Novo golpe burla a verificação em dois passos e invade contas sem precisar da sua senha

Você ativou a verificação em dois passos e se sente protegido. Mas existe um tipo de ataque que consegue burlar essa proteção sem precisar da sua senha. Ele se chama **AiTM** (Adversário no Meio, em tradução livre) e está entre as ameaças digitais que mais cresceram no Brasil em 2026. Veja como funciona: quando você faz login em um site, o sistema gera um "token de sessão" — uma espécie de passe temporário que prova que você já se autenticou. O golpe AiTM coloca um site falso no meio do caminho entre você e o site verdadeiro. Você digita seu usuário, senha e até o código do celular normalmente — mas o criminoso captura esse token em tempo real e usa para acessar sua conta como se fosse você. Como não há vírus instalado no computador, os antivírus tradicionais não detectam o ataque. O perigo está no domínio falso que você acessou sem perceber. Esse tipo de golpe é especialmente perigoso para empresas, pois pode dar acesso a e-mails corporativos, sistemas internos e contas bancárias. Segundo levantamento da empresa de segurança Starti, 9 em cada 10 pequenas e médias empresas brasileiras sofreram ao menos uma tentativa de ataque via WhatsApp Web ou e-mail corporativo em 2025. ## Como se proteger - **Desconfie de links recebidos por e-mail ou mensagem**, mesmo que pareçam vir de serviços conhecidos (banco, Microsoft, Google, governo). Sempre acesse os sites digitando o endereço diretamente no navegador. - Verifique o endereço do site antes de inserir qualquer dado. Um erro de digitação no domínio (como "bancobrasil.com.br.login.com") é sinal de golpe. - Prefira aplicativos de autenticação (como Google Authenticator) a SMS para o segundo fator — eles são mais difíceis de interceptar. - Empresas devem adotar **proteção de DNS** — uma camada de segurança que bloqueia o acesso a domínios maliciosos antes mesmo de o site carregar. - Nunca insira credenciais em páginas abertas a partir de links em e-mails ou mensagens, mesmo que a página pareça idêntica ao original. ## O que fazer se você já caiu no golpe - **Troque imediatamente as senhas** de todas as contas que possam ter sido comprometidas, especialmente e-mail, banco e redes sociais. - Encerre todas as sessões ativas nas configurações de segurança das suas contas (a maioria dos serviços tem a opção "sair de todos os dispositivos"). - Avise o suporte do serviço afetado sobre o acesso não autorizado. - Se for uma conta corporativa, acione imediatamente o time de TI da empresa. - Registre um Boletim de Ocorrência e denuncie pelo canal **Sem Fraude** do Governo Federal.