Ataque Man-in-the-Middle: Como Proteger sua Empresa e seus Clientes
Um ataque Man-in-the-Middle (MitM) ocorre quando um atacante se posiciona entre dois pontos de comunicação — por exemplo, entre seu cliente e seu servidor — interceptando, lendo e potencialmente modificando os dados trafegados sem que nenhuma das partes perceba.
Como Funciona um Ataque MitM
Os vetores mais comuns incluem:
- Wi-Fi público não seguro: atacante cria um ponto de acesso falso ("Evil Twin") com nome de rede legítimo (ex: "Starbucks_WiFi") — quem se conecta tem o tráfego interceptado
- ARP Spoofing: na rede local da empresa, o atacante engana dispositivos para redirecionar o tráfego por ele
- SSL Stripping: força downgrade de HTTPS para HTTP, removendo a criptografia da conexão
- DNS Spoofing: altera a resolução de nomes de domínio para redirecionar usuários a servidores do atacante
- BGP Hijacking: ataque sofisticado que redireciona tráfego de internet em nível de roteamento
O que Pode ser Roubado
- Credenciais de login (usuário e senha)
- Dados de cartão de crédito em checkout
- Tokens de sessão (que permitem ao atacante se passar pelo usuário autenticado)
- Comunicações corporativas confidenciais
- Dados bancários em transações financeiras
Como Proteger sua Plataforma
HTTPS e HSTS obrigatórios
Todo site que lida com dados do usuário deve usar HTTPS com certificado válido. Implemente HSTS (HTTP Strict Transport Security) para forçar conexões seguras e prevenir SSL stripping. Adicione seu domínio à HSTS Preload List do Google para máxima proteção.
Certificate Pinning
Em aplicativos móveis, implemente certificate pinning — o app só aceita conexões com o certificado específico do seu servidor, rejeitando certificados de terceiros mesmo que sejam tecnicamente válidos.
Validação de integridade
Use Subresource Integrity (SRI) para garantir que scripts de terceiros carregados no seu site não foram modificados. Implemente Content Security Policy (CSP) para controlar de onde scripts podem ser carregados.
💡 Para usuários corporativos: Use sempre VPN em redes públicas ou não confiáveis. Treine sua equipe para verificar o cadeado HTTPS e o domínio correto antes de inserir credenciais. Wi-Fi público é território do atacante.
⚠️ MitM em apps mobile: Aplicativos que não implementam certificate pinning são vulneráveis a interceptação via proxy (Burp Suite, Charles) — ferramenta usada por atacantes para capturar dados em trânsito. Se seu app lida com dados sensíveis, certificate pinning não é opcional.
Sua plataforma está vulnerável a ataques de interceptação?
Nossa análise técnica verifica a configuração de HTTPS, HSTS, CSP e outras proteções contra ataques de interceptação na sua plataforma web e mobile.
Solicitar análise gratuita →