mais fracos da segurança cibernética. Em 2024, [mais de 90% das violações de dados](https://www.infosecurity-magazine.com/news/data-breaches-human-error/#:~:text= O errohumano contribuiu para 95,estão causando falhas na vigilância.) estavam relacionadas a erros humanos.
Aproveite as soluções de treinamento em conscientização de segurança e de testes de vulnerabilidade dos usuários, como o “ BullPhish ID ” (um componente essencial do “ Kaseya 365 User”), para capacitar os usuários a identificar e-mails de phishing e páginas de login falsas. Informe-os sobre os riscos de clicar em links desconhecidos, reutilizar senhas e usar redes Wi-Fi públicas sem uma VPN.
Chaves de acesso ou chaves físicas
Utilize chaves de acesso ou chaves de hardware, como as chaves de segurança FIDO 2, as chaves de acesso do Microsoft Authenticator e as chaves de acesso do Google. Elas adicionam uma camada extra de proteção, já que o acesso à chave privada exige o Face ID, a impressão digital ou o PIN do dispositivo. As chaves de acesso oferecem um mecanismo de autenticação mais confiável e fácil de usar contra ameaças cibernéticas, como o roubo de tokens.
Como o usuário d Kaseya 365 a ajuda a evitar o roubo de tokens
À medida que os cibercriminosos e suas táticas continuam a evoluir rapidamente, as empresas precisam de uma estratégia de defesa robusta e em camadas para proteger seus ambientes SaaS, usuários finais e dados em todos os níveis.
Kaseya 365 O User é uma solução abrangente baseada em assinatura que inclui todos os componentes essenciais de segurança cibernética para proteger seu ambiente do Microsoft 365 ou do Google Workspace. Desde a detecção de atividades suspeitas em tempo real e a resposta automática a ameaças até o bloqueio de e-mails de phishing antes que cheguem às caixas de entrada dos funcionários, além do backup e da recuperação seguros de seus dados SaaS, o Kaseya 365 User está aqui para protegê-lo.
Nossa solução de segurança revoga automaticamente os tokens de sessão para bloquear acessos não autorizados e redefine senhas quando um ataque é detectado. Ela correlaciona a atividade dos dispositivos, como padrões de login, com a atividade das contas para aumentar a probabilidade de detectar violações. Ao comparar os dados dos dispositivos com os dados das aplicações SaaS, ela garante que apenas usuários autorizados em dispositivos autorizados possam acessar as aplicações SaaS essenciais da sua organização.
Descubra como o Kaseya 365 User ajuda você a prevenir, responder e se recuperar de ataques de roubo de tokens. Saiba mais.
