Arquiteturas Criptograficamente Fundamentadas para Detecção, Mitigação e Resiliência Contra Phishing: Integração de Métodos Formais, Autenticação Resistente a Phishing e Resposta a Incidentes

1. Introdução

O phishing constitui, há mais de duas décadas, um vetor persistente de comprometimento inicial em cadeias de ataque complexas. Desde os primeiros relatos associados a fraudes em serviços de acesso discado na década de 1990 (JAKOBSSON; MYERS, 2006), a técnica evoluiu de mensagens massivas rudimentares para operações organizadas envolvendo divisão de funções entre desenvolvedores de kits, operadores de infraestrutura e afiliados responsáveis por campanhas. Essa profissionalização acompanha a consolidação de economias ilícitas digitais e modelos de criminalidade “as‑a‑service”.

Relatórios do Anti‑Phishing Working Group indicam crescimento consistente na sofisticação das campanhas e na diversidade de setores afetados, incluindo instituições financeiras, serviços em nuvem e organizações de saúde (APWG, 2021). Estudos de incidentes publicados no Verizon Data Breach Investigations Report demonstram que engenharia social continua entre os vetores mais frequentes de comprometimento inicial em violações de dados (VERIZON, 2021). Em muitos cenários, campanhas de phishing servem como ponto de entrada para ataques subsequentes, incluindo ransomware, fraude financeira e exfiltração de informações sensíveis.

A adoção generalizada de HTTPS, impulsionada por iniciativas como o protocolo ACME e a automação de certificados promovida por autoridades certificadoras modernas, trouxe benefícios significativos para confidencialidade e integridade de comunicação (BARNES et al., 2019). Contudo, a presença de TLS autentica apenas a posse de um domínio, não a legitimidade da entidade que o opera. Essa limitação foi demonstrada empiricamente por Dhamija, Tygar e Hearst (2006), que observaram dificuldades significativas de usuários em distinguir páginas legítimas de páginas fraudulentas mesmo quando indicadores visuais de segurança estavam presentes.

A autenticação multifator (MFA) foi amplamente promovida como mecanismo de mitigação contra comprometimento de credenciais. Entretanto, implementações baseadas exclusivamente em códigos OTP continuam vulneráveis a ataques adversary‑in‑the‑middle (AiTM), nos quais proxies reversos interceptam credenciais e tokens de sessão em tempo real (GRASSI; GARCIA; FENTON, 2017). Protocolos modernos de autenticação, como FIDO2/WebAuthn, buscam resolver esse problema por meio de credenciais assimétricas vinculadas à origem do domínio (W3C, 2019).

Neste trabalho argumentamos que soluções isoladas — sejam filtros baseados em aprendizado de máquina, listas de bloqueio ou autenticação forte — são insuficientes quando adotadas de forma independente. Propomos uma arquitetura integrada baseada em três pilares principais:

• modelagem formal de ameaças e definição de jogos de segurança;
• adoção de mecanismos criptográficos resistentes a phishing;
• integração com pipelines operacionais de detecção e resposta a incidentes.

A contribuição central reside na articulação desses elementos em um modelo coerente que combina fundamentos criptográficos com mecanismos práticos de defesa operacional.

2. Fundamentação Teórica e Trabalhos Relacionados

2.1 Taxonomia de Phishing

A literatura apresenta diversas classificações para ataques de phishing. Com base em estudos clássicos e evidências empíricas, organizamos uma taxonomia composta pelas seguintes categorias.

Definição 1 (Phishing Genérico). Campanhas enviadas em larga escala para destinatários aleatórios, com personalização mínima e conteúdo padronizado.

Definição 2 (Spear Phishing). Ataques direcionados a indivíduos ou grupos específicos, frequentemente utilizando informações contextuais obtidas por engenharia social ou coleta prévia de dados.

Definição 3 (Whaling). Subcategoria de spear phishing direcionada a executivos ou tomadores de decisão com alto nível de acesso organizacional.

Definição 4 (Clone Phishing). Reenvio de comunicação previamente legítima, alterando links ou anexos para redirecionar a vítima a conteúdo malicioso.

Definição 5 (Pharming). Redirecionamento de resolução de nomes mediante comprometimento de infraestrutura DNS ou manipulação local.

Definição 6 (AiTM Phishing). Intermediação ativa da sessão entre vítima e serviço legítimo por meio de proxy reverso capaz de capturar credenciais e tokens autenticados.

Essa classificação dialoga com a literatura consolidada sobre phishing e engenharia social (JAKOBSSON; MYERS, 2006; SHENG et al., 2010).

2.2 Abordagens de Detecção

Uma linha relevante de pesquisa investiga métodos automatizados de detecção de phishing baseados em características léxicas de URLs. Ma et al. (2009) demonstraram que atributos como comprimento de URL, presença de caracteres incomuns e padrões de subdomínio podem alimentar classificadores capazes de identificar sites maliciosos antes da inclusão em listas de bloqueio.

Outra abordagem explora análise de conteúdo HTML. O sistema CANTINA, proposto por Zhang et al. (2007), utiliza pesos TF‑IDF extraídos do conteúdo da página para identificar discrepâncias semânticas entre páginas legítimas e fraudulentas.

Pesquisas subsequentes incorporaram características estruturais, análise de grafos de infraestrutura e aprendizado profundo. Entretanto, limitações estruturais persistem: conjuntos de dados rotulados podem apresentar viés temporal, classificadores supervisionados são suscetíveis a evasão adversarial e inspeção profunda de conteúdo possui custo computacional significativo em ambientes de produção.

2.3 Autenticação Resistente a Phishing

O padrão WebAuthn define uma API que permite autenticação baseada em chaves públicas vinculadas ao domínio de origem. Durante o registro, o autenticador gera um par de chaves $(sk, pk)$ associado a um identificador de origem.

Formalmente, para um desafio criptográfico $c$ e domínio $d$, o autenticador produz a assinatura:

$$ \sigma = \text{Sign}_{sk}(c \parallel H(d)) $$

onde $H$ representa uma função de hash criptográfica. Como a verificação ocorre no servidor legítimo associado ao domínio $d$, uma página maliciosa hospedada em $d’ \neq d$ não consegue reutilizar a assinatura gerada.

A segurança desse mecanismo depende da propriedade de segurança existencial contra falsificação sob ataque adaptativo de mensagens (EUF‑CMA) do esquema de assinatura subjacente (BONEH; SHOUUP, 2020).

3. Modelo de Ameaça

Modelamos o adversário como um algoritmo probabilístico em tempo polinomial $\mathcal{A}$.

Definimos cinco classes de capacidade adversária.

Classe	Capacidade adversária	Descrição
A1	Registro de domínios	Registro de domínios arbitrários e envio de e‑mails
A2	Certificados TLS	Obtenção de certificados válidos por ACME
A3	Proxy AiTM	Intermediação ativa de sessão
A4	Comprometimento parcial	Controle limitado do endpoint da vítima
A5	Ataque adversarial	Manipulação de entradas de classificadores

Jogo de Indistinguibilidade de Página

Definimos a vantagem de um distinguidor $\mathcal{D}$ como:

$$ Adv_{\mathcal{D}} = \left| Pr[b’ = b] - \frac{1}{2} \right| $$

onde $b$ indica se uma página é legítima ou phishing.

Jogo de Resistência à Captura de Credencial

1. O adversário controla domínio $d’$.
2. A vítima tenta autenticar‑se no domínio legítimo $d$.
3. O adversário vence se obtiver credencial reutilizável válida em $d$.

Teorema 1

Sob a hipótese de que o esquema de assinatura utilizado pelo autenticador é EUF‑CMA seguro e que a chave privada permanece protegida, a probabilidade de um adversário das classes A1–A3 vencer o jogo de captura de credencial contra WebAuthn é negligenciável.

A prova segue por redução direta: qualquer falsificação bem‑sucedida implicaria quebra do esquema de assinatura subjacente.

4. Metodologia

4.1 Arquitetura Proposta

A arquitetura proposta consiste em múltiplas camadas de análise.

• Coleta de URLs e eventos
• Extração léxica
• Validação criptográfica TLS
• Análise estrutural de DOM
• Regras semânticas
• Classificação supervisionada
• Integração SIEM

Camada	Objetivo	Técnica
Coleta	Ingestão de eventos	Filas de mensagens
Léxica	Análise de URL	Features estatísticas
Criptográfica	Verificação TLS	RFC 5280
Estrutural	Similaridade DOM	Tree edit distance
Regras	Detecção semântica	YARA / Sigma
Classificação	Decisão final	Random Forest

4.2 Extração Léxica

Para uma URL $u$, calculamos entropia de Shannon:

$$ H(u) = -\sum_{c \in \Sigma} p©\log_2 p© $$

onde $\Sigma$ representa o alfabeto de caracteres.

A complexidade do algoritmo é $O(|u|)$.

4.3 Similaridade Estrutural

A comparação entre páginas utiliza distância de edição entre árvores DOM.

Para árvores $T_L$ e $T_u$ com tamanhos $n$ e $m$, a complexidade aproximada é:

$$ O(n \cdot m) $$

método baseado em algoritmos clássicos de tree edit distance.

5. Implementação

A arquitetura de implantação utiliza componentes distribuídos.

• proxy de inspeção
• sandbox headless
• cluster de análise
• SIEM central
• SOAR para automação

Fluxo operacional:

1. evento recebido
2. análise automatizada
3. envio ao SIEM
4. execução de playbook

Exemplo de regra YARA

rule Phishing_Brand_Impersonation
{
    meta:
        description = "Detecta possível imitação de instituição financeira"
    strings:
        $bank1 = "Banco do Brasil"
        $bank2 = "Caixa Econômica"
        $form = "<form"
    condition:
        $form and 1 of ($bank)
}

Exemplo de regra Sigma

logsource:
  category: process_creation
detection:
  selection1:
    Image|endswith: '\7z.exe'
  selection2:
    ParentImage|contains: '\chrome.exe'
  condition: selection1 and selection2
level: medium

6. Avaliação Experimental

A avaliação utiliza conjuntos de dados públicos frequentemente empregados em pesquisas sobre phishing.

Dataset	Tipo	Origem
PhishTank	URLs maliciosas	comunidade
OpenPhish	URLs verificadas	feed comercial
Alexa Top Sites	domínios legítimos	ranking histórico

As métricas empregadas incluem precisão, revocação, F1‑score e área sob a curva ROC.

A validação cruzada estratificada com $k = 10$ reduz variância estatística e permite comparação consistente entre abordagens.

Resultados qualitativos indicam que o pipeline híbrido reduz falsos positivos quando comparado a blacklists isoladas e melhora revocação em relação a modelos puramente léxicos.

7. Estudo de Caso: Instituição Financeira

Uma instituição financeira de médio porte implementou autenticação baseada em senha e OTP via SMS. Após incidentes recorrentes envolvendo phishing, iniciou‑se migração gradual para autenticação FIDO2.

Medidas adotadas incluíram autenticação por chave de segurança, integração com SIEM e monitoramento de comportamento de login.

Playbook operacional:

1. detecção de login anômalo
2. revogação de sessão
3. preservação de logs com hash SHA‑256
4. análise forense conforme NIST SP 800‑61 Rev.2

A adoção de autenticação resistente a phishing reduziu significativamente incidentes baseados em captura de credenciais.

8. Estudo de Caso: Hospital Universitário

Hospitais representam ambientes particularmente sensíveis devido à presença de dados clínicos e sistemas críticos.

Medidas implementadas:

• MFA para acesso remoto
• segmentação de rede
• campanhas de treinamento contra phishing
• monitoramento de regras de encaminhamento de e‑mail

A integração com SIEM permitiu reduzir o tempo médio de detecção e melhorar a resposta a incidentes envolvendo contas comprometidas.

9. Discussão

Os resultados indicam que abordagens puramente baseadas em detecção apresentam limitações quando não acompanhadas de mecanismos criptográficos robustos de autenticação.

Por outro lado, autenticação forte isolada não elimina riscos associados à engenharia social ou comprometimento de endpoint. A integração de múltiplas camadas de defesa constitui, portanto, estratégia mais eficaz.

Persistem desafios importantes, incluindo evasão adversarial de classificadores e custos computacionais associados à análise profunda de conteúdo.

10. Conclusão

Este trabalho apresentou uma arquitetura integrada para mitigação de phishing baseada em três elementos fundamentais: modelagem formal de ameaças, autenticação criptográfica resistente a phishing e integração com processos operacionais de resposta a incidentes.

Argumentamos que sistemas defensivos eficazes exigem convergência entre fundamentos criptográficos, métodos formais e engenharia de segurança aplicada.

A consolidação de padrões como WebAuthn, combinada com pipelines híbridos de detecção e práticas maduras de resposta a incidentes, oferece caminho promissor para reduzir o impacto sistêmico de ataques de phishing em organizações contemporâneas.

References

ANTI‑PHISHING WORKING GROUP. Phishing Activity Trends Report 2021. Disponível em: https://apwg.org/trendsreports/. Acesso em: 10 abr. 2026.

BARNES, Richard et al. Automatic Certificate Management Environment (ACME). RFC 8555. IETF, 2019. Disponível em: https://datatracker.ietf.org/doc/html/rfc8555.

BONEH, Dan; SHOUP, Victor. A Graduate Course in Applied Cryptography. Stanford University, 2020. Disponível em: https://crypto.stanford.edu/~dabo/cryptobook/.

CORMAC, Herley; FLORENCIO, Dinei. A Large‑Scale Study of Web Password Habits. In: WWW 2007. Disponível em: https://doi.org/10.1145/1242572.1242661.

DHAMIJA, Rachna; TYGAR, J. D.; HEARST, Marti. Why phishing works. In: Proceedings of CHI 2006. Disponível em: https://doi.org/10.1145/1124772.1124832.

FIDO ALLIANCE. FIDO2: Moving the World Beyond Passwords. 2019. Disponível em: https://fidoalliance.org.

GRASSI, Paul; GARCIA, Michael; FENTON, James. NIST Digital Identity Guidelines – SP 800‑63B. NIST, 2017. Disponível em: https://pages.nist.gov/800-63-3/sp800-63b.html.

IETF. Internet X.509 Public Key Infrastructure Certificate and CRL Profile. RFC 5280. 2008. Disponível em: https://datatracker.ietf.org/doc/html/rfc5280.

IETF. The Transport Layer Security Protocol Version 1.3. RFC 8446. 2018. Disponível em: https://datatracker.ietf.org/doc/html/rfc8446.

JAKOBSSON, Markus; MYERS, Steven. Phishing and Countermeasures. Indianapolis: Wiley, 2006.

KUMARAGURU, Ponnurangam et al. Teaching Johnny Not to Fall for Phish. ACM Transactions on Internet Technology, 2010. Disponível em: https://doi.org/10.1145/1754393.1754396.

MA, Justin et al. Beyond blacklists: learning to detect malicious web sites from suspicious URLs. In: KDD 2009. Disponível em: https://doi.org/10.1145/1557019.1557153.

MOORE, Tyler; CLAYTON, Richard. Examining the Impact of Website Take‑Down on Phishing. In: USENIX Security Symposium, 2007. Disponível em: https://www.usenix.org.

NIST. Computer Security Incident Handling Guide. SP 800‑61 Rev.2. 2012. Disponível em: https://csrc.nist.gov/publications/detail/sp/800-61/rev-2/final.

NIST. Zero Trust Architecture. SP 800‑207. 2020. Disponível em: https://csrc.nist.gov/publications/detail/sp/800-207/final.

OPENPHISH. Phishing Intelligence Feed. 2021. Disponível em: https://openphish.com.

PHISHTANK. PhishTank Database. 2021. Disponível em: https://phishtank.org.

SHENG, Steve et al. Who falls for phish? A demographic analysis of phishing susceptibility. In: CHI 2010. Disponível em: https://doi.org/10.1145/1753326.1753419.

VERIZON. 2021 Data Breach Investigations Report. Disponível em: https://www.verizon.com/business/resources/reports/dbir/.

W3C. Web Authentication: An API for accessing Public Key Credentials Level 1. 2019. Disponível em: https://www.w3.org/TR/webauthn/.

ZHANG, Yue et al. CANTINA: A Content‑Based Approach to Detecting Phishing Web Sites. In: WWW 2007. Disponível em: https://doi.org/10.1145/1242572.1242663.

ROSS, Blake et al. Stronger Password Authentication Using Browser Extensions. In: USENIX Security, 2005. Disponível em: https://www.usenix.org.

GARERA, Sujata et al. A Framework for Detection and Measurement of Phishing Attacks. In: ACM Workshop on Recurring Malcode, 2007. Disponível em: https://doi.org/10.1145/1314389.1314391.

ABDELHAMID, Noura; AYESH, Aladdin; THABIT, Fathi. Phishing Detection: A Recent Intelligent Machine Learning Comparison. IEEE, 2014. Disponível em: https://ieeexplore.ieee.org.

CERT.BR. Cartilha de Segurança para Internet. CGI.br, 2020. Disponível em: https://cartilha.cert.br.

BRASIL. Lei nº 13.709, de 14 de agosto de 2018 (Lei Geral de Proteção de Dados Pessoais). Disponível em: https://www.planalto.gov.br/ccivil_03/_ato2015-2018/2018/lei/l13709.htm.