A nuvem como refúgio para phishers
Atuantes de ameaças estão explorando cada vez mais serviços de nuvem legítimos para evadir detecção e simplificar a implantação de sua infraestrutura de fraude. Serviços de hospedagem em nuvem e redes descentralizadas tornaram-se plataformas primárias para hospedar páginas e sites de phishing. Ao longo de 2025 e 2026, observamos operadores de phishing migrarem gradualmente para plataformas como Cloudflare Workers, Vercel, Netlify, GitHub Pages e IPFS.
Os atores de ameaças selecionam ofertas de plataforma como serviço (PaaS) e ambientes de nuvem distribuídos para hospedar sites de phishing pelas mesmas razões que desenvolvedores de software legítimos: reputação inerente e confiança. Páginas de phishing hospedadas em plataformas reputadas parecem confiáveis, reduzindo a suspeita entre vítimas potenciais. A maioria das plataformas oferece planos de desenvolvedor gratuitos generosos, com processo de onboarding de minutos e raramente requer verificação de identidade Know Your Customer (KYC).
Ataque AitM multiestágio na nuvem
Considere uma campanha moderna de phishing AitM (Adversary-in-the-Middle) que aproveita o Cloudflare Workers. Os atacantes executam a operação através de várias páginas HTML distribuídas em um site comprometido e na plataforma em nuvem. Cada página serve uma função específica: colheita de endereços de email de destino, inicialização da infraestrutura de proxy reverso ou falsificação do formulário de login para capturar sessões de autenticação multifator (MFA).
No estágio 1, o ataque começa com um email de phishing que usa um pretexto plausível para atrair o alvo a clicar em um link malicioso. Ao clicar, o usuário é redirecionado para uma página de aterrissagem de CAPTCHA falso hospedada em um site legítimo comprometido. O objetivo principal é colheitar endereços de email de destino, filtrar bots e rotear usuários legítimos para um subdomínio de workers.dev.
No estágio 2, o navegador do usuário carrega uma página com um desafio CAPTCHA legítimo. Uma vez que o usuário completa o desafio, um service worker é registrado no navegador. Este é um arquivo JavaScript especial capaz de executar em segundo plano e interceptar todas as solicitações de rede geradas pela aba atual. Os atacantes aproveitaram o service worker para implantar Ultraviolet, uma biblioteca de proxy web de código aberto legítima, para reescrever dinamicamente todos os links e formulários na página.
No estágio 3, a página final combina interceptação de tráfego AitM com uma técnica de falsificação de interface de navegador (BitB). O script hospedado na página do atacante gerou um pop-up visualmente idêntico a uma janela de navegador nativa. Dentro dessa janela simulada, um iframe carregou a interface de login autêntica, roteada dinamicamente através do proxy reverso do service worker. Quando a vítima inseriu credenciais e código MFA, o script de proxy interceptou tanto as credenciais quanto os tokens de sessão.
Estatísticas de ataque de phishing em nuvem
Analisamos URLs de phishing hospedadas em plataformas de nuvem populares – incluindo Cloudflare, Netlify e GitHub Pages – ao longo de um período de 12 meses. No total, nossas soluções de segurança bloquearam 224.984 subdomínios de terceiro nível únicos em serviços de nuvem e descentralizados usados em ataques de phishing. Cloudflare e Vercel emergiram como líderes indiscutíveis, seguidos pelo GitHub Pages.
Recomendações de defesa
Controles de segurança tradicionais, como confiar em ícones de cadeado HTTPS ou listas de bloqueio baseadas em reputação, são inadequados contra esses ataques. A defesa eficaz contra essas ameaças exige uma postura de segurança em camadas. Exercer cautela com solicitações inesperadas, mesmo se servidas de domínios reputados. Tratar qualquer interface CAPTCHA que solicite entrada de dados pessoais como possível golpe. Inspecionar a URL na barra de endereços no topo da janela do navegador. Evitar inserir credenciais em pop-ups que não foram esperados.