MITM: Entenda o Ataque Man-in-the-Middle e Como se Proteger

MITM (Man-in-the-Middle) é uma técnica de interceptação de dados em que um invasor se posiciona discretamente entre duas partes de uma conexão. O usuário acredita que está se comunicando diretamente com um site, aplicativo ou outro dispositivo, mas parte do tráfego passa por um nó controlado pelo atacante.

O nome do ataque deriva do inglês Man in the Middle - "homem no meio". Esse tipo de invasão permite não só visualizar as informações transmitidas, mas, em alguns casos, alterá-las: modificar páginas, interceptar senhas, redirecionar o usuário para outros sites ou interferir na troca de dados.

O MITM é especialmente perigoso em redes locais pouco protegidas, redes Wi-Fi públicas e situações em que o usuário ignora avisos do navegador sobre certificados. No entanto, tecnologias modernas de criptografia, principalmente HTTPS e TLS, dificultam bastante a realização desse tipo de ataque.

A seguir, entenda o que é o ataque "man-in-the-middle", como o invasor se insere na conexão, quais métodos são usados para interceptar o tráfego e como se proteger do MITM.

O que é uma MITM: explicação simples

Uma MITM ocorre quando um invasor consegue se posicionar entre o usuário e o recurso com o qual ele troca dados. Em vez de uma conexão direta, a informação passa por um ponto intermediário sob controle do atacante.

Normalmente, o usuário faz uma requisição ao site e o servidor responde diretamente. Com o ataque "man-in-the-middle", surge um elo adicional: o usuário envia dados ao invasor, que então os repassa ao servidor. As respostas fazem o caminho inverso.

A principal característica desse ataque é que ambos os lados podem não perceber a intervenção. O usuário pensa que está acessando o site real, enquanto o servidor recebe solicitações que parecem vir de um cliente legítimo.

Se a conexão não for suficientemente protegida, o invasor pode visualizar os dados transmitidos, como logins, senhas, conteúdos de mensagens, endereços visitados, parâmetros de requisições e outras informações.

Em alguns cenários, o atacante não se limita à leitura do tráfego: ele pode modificar dados, trocar links, redirecionar o usuário para outra página, alterar o conteúdo da resposta do servidor ou tentar obter informações adicionais.

Vale ressaltar que MITM não significa que qualquer pessoa na mesma rede tem acesso automático a todo o tráfego. Para executar o ataque, o invasor precisa fazer com que os dados passem por seu dispositivo ou conexão controlada.

Por isso, ataques MITM geralmente estão associados a redes locais, pontos de Wi-Fi falsos, falsificação de endereços de rede e outros métodos de manipulação da rota entre usuário e servidor.

Como funciona o ataque "man-in-the-middle"

Para realizar um MITM, o invasor precisa se inserir no canal de comunicação entre o usuário e o serviço desejado. Depois disso, o tráfego passa por um ponto intermediário, mesmo que, para ambos, a conexão pareça comum.

Como o invasor se coloca entre usuário e servidor

O método depende do tipo de rede e ataque. Em uma rede local, o atacante pode alterar dados de rede para que os dispositivos passem a enviar parte do tráfego por seu computador. Em outro cenário, o usuário conecta-se a um ponto Wi-Fi falso, aparentemente legítimo.

Assim, cria-se a cadeia:

• usuário → dispositivo do invasor → servidor real

Para o servidor, as solicitações parecem normais, já que o invasor apenas as repassa. O usuário também recebe respostas genuínas, e o site ou aplicativo continuam funcionando normalmente.

Interceptação e alteração de dados transmitidos

Se os dados não forem criptografados, o atacante pode analisar o conteúdo do tráfego: parâmetros de requisições, páginas, IDs de sessão e outros dados.

O MITM pode ser usado não só para leitura, mas também para alteração do tráfego. O invasor pode modificar parte da resposta do servidor antes que ela chegue ao usuário.

Por exemplo, uma página requisitada de um site legítimo passa pelo dispositivo intermediário, é alterada e só então exibida no navegador. O servidor pode nem saber que sua resposta foi modificada.

Por que a vítima pode não perceber o ataque

O perigo do MITM está no fato de a transmissão de dados continuar normalmente. O site abre, o aplicativo responde e a internet funciona, sem sinais claros de intervenção.

O invasor busca encaminhar o tráfego da forma mais fiel possível, intervindo apenas quando necessário. Se a conexão cair ou as páginas não abrirem, as chances de detecção aumentam.

A criptografia moderna limita bastante essas ações. Se o usuário estabelece uma conexão HTTPS protegida, o dispositivo intermediário pode ver que há transmissão de dados, mas não tem acesso ao conteúdo criptografado sem condições adicionais.

Na prática, o ataque "man-in-the-middle" costuma envolver tentativas de enganar o dispositivo, alterar rotas ou fazer o usuário confiar em uma conexão controlada pelo atacante.

Principais tipos de MITM

O MITM pode ser realizado de diferentes formas, mas sempre com o objetivo de fazer o tráfego passar por um ponto controlado pelo invasor ou redirecionar o usuário sem que ele perceba.

ARP spoofing

ARP spoofing é uma das técnicas mais conhecidas de ataque "man-in-the-middle" em redes locais. O protocolo ARP associa endereços IP a endereços MAC dos dispositivos.

O invasor envia mensagens ARP falsas, convencendo os dispositivos de que seu computador está vinculado ao endereço do roteador. Ao mesmo tempo, o roteador pode ser levado a acreditar que o dispositivo do atacante é o do usuário.

Assim, parte do tráfego segue o caminho:

• computador do usuário → dispositivo do atacante → roteador

A conexão com a internet pode continuar funcionando normalmente, tornando difícil perceber a fraude. O atacante pode analisar, ler ou alterar dados transmitidos, caso não haja criptografia.

O ARP spoofing funciona principalmente dentro de uma mesma rede local, sendo um risco em redes corporativas, domésticas e públicas pouco protegidas, onde o atacante já obteve acesso.

DNS spoofing

O DNS converte endereços de sites em endereços IP de servidores. Ao digitar um domínio, o sistema determina para qual IP deve conectar.

No DNS spoofing, o atacante tenta alterar essa resposta. O usuário digita o endereço correto, mas recebe um IP falso e acaba conectado a outro servidor.

O problema é que o redirecionamento pode passar despercebido, já que o domínio na barra de endereços permanece igual e o site falso pode imitar o original.

No entanto, o HTTPS moderno dificulta esse ataque. Se o servidor falso não apresentar um certificado válido, o navegador alertará o usuário sobre problemas de segurança.

MITM em Wi-Fi público

Redes Wi-Fi abertas são exemplos típicos de ambiente propício ao MITM. O risco não está no Wi-Fi em si, mas no fato de o usuário não saber quem administra o ponto de acesso ou se ele está corretamente configurado.

O invasor pode criar uma rede com nome semelhante ao de um café, hotel ou aeroporto. Se o usuário se conectar, todo o seu tráfego passará pelo equipamento do atacante.

Outra possibilidade é a manipulação de dados dentro da própria rede local, por exemplo, via ARP spoofing.

Conexões protegidas por HTTPS impedem a leitura simples de senhas e mensagens. Mas protocolos não criptografados e erros do usuário - como ignorar avisos de certificados - aumentam os riscos.

Portanto, conectar-se a um Wi-Fi público não significa que seus dados já estão sob ataque. O perigo depende de como a rede é estruturada, dos protocolos usados e de como o navegador ou aplicativo verifica a conexão segura.

HTTPS protege contra MITM?

HTTPS é uma das principais tecnologias de proteção contra interceptação de dados em ataques MITM. Ele utiliza criptografia TLS, garantindo que as informações entre navegador e servidor sejam transmitidas de forma segura.

Se o invasor está entre usuário e site, ele pode ver que há conexão e alguns dados técnicos do tráfego, mas não deve conseguir ler o conteúdo transmitido. Logins, senhas e páginas permanecem criptografados em uma conexão HTTPS bem configurada.

Saiba mais sobre como navegador e servidor estabelecem conexões seguras no artigo "TLS 1.3: como funciona a criptografia HTTPS e por que os sites ficaram mais rápidos".

Como certificados protegem a conexão

Apenas a criptografia não basta: o navegador precisa garantir que está se conectando ao servidor correto. Para isso, são usados certificados digitais, que vinculam o domínio do site a uma chave criptográfica.

Ao acessar um site com HTTPS, o navegador verifica o certificado - para quem foi emitido, se está válido e se a entidade emissora é confiável. Se tudo estiver correto, a conexão segura é estabelecida.

Isso dificulta o MITM clássico, pois o invasor não pode simplesmente inserir seu servidor no meio da conexão - ele precisaria de um certificado válido para o domínio do site legítimo.

Por que não ignorar avisos do navegador

Se o navegador não consegue confirmar a autenticidade do certificado, exibe um alerta de conexão insegura. Isso pode ocorrer por erro de configuração, certificado expirado ou tentativa de ataque.

Ignorar esse aviso é especialmente perigoso ao inserir senhas ou dados bancários. O usuário estaria abrindo mão de uma das proteções essenciais contra a troca do servidor.

Por isso, botões como "continuar mesmo assim" não devem ser tratados como mera formalidade. Em redes desconhecidas ou sites importantes, um aviso de certificado é motivo para interromper a conexão e conferir o endereço.

É possível interceptar tráfego HTTPS?

Estar entre usuário e servidor não permite, por si só, descriptografar o HTTPS. Versões modernas do TLS são projetadas para impedir que um intermediário capture a chave de criptografia e leia o tráfego.

Porém, há situações em que o tráfego protegido pode ser decifrado, como quando há um certificado confiável instalado no dispositivo, mas controlado por terceiros. Isso ocorre em algumas redes corporativas para monitorar tráfego, mas pode ser explorado para interceptação.

A proteção também se perde se o usuário acessar um site de phishing com HTTPS válido. O cadeado apenas indica que os dados estão criptografados entre navegador e servidor, não que o servidor é confiável.

Portanto, o HTTPS reduz bastante o risco de MITM, mas é apenas parte da segurança. É necessário verificar o endereço, prestar atenção aos avisos do navegador e não instalar certificados desconhecidos.

Como identificar e se proteger de um ataque MITM

Detectar um MITM pode ser difícil, pois a internet continua funcionando normalmente e o invasor evita chamar atenção. Por isso, a defesa envolve tanto a detecção quanto a redução das chances de ataque.

Fique atento a erros de certificado

Um dos sinais mais claros de possível manipulação da conexão é o alerta de certificado do navegador. Ele pode indicar um erro do site, mas também pode aparecer em tentativas de manipular o HTTPS.

O aviso é especialmente suspeito em serviços conhecidos que costumam funcionar sem problemas. Nessas situações, evite inserir senhas ou dados e não continue até esclarecer a causa.

Sempre confira o endereço do site. Um site falso pode ter certificado válido, mas usar um domínio visualmente parecido com o original.

Use redes Wi-Fi públicas com cautela

Em locais públicos, evite conectar-se a pontos de acesso desconhecidos só por causa do nome parecido com o do estabelecimento. Sempre que possível, confirme o nome da rede com funcionários.

Para atividades críticas - como internet banking, trabalho com contas corporativas ou compartilhamento de documentos confidenciais -, prefira a internet móvel ou uma rede confiável.

Descubra mais sobre os riscos de redes abertas e como se proteger no guia "Como usar Wi-Fi público com segurança: guia completo de proteção".

Prefira HTTPS e aplicativos atualizados

A maioria dos sites e aplicativos modernos usa TLS, dificultando a leitura passiva do tráfego. Não desative mecanismos de segurança do navegador e mantenha programas atualizados.

Aplicativos e protocolos antigos podem usar criptografia desatualizada ou transmitir dados em texto aberto, tornando o MITM mais perigoso.

Use autenticação em dois fatores

Se o invasor conseguir a senha, o segundo fator pode impedir o acesso à conta. Aplicativos autenticadores e chaves de segurança físicas são especialmente eficazes.

A autenticação em dois fatores não previne o MITM por si só, mas minimiza o dano em caso de vazamento de credenciais. Métodos vinculados ao domínio, como chaves físicas e Passkeys, são os mais seguros.

A proteção prática contra o ataque "man-in-the-middle" envolve vários níveis: criptografia, verificação de certificados, cuidado em redes desconhecidas e proteção extra das contas. Quanto menos o usuário ignora ou desativa esses mecanismos, mais difícil é ao invasor interceptar dados sem ser notado.

Conclusão

O MITM ocorre quando um invasor se coloca entre usuário e servidor, controlando o tráfego entre eles. Para isso, podem ser usados ARP spoofing, DNS spoofing, pontos de Wi-Fi falsos e outros métodos de manipulação da conexão.

A principal defesa é o HTTPS com TLS, verificação de certificados e atenção aos avisos do navegador. Mesmo que o atacante consiga redirecionar o tráfego, a criptografia moderna deve impedir o acesso ao conteúdo protegido.

O usuário deve sempre ficar atento a erros de certificado, checar o endereço do site, evitar redes Wi-Fi desconhecidas e usar proteção adicional nas contas. Essas medidas não exigem conhecimentos técnicos, mas reduzem muito as chances de que uma tentativa de MITM resulte em roubo de dados ou de contas.