Proteja-se contra ataques de DOM-Clickjacking: uma análise dos gerenciadores de senhas mais vulneráveis

Gerenciadores de senhas são projetados para proteger suas senhas e informações confidenciais, mas também podem ser explorados, permitindo que invasores acessem essas informações. Um método de clickjacking baseado em DOM recém-descoberto pode enganar alguns gerenciadores de senhas, fazendo-os preencher automaticamente as credenciais em formulários maliciosos. A seguir, detalhamos como esse ataque funciona e como você pode reforçar suas defesas.

Compreendendo a vulnerabilidade dos gerenciadores de senhas

Descobertas recentes destacam uma exploração do Document Object Model (DOM) que facilita uma variante do clickjacking, permitindo que criminosos acionem secretamente o recurso de preenchimento automático de gerenciadores de senhas. Isso pode levar ao roubo de dados confidenciais, como senhas, códigos TOTP/2FA e informações de cartão de crédito. A mecânica desse ataque se desenrola da seguinte forma:

O usuário acessa uma página da web controlada pelo invasor, que apresenta um elemento clicável aparentemente inofensivo, por exemplo, um banner de consentimento de cookies ou um botão pop-up para fechar.
Utilizando truques de visibilidade do DOM, o invasor posiciona um formulário invisível sobre o elemento clicável legítimo, definindo opacity:0.
Ao clicar, o gerenciador de senhas do usuário preenche automaticamente o formulário oculto com as credenciais salvas, permitindo que os criminosos cibernéticos as capturem.

Toda essa operação ocorre silenciosamente, muitas vezes sem que o usuário perceba que suas informações foram comprometidas. Um estudo recente avaliou 11 gerenciadores de senhas líderes, sugerindo que a maioria com recursos de preenchimento automático é suscetível. Em resposta a essas descobertas, vários gerenciadores de senhas lançaram atualizações que incorporam um prompt de confirmação para preenchimento automático, mas muitos ainda permanecem em risco.

No entanto, a maioria desses patches funciona como correções temporárias que não resolvem o problema subjacente, enraizado nos processos de renderização de páginas da web dos navegadores. Conforme destacado pela 1Password, “o problema central está na forma como os navegadores renderizam páginas da web; acreditamos que uma solução técnica completa não pode ser fornecida apenas por extensões de navegador”.

Para mitigar os riscos associados a ataques de clickjacking, considere as seguintes práticas recomendadas, além de manter sua extensão do gerenciador de senhas atualizada.

Desative o preenchimento automático no seu gerenciador de senhas

Como o preenchimento automático é o principal recurso explorado nesses ataques, desativar essa funcionalidade pode aumentar significativamente sua segurança. Em vez de preencher os campos automaticamente, você precisará preenchê-los manualmente, clicando em um botão específico quando necessário.

Desativando o preenchimento automático no 1Password

Para desativar o preenchimento automático, navegue até as configurações da sua extensão do gerenciador de senhas e localize a opção na seção Preenchimento automático e salvar. Desative o preenchimento automático ao focar para evitar a entrada automática.

Configurar extensões para acesso por clique ou específico do site

A maioria dos navegadores permite que você configure extensões para serem ativadas exclusivamente em determinados sites ou somente mediante ativação manual por meio do ícone da extensão. Ao definir esses parâmetros, você pode se proteger eficazmente contra ações de preenchimento automático indesejadas em sites destinados à navegação genérica.

Acesse a página de Extensões do seu navegador e acesse os detalhes do seu gerenciador de senhas. Procure a seção “Acesso ao site”, normalmente definida como ” Em todos os sites” por padrão. Altere para ” Ao clicar” ou especifique sites específicos de acordo com sua preferência. Selecionar ” Ao clicar” restringe a ativação ao clicar no ícone, enquanto ” Em sites específicos ” a habilita apenas em sites predefinidos.

Habilitando permissões de site no navegador ao clicar

Opte por aplicativos para desktop ou dispositivos móveis em vez de extensões de navegador

Como os ataques de clickjacking se concentram principalmente em extensões de navegador, aproveitar os aplicativos nativos para desktop ou dispositivos móveis do seu gerenciador de senhas pode reduzir sua suscetibilidade. Esses aplicativos geralmente oferecem opções simples de pesquisa e cópia para agilizar os processos de entrada manual.

Ao acessar uma página de login, basta procurar suas credenciais no aplicativo gerenciador de senhas e usar o recurso de cópia para facilitar a entrada.

Utilize uma extensão de bloqueio de script

Muitos ataques de clickjacking dependem fortemente de scripts em execução na página web, tornando os bloqueadores de scripts uma linha de defesa eficaz. Embora o bloqueio de JavaScript possa impedir esses ataques, recomendamos uma abordagem mais ampla, bloqueando todos os scripts em domínios não confiáveis para garantir a segurança ideal.

NoScript é uma extensão robusta que atende a essa necessidade, disponível para Chrome e Firefox. Ela bloqueia automaticamente várias formas de scripts ativos, incluindo JavaScript, permitindo que você habilite scripts seletivamente em sites confiáveis.

Dica bônus: melhore a segurança da conta

Para se proteger contra o roubo de credenciais, implementar uma medida de segurança adicional é crucial. A Autenticação de Dois Fatores (2FA) é altamente recomendada; no entanto, confie em um método 2FA robusto que vá além da verificação por SMS, que costuma ser comprometida. O TOTP é um bom ponto de partida, mas certifique-se de que o aplicativo autenticador esteja localizado em um dispositivo diferente. Além disso, considere utilizar chaves de acesso ou chaves de segurança de hardware para uma proteção ainda mais forte.

Para limitar potenciais vulnerabilidades, evite depender excessivamente de soluções de login automático. Embora possa exigir etapas adicionais, esse pequeno inconveniente aumenta significativamente sua segurança, principalmente se você armazena muitas informações confidenciais no seu gerenciador de senhas.

Fonte e Imagens