Qual é a diferença entre roubo de credenciais e sequestro de sessão?

Roubo de credenciais e sequestro de sessão permitem que os atacantes falsifiquem utilizadores, mas exploram fraquezas diferentes no processo de login.

Principais conclusões:

• O roubo de credenciais tem como alvo os detalhes de login: Os atacantes roubam nomes de utilizador e passwords para aceder a contas, muitas vezes através de phishing ou engenharia social.
• O sequestro de sessão tem como alvo o acesso ativo: Os atacantes roubam ou manipulam tokens de sessão para falsificar utilizadores que já iniciaram sessão.
• A autenticação multifator (MFA) ajuda, mas não é infalível: O sequestro de sessão pode contornar a MFA porque o atacante está a explorar uma sessão já autenticada.
• Parar estes ataques requer defesas em camadas: A autenticação forte, encriptação, monitorização de sessões, verificações de dispositivos e formação de utilizadores desempenham todos um papel.
• Zero trust reduz o risco: O acesso condicional e contextual ajuda a limitar os danos se as credenciais ou sessões forem comprometidas.

O roubo de credenciais é uma das formas mais comuns de cibercrime. Aparecendo em mais de 25% das violações de dados, o roubo de credenciais é também tão simples quanto possível:

1. Roubar um nome de utilizador e uma senha
2. Use-o para iniciar sessão em algum lugar onde não deveria.
3. É isso

Como o roubo de credenciais é tão comum e geralmente a primeira coisa que a maioria dos atacantes tentará, grande parte do kit de ferramentas fundamental de cibersegurança consiste em defesas contra o roubo de credenciais.

O sequestro de sessão é diferente do roubo de credenciais. Embora tanto o sequestro de sessão quanto o roubo de credenciais permitam que um atacante faça a falsificação de identidade de um utilizador que está a iniciar sessão, o sequestro de sessão permite que o atacante faça a falsificação de identidade de um utilizador que já iniciou sessão. Isto permite ao atacante contornar muitos dos controlos tradicionais contra o roubo de credenciais — e é por isso que é importante distinguir esses ataques.

Roubo de credenciais vs. sequestro de sessão: Principais diferenças

O que é o roubo de credenciais e como funciona?

Simplificando, o roubo de credenciais ocorre quando um atacante rouba o nome de utilizador e a palavra-passe de um utilizador e acede a um serviço para falsificar a identidade do mesmo. É uma das formas mais comuns de ciberataque porque, infelizmente, as credenciais são muito fáceis de roubar.

Os ataques de phishing são um dos mecanismos mais comuns para o roubo de credenciais. Por exemplo, uma vítima de phishing pode receber um e-mail que parece conter uma mensagem importante do seu banco. A vítima clica no link do e-mail e é redirecionada para um site que parece idêntico ao site principal do seu banco. Quando tenta fazer login, os campos de nome de utilizador e palavra-passe colhem as suas informações.

Mas o roubo de credenciais é, por vezes, ainda mais fácil. Em vários estudos, os utilizadores mostraram-se dispostos a trocar as suas credenciais de login por dinheiro, por doces ou simplesmente porque lhes foi pedido.

Como podem as organizações prevenir o roubo de credenciais?

Muitas técnicas de defesa contra o roubo de credenciais são concebidas mais para prevenir as suas consequências. Por outras palavras, uma técnica como a autenticação multifator (MFA) não impede que alguém roube credenciais. Em vez disso, torna este vetor de ataque inútil para o atacante ao introduzir um novo conjunto de credenciais que um atacante não pode roubar facilmente.

Por exemplo, uma técnica como a impressão digital de dispositivos recolhe a assinatura única do telefone, portátil ou computador de um utilizador com base na versão do sistema operativo, navegador instalado, localização física e outros fatores. Um atacante pode roubar as credenciais de um utilizador, mas se não conseguir replicar a impressão digital do dispositivo, será forçado a autenticar-se utilizando um fator diferente, como biometria ou uma palavra-passe de uso único. Estes fatores não são impossíveis de roubar (a verificação baseada em SMS é extremamente vulnerável), mas são mais difíceis do que o roubo de credenciais por si só.

Por último, no que diz respeito à prevenção do roubo de credenciais, a formação de sensibilização sobre segurança é um dos únicos métodos eficazes de defesa. Se os trabalhadores conseguirem reconhecer e sinalizar e-mails de phishing, as suas credenciais serão exponencialmente mais difíceis de roubar.

O que é o sequestro de sessão e como funciona?

O sequestro de sessão é uma forma de falsificação de identidade de conta que não depende (ou não depende exclusivamente) do roubo de credenciais. Em vez de falsificar a identidade de um utilizador ao nível das credenciais, introduzindo um nome de utilizador e palavra-passe roubados, o atacante finge ser um utilizador que já está ligado a uma aplicação ou site. Aqui, a credencial vulnerável é o que se conhece como um token de sessão.

Um token de sessão funciona efetivamente como um passaporte. Assume a forma de um código curto emitido por um serviço que diz "este utilizador tem credenciais válidas, passou a MFA e não exibe comportamentos invulgares." Se a sua organização utiliza início de sessão único (SSO), um token de sessão é o que lhe permite aceder a um único serviço apenas com um único início de sessão. Em vez de lhe pedir um nome de utilizador e uma palavra-passe, os serviços conectados verificam a presença de um token de sessão válido e, em seguida, fazem o login automaticamente.

Se um atacante conseguir interceptar o token de sessão, adivinhá-lo por força bruta ou gerar um token válido usando ferramentas especializadas, poderá enganar o sistema fazendo-o pensar que é um utilizador válido. Importante, este método não ativará a MFA porque o token contém informações que confirmam que esses fatores já foram avaliados.

Como é que os atacantes roubam ou abusam de tokens de sessão?

Os atacantes muitas vezes usam o que é conhecido como um ataque de homem-no-meio (MITM) para roubar tokens de sessão. Por exemplo, imaginemos que um utilizador está a trabalhar a partir de um café. O Wi-Fi do café foi comprometido, permitindo que um atacante intercepte o tráfego web. À medida que o utilizador se autentica com um serviço, o atacante pode intercetar o token de sessão e usá-lo para realizar um ataque de sequestro de sessão.

O Malware também pode ser usado para realizar ataques de sequestro de sessão. Se um atacante conseguir injetar malware no navegador de um utilizador, poderá interceptar todo o tráfego web, incluindo tokens de sessão. Alternativamente, os atacantes podem tentar tirar proveito de vulnerabilidades do website com métodos como cross-site scripting. Isto força um website de confiança a entregar um script hostil a um utilizador autenticado, que depois extrai o token de sessão e o devolve ao atacante.

Por fim, os atacantes podem ter o potencial de gerar os seus próprios tokens de sessão válidos. Se uma organização usar um método inseguro para gerar tokens, pode ser possível para um atacante prever como será um token válido. Isso permitirá que eles sequestrem uma sessão sem implantar qualquer malware ou explorar quaisquer vulnerabilidades.

Como podem as organizações prevenir e detetar o sequestro de sessão?

Existem duas principais vias para mitigar ataques de sequestro de sessão: prevenção e deteção. Prevenir ataques de sequestro de sessão significa reforçar a infraestrutura de conexão e sessão. Detetar o sequestro de sessão significa sinalizar o comportamento suspeito que envolve uma sessão sequestrada.

Prevenção de sequestro de sessão
Alguns passos relativamente simples podem aumentar drasticamente a dificuldade dos ataques de sequestro de sessão, levando os atacantes a procurar alvos mais fáceis.

• Aplicação de encriptação: Encriptar o tráfego — incluindo cookies de sessão — com protocolos como TLS/SSL garantirá que os tokens interceptados se tornem inúteis para os atacantes.
• Gestão de sessão: Se um token expirar após 15 minutos de inatividade, um atacante terá uma janela muito mais curta para explorar uma credencial capturada.
• Formação de sensibilização: Trabalhar num café é uma ideia atraente, mas o Wi-Fi público nunca é seguro. Forme os utilizadores para utilizarem sempre uma VPN.
• Detetar sequestro de sessão
  As sessões sequestradas não se comportam como utilizadores normais. Ao adicionar um conjunto de regras à sua ferramenta SIEM, pode sinalizar ataques de sequestro de sessão antes que os atacantes possam danificar os seus ficheiros ou roubar informações proprietárias.
• Monitorização de comportamento: As sessões sequestradas comportam-se de maneiras incomuns. Elas tentarão encriptar, eliminar, mover ou exfiltrar ficheiros. Podem tentar aceder a aplicações às quais não têm acesso ou escalar os seus privilégios. Aprenda a alertar sobre estes sinais.
• Monitorização de dispositivos: Dispositivos sequestrados também apresentarão comportamentos incomuns. Procure utilizadores que mudam de localização ou dispositivos de formas impossíveis (por exemplo, viagem instantânea de Nova Iorque para Londres).
• Monitorização de sessão: Por fim, sessões sequestradas parecerão muito estranhas sob escrutínio. Um exemplo clássico é o mesmo utilizador abrir duas sessões diferentes a partir de dois sistemas diferentes.

Como o acesso de confiança zero ajuda a reduzir o risco de sequestro de sessão

Infelizmente, a prevalência de sequestro de sessão e roubo de credenciais significa que nenhum utilizador, por mais autenticado que esteja, deve ser totalmente confiável. Com isso em mente, a Barracuda oferece SecureEdge Access, uma poderosa solução de acesso à rede de confiança zero (ZTNA) que proporciona alta velocidade e encriptação forte de ponta a ponta. Concebido para substituir as limitações de uma VPN tradicional, o SecureEdge Private Access fornece acesso remoto, condicional e contextual a recursos, minimizando o risco de sequestro de sessão.

Existem muitas formas de prevenir o sequestro de sessão e muitas formas de o detetar após o facto. SecureEdge Access combina estes métodos numa única ferramenta concebida para impedir que atacantes contornem a MFA e imitem utilizadores de confiança. Inscreva-se para uma avaliação gratuita e descubra como é fácil proteger as suas sessões.

Roubo de credenciais e sequestro de sessão FAQs

O sequestro de sessão é o mesmo que roubo de credenciais?

Não. O roubo de credenciais ocorre quando um atacante rouba detalhes de login, como um nome de utilizador e uma senha. O sequestro de sessão ocorre quando um atacante rouba ou manipula um token de sessão válido depois que o utilizador já fez o login.

A apropriação de sessão pode contornar a MFA?

Sim, o sequestro de sessão pode contornar a MFA em alguns casos porque o atacante está a abusar de uma sessão já autenticada. Se o token de sessão indicar que a MFA já foi concluída, a aplicação pode não solicitar a MFA novamente.

O que é um token de sessão?

Um token de sessão é um identificador digital temporário que informa a uma aplicação que um utilizador já fez login com sucesso. Permite que o utilizador permaneça autenticado sem ter que reintroduzir as suas credenciais para cada ação ou serviço conectado.

Como podem as empresas detetar o sequestro de sessão?

As empresas podem detectar o sequestro de sessão monitorizando comportamentos de sessão incomuns, como viagens impossíveis, sessões simultâneas de diferentes dispositivos, escalonamento inesperado de privilégios, atividade anormal de ficheiros ou tentativas de acesso a partir de locais desconhecidos.

Qual é a melhor defesa contra roubo de credenciais e sequestro de sessão?

A melhor defesa é uma estratégia de segurança em camadas. MFA, higiene de palavras-passe, formação de utilizadores e acesso condicional ajudam a reduzir o roubo de credenciais, enquanto encriptação, gestão segura de sessões, monitorização de sessões, monitorização de dispositivos e acesso de confiança zero ajudam a reduzir o risco de sequestro de sessões.