Infostealer é um programa malicioso que copia o que o navegador guarda (senhas salvas, cookies de sessão e dados de preenchimento automático) e envia ao atacante em segundos. Esses pacotes são vendidos em mercados clandestinos e permitem ao atacante entrar na empresa com um login válido.
O computador infectado raramente é o corporativo. Com frequência é o notebook pessoal em que o funcionário acessou o e-mail da empresa.
Como a infecção acontece
O infostealer chega disfarçado do que a pessoa procurava: um programa pirata, uma extensão de navegador, um anúncio que imita o site de um software conhecido ou um link para uma versão gratuita. A pessoa instala sem perceber o que está instalando.
Não há tela de resgate nem lentidão perceptível. O programa coleta os dados e, em muitos casos, se apaga em seguida. A Vultus comentou o tema em matéria da Forbes sobre infostealers.
O que é levado e por que o segundo fator pode não bastar
O infostealer leva todas as senhas salvas no navegador, pessoais e corporativas, e informações do equipamento suficientes para o atacante se passar pelo usuário. Leva também os cookies de sessão, que mantêm o usuário logado depois do segundo fator. Com eles, o atacante pode retomar a sessão já autenticada, sem senha e sem o código do celular.
O roubo de sessões também aparece em campanhas de phishing, tema do artigo Phishing: cibercriminosos não estão mais pescando somente credenciais.
O que os testes encontram
No Panorama do Risco Cibernético 2026, estudo da Vultus com 132 organizações de 11 setores, credenciais capturadas por infostealers aceleraram a intrusão em 21,4% dos testes. Em 38,1% das organizações havia ambiente em nuvem sem autenticação multifator, o que torna a senha roubada suficiente sozinha.
Os dois números descrevem um caminho de entrada que não exige exploração de vulnerabilidade nem técnica avançada.
Relatórios internacionais confirmam a tendência. A ENISA aponta os infostealers como vetor recorrente por trás de ataques maiores na Europa, e o M-Trends 2026, do Google Cloud, registrou credenciais roubadas em 16% das intrusões em ambientes de nuvem.
Exemplo fictício: o notebook da família
Uma gerente financeira de uma distribuidora usa o notebook da família para revisar uma planilha no domingo e salva a senha do e-mail corporativo no navegador. Semanas antes, um programa de download de vídeos instalado no mesmo equipamento trouxe um infostealer.
Na segunda-feira, as credenciais e a sessão ativa estão à venda. Na sexta, alguém usa a sessão para ler conversas com fornecedores e enviar, do endereço legítimo dela, um pedido de troca de conta bancária para pagamento.
O que a empresa pode fazer
As medidas mais diretas são:
- Monitorar credenciais vazadas: para saber que a senha saiu antes de alguém usá-la.
- Revogar sessões: trocar a senha não derruba uma sessão já roubada.
- Bloquear senhas corporativas no navegador: com um gerenciador de senhas corporativo como alternativa.
- Exigir segundo fator: em tudo que é acessível de fora da rede.
- Encurtar sessões críticas: uma sessão que expira em horas vale menos para o atacante.
- Regras para equipamento pessoal: ou um ambiente isolado para o trabalho.
Monitoramento com curadoria
A Vultus monitora credenciais vazadas em fontes de superfície, deep e dark web, com curadoria que relaciona a credencial ao sistema a que ela dá acesso e à data do vazamento. Integrado ao SOC, um login com credencial vazada passa a gerar alerta prioritário. Conheça a inteligência e prevenção a ameaças da Vultus e leia sobre gestão de identidade e acessos.
