Segurança Tech

Session Hijacking: como criminosos roubam sua sessão e entram sem senha

Leia também:

• O que é DNS?
• O que é NAT?
• Engenharia social: como os golpistas te manipulam

Quando você faz login em um site (como e-mail, rede social ou internet banking), o servidor cria uma sessão para manter você autenticado. Em vez de pedir sua senha a cada clique, o site usa um identificador chamado cookie de sessão (ou token de sessão). Esse cookie funciona como um “crachá digital”: enquanto ele for válido, o site assume que você já provou sua identidade.

O Session Hijacking (sequestro de sessão) acontece quando um criminoso consegue copiar esse “crachá” e usá-lo em outro dispositivo. O resultado é assustador: o atacante entra na sua conta como se fosse você, sem precisar quebrar senha, sem precisar adivinhar PIN e, em muitos casos, sem esbarrar no 2FA (porque o 2FA normalmente é exigido no login — e a sessão já está autenticada).

Esse tipo de ataque é muito comum em golpes que envolvem malware do tipo infostealer, extensões maliciosas de navegador, redes Wi-Fi inseguras, phishing com roubo de token e até páginas falsas que capturam cookies via engenharia social. O objetivo é sempre o mesmo: capturar a sessão ativa do usuário para assumir contas valiosas.

1) Entendendo a base: o que é sessão e por que ela vale ouro

Do ponto de vista técnico, a maioria dos sites modernos trabalha com três camadas:

• Credenciais: usuário/senha (e às vezes biometria, passkeys ou 2FA).
• Prova temporária: tokens/cookies que comprovam que você já autenticou (ex.: sessionid, JWT, refresh token, etc.).
• Controles adicionais: detecção de risco, geolocalização, device fingerprint, confirmação por e-mail, etc.

Quando você faz login, o servidor emite um cookie. Esse cookie pode ser:

• Session cookie (expira quando fecha o navegador) ou
• Persistent cookie (fica salvo por dias/meses).

Se um criminoso obtém esse cookie, ele pode importar no navegador dele e “virar você” naquela aplicação. Em redes sociais, isso significa postar, enviar mensagens e aplicar golpes. Em e-mail, significa redefinir senhas de outras contas. Em bancos e carteiras digitais, pode significar transferências, empréstimos e compras.

2) Como o Session Hijacking acontece na prática (vetores mais comuns)

Existem vários caminhos para um criminoso roubar sua sessão. Os principais são:

a) Malware Infostealer (o campeão)

Infostealers roubam senhas, mas também roubam cookies, tokens e dados de preenchimento automático. O atacante não precisa da senha se conseguir o cookie certo. Muitos infostealers coletam dados de Chrome/Edge/Firefox e enviam para um painel do criminoso, que consegue “assumir” contas rapidamente.

b) Extensões maliciosas de navegador

Uma extensão com permissões perigosas (“ler e alterar dados em todos os sites”) pode capturar cookies e sessões. Ela pode ser divulgada como bloqueador de anúncios, “leitor de PDF”, “botão de desconto” ou “plugin de produtividade”.

c) Wi-Fi público e ataques intermediários

Se a rede estiver comprometida e o usuário cair em um cenário de interceptação, o atacante pode tentar coletar informações de sessão em situações específicas (especialmente quando existe falha de configuração no site, conteúdo misto ou downgrade de segurança). Hoje o HTTPS reduziu muito isso, mas não eliminou todas as possibilidades — principalmente quando o problema é o dispositivo da vítima (malware) e não o tráfego.

d) Phishing avançado com roubo de token

Alguns golpes não querem sua senha: querem sua sessão. Existem páginas que simulam login e, ao mesmo tempo, capturam tokens de autenticação. Em ambientes corporativos isso aparece muito com portais falsos de “Microsoft 365”, “Google Workspace” e “conta corporativa”.

e) Computadores compartilhados / Lan house / PC do trabalho sem política

Se você deixa sessão aberta em máquina compartilhada, o próximo usuário pode simplesmente aproveitar. Parece simples, mas é mais comum do que muita gente admite.

3) Cenário real: como uma conta “cai” sem ninguém descobrir

Vamos montar um cenário realista, no estilo que acontece todos os dias:

• Você baixa um “instalador” de um programa popular (ou um “crack”, ou uma atualização falsa).
• O arquivo instala um infostealer silencioso.
• O malware copia cookies do Chrome e envia para um painel do criminoso.
• O criminoso abre o painel, escolhe “Gmail / Instagram / Facebook / Mercado Livre / banco” e importa o cookie.
• Ele entra sem senha. Em alguns casos, sem pedir 2FA porque a sessão já está validada.

Em poucas horas, ele pode:

• Alterar e-mail de recuperação.
• Trocar telefone associado.
• Ativar 2FA para ele (te trancando para fora).
• Enviar mensagens para seus contatos pedindo PIX.
• Usar o e-mail para resetar senha de bancos e e-commerce.

E a vítima só descobre quando recebe notificações de “novo login” ou quando alguém avisa: “você está pedindo dinheiro no WhatsApp/Instagram?”.

4) Como os criminosos usam os dados roubados

Session Hijacking raramente é “só por diversão”. Geralmente é parte de um funil criminoso:

• Tomada de conta (Account Takeover): assumem suas contas principais (e-mail e redes sociais).
• Escalada: usam o e-mail para recuperar outras contas (banco, marketplace, operadora).
• Fraude financeira: compras, empréstimos, anúncios pagos, golpes em contatos.
• Venda: contas com sessão ativa podem ser vendidas em fóruns clandestinos.
• Persistência: criam métodos para voltar (app autorizado, token de longo prazo, chaves salvas).

Em golpes contra empresas, o alvo costuma ser:

• Conta de e-mail corporativa (para fraude com boleto, “troca de conta bancária”, phishing interno).
• Ferramentas de pagamento e anúncios (Facebook Ads/Google Ads) para gastar saldo.
• Plataformas de atendimento (WhatsApp Business, CRMs) para acessar clientes.

5) Consequências práticas para a vítima

As consequências variam por gravidade, mas quase sempre incluem:

• Perda de acesso: criminoso muda senha e recuperação.
• Golpes em familiares e clientes: “manda PIX que eu devolvo”.
• Prejuízo financeiro: compras, empréstimos, transferências.
• Danos à reputação: sua conta usada para crimes e spam.
• Risco de efeito dominó: e-mail invadido abre portas para tudo.

6) O que fazer imediatamente (primeiras 24h)

Aqui é onde você ganha ou perde a briga. As primeiras 24h definem se você vai recuperar a conta ou ficar travado por semanas.

• 1) Saia de todas as sessões (em cada serviço importante): procure por “Sair de todos os dispositivos”.
• 2) Troque a senha do e-mail primeiro: e-mail é a “chave mestra”.
• 3) Revogue acessos de apps e dispositivos: remova “dispositivos confiáveis” e apps conectados.
• 4) Ative 2FA por aplicativo (Authenticator) e guarde códigos de backup.
• 5) Verifique regras e encaminhamentos do e-mail: criminosos criam filtros/forward para espionar.
• 6) Escaneie o dispositivo: antivírus + verificação de extensões do navegador.
• 7) Se houver banco envolvido: bloqueie app, avise o banco e ative alertas.

Dica prática: se você suspeita de malware, a troca de senha no mesmo computador infectado pode ser inútil, porque o infostealer captura tudo de novo. O ideal é trocar senhas em um dispositivo limpo (celular confiável ou outro PC).

7) Plano de ação para os próximos 7 dias

• Dia 1–2: revisar contas críticas (e-mail, WhatsApp, Instagram, banco, marketplaces) e revogar sessões.
• Dia 2–3: checar “aplicativos autorizados”, tokens e integrações (Google/Meta/Microsoft).
• Dia 3–4: revisar segurança do navegador (extensões, sincronização, perfis).
• Dia 4–5: atualizar sistema operacional, navegador e firmware do roteador.
• Dia 5–7: monitorar transações e sinais de recuperação fraudulenta (SMS/e-mails suspeitos).

Se você gerencia uma empresa ou provedor, vale adicionar também:

• Troca de senhas administrativas e painéis (ONU/OLT/CRM/ERP).
• Revisão de acessos remotos e contas privilegiadas.
• Revisão de logs de login em sistemas internos.

8) Como evitar esse tipo de golpe no futuro

Prevenção de Session Hijacking é uma mistura de higiene digital com boas práticas técnicas:

• Evite instalar softwares piratas: infostealer ama isso.
• Desconfie de “extensões milagrosas”: principalmente as que pedem acesso total.
• Use perfis separados no navegador: um para banco, outro para “uso geral”.
• Não deixe sessão aberta em PC compartilhado.
• Ative alertas de login sempre que o serviço permitir.
• Use 2FA por app + códigos de backup guardados offline.
• Mantenha o sistema atualizado: falhas de navegador e plugins também são exploradas.

Um ponto técnico importante: se você usa sincronização do Chrome (Google Sync), um criminoso que entra na sua conta Google pode sincronizar cookies e senhas para o dispositivo dele. Por isso, reforçar a segurança do e-mail é obrigatório.

9) Checklist de segurança

• ✅ 2FA por aplicativo (não SMS) nas contas principais
• ✅ Revisão de dispositivos logados (1x por mês)
• ✅ Extensões do navegador somente as necessárias
• ✅ Atualização automática do navegador ativada
• ✅ Perfil separado no navegador para banco
• ✅ Antivírus e proteção contra malware ativos
• ✅ Backup de códigos de recuperação guardado offline

Perguntas Frequentes (FAQ)