Apropriação de conta (ATO).

A apropriação de conta ocorre quando um atacante obtém credenciais válidas, tokens de sessão ou canais de recuperação da conta de uma vítima e se autentica em seu nome. Os vetores comuns incluem phishing, malware info-stealer, credential stuffing com palavras-passe vazadas, SIM swap para intercetar códigos SMS, abuso de consentimentos OAuth e fragilidades nos fluxos de recuperação de conta. Uma vez dentro, os criminosos exfiltram dados, esvaziam carteiras, redirecionam pagamentos salariais, enviam phishing a partir de endereços de confiança ou pivotam para outros sistemas.

O credential stuffing é o caminho mais industrializado. Na violação da 23andMe em 2023, um atacante reproduziu pares de utilizador/palavra-passe vazados de sites não relacionados contra a página de login ao longo de cerca de cinco meses a partir de abril de 2023. Apenas cerca de 14.000 contas foram diretamente quebradas — mas, como a 23andMe não impunha MFA e a funcionalidade DNA Relatives expunha perfis ligados, o intruso raspou dados genéticos e de ascendência de aproximadamente 6,9 milhões de pessoas. O caso mostra como a reutilização de palavras-passe somada à ausência de MFA transforma um punhado de logins comprometidos numa exposição massiva de dados, e por que importa detetar tentativas de login sustentadas e distribuídas.

As mitigações incluem MFA resistente a phishing (FIDO2/passkeys), vinculação de dispositivo, analítica de logins baseada em anomalias, autenticação reforçada para ações de risco, deteção de palavras-passe vazadas (alinhada com NIST SP 800-63B), limitação de taxa e deteção de bots no login, e revogação rápida de sessões e tokens quando se deteta abuso.

flowchart LR
  L[Credenciais vazadas /<br/>phishing / info-stealer] --> A[Atacante]
  A --> B{Tentativa de login}
  B -->|sem MFA| C[Conta comprometida]
  B -->|MFA resistente a phishing<br/>+ deteção de anomalias| D[Bloqueado / autenticação reforçada]
  C --> E[Roubo de dados, fraude,<br/>raspagem de perfis ligados]
  C --> F[Pivô lateral /<br/>enviar phishing a partir de conta de confiança]
  D -.->|pontuação de risco| G[Revogação de sessão e token]