APWG contabilizou 971.181 ataques de phishing só no primeiro trimestre de 2026 — um salto de 13,8% em relação ao trimestre anterior. E, em janeiro de 2026, o Google desmontou o que chamou de uma das maiores redes de proxy residencial do mundo depois de constatar que mais de 550 grupos de ameaça estavam roteando tráfego por meio dela numa única semana. No fim das contas, os proxies acabam estando dos dois lados da briga contra o phishing.
É justamente essa tensão que a maioria dos artigos sobre "proxies e phishing" deixa de lado. Ou tratam proxy como escudo (compre nosso proxy e fique seguro) ou avisam que proxy é arma de atacante (cuidado). A realidade é mais complexa — e bem mais interessante.
Atacantes usam infraestrutura de proxy para esconder a origem, trocar entre IPs confiáveis e roubar sessões autenticadas — inclusive depois de MFA. Já as equipes de defesa usam proxies para investigar links suspeitos com segurança, testar como páginas de phishing aparecem em diferentes países e filtrar tráfego malicioso antes que ele chegue aos próprios sites. Este guia cobre os dois lados e depois mostra um fluxo de trabalho prático que você realmente pode colocar em pé. Sem promessa vazia, sem bala de prata.
- Dificuldade: Intermediária
- Tempo necessário: cerca de 25 minutos para leitura e planejamento; a implementação varia conforme a etapa
- O que você vai precisar: conhecimento básico da infraestrutura web da sua empresa, acesso às configurações de DNS do seu domínio, um navegador Chrome (para as etapas com Thunderbit) e, opcionalmente, uma conta com provedor de proxy
O que é phishing e por que sua empresa deve se importar?
Phishing é um ataque de engano. Criminosos usam e-mail, SMS, páginas falsas de login, QR codes ou sites falsificados para levar as pessoas a entregar credenciais, aprovar um acesso, instalar malware ou transferir dinheiro.
Hoje, isso vai muito além do clássico "e-mail malicioso". O phishing moderno envolve páginas hospedadas na nuvem, fluxos falsos de login do Microsoft 365, QR codes e roubo de tokens de sessão.
Para empresas, o impacto é bem concreto. O relatório 2025 da IBM sobre custo de violação de dados estima o custo médio global de uma violação em USD 4,4 milhões. Já o Internet Crime Report 2025 do FBI informa que o IC3 recebeu cerca de 453.000 denúncias de fraudes cibernéticas, com perdas reportadas acima de USD 17,7 bilhões, sendo o comprometimento de e-mail corporativo (BEC) responsável por mais de US$ 3 bilhões disso.
Roubo de credenciais, fraude bancária, comprometimento da cadeia de fornecedores, multas regulatórias — o phishing afeta tudo isso.
A seguir: como os proxies entram tanto no ataque quanto na defesa, e como funciona de verdade uma defesa em camadas, sem romantização.
A natureza dupla dos proxies: seu escudo e a arma deles
Um proxy é um intermediário entre o seu dispositivo e a internet. Em vez de o site ver o seu IP real, ele enxerga o IP do proxy. Pense nisso como um serviço de encaminhamento de correspondência: o destinatário recebe a carta do endereço de redirecionamento, não da sua casa.
Essa mesma característica cria o problema de uso duplo. Equipes de segurança usam proxies para investigar ameaças sem expor um IP corporativo ou a estação de trabalho do analista. Atacantes usam a mesma tecnologia para fazer o tráfego malicioso parecer vir de usuários comuns, de outros países ou de redes residenciais confiáveis. A análise da Barracuda de abril de 2026 explica isso de forma direta: IPs residenciais parecem autênticos porque estão ligados a conexões reais de internet de casas ou pequenas empresas, então os sistemas antifraude tendem a desconfiar menos deles.
A maioria dos artigos concorrentes mostra só um lado. E isso deixa o leitor com uma visão incompleta — e com defesas incompletas.
Como atacantes usam proxies contra você
Três vetores de ataque merecem atenção especial para quem defende empresas: anonimato e rotação de IP, abuso de proxy residencial e evasão em plataformas confiáveis.
Entendendo o phishing AiTM (Adversary-in-the-Middle)
AiTM é o ataque que derruba a suposição de que "MFA nos protege" (spoiler: o MFA tradicional não aguenta isso).
Num ataque AiTM, o invasor coloca um reverse proxy entre a vítima e uma página legítima de login — como o Microsoft 365. O usuário vê o que parece ser um fluxo real de autenticação. Ele digita as credenciais, conclui o MFA e o provedor de identidade legítimo emite um cookie de sessão. Só que, como todo o tráfego passa pelo proxy do atacante, esse cookie é capturado. A partir daí, o invasor pode reutilizá-lo para acessar a conta — sem senha e sem novo desafio de MFA.
A análise da Microsoft sobre o Tycoon2FA, um dos kits de phishing AiTM mais conhecidos, mostra que os operadores conseguem imitar páginas de login do Microsoft 365, Outlook, SharePoint, OneDrive e Google. O kit gera PDFs e QR codes, administra cadeias de redirecionamento e monitora o uso de MFA e a captura de cookies de sessão. Sua infraestrutura usa subdomínios de curta duração e serviços hospedados na Cloudflare para dificultar bloqueios por listas.
Nada disso é teoria. Kits AiTM são usados ativamente em escala e são o principal motivo pelo qual "temos MFA" não é uma resposta completa para phishing.
Abuso de proxy residencial e rotação de IP
Redes de proxy residencial roteiam o tráfego do atacante por IPs reais de casas, fazendo as requisições parecerem legítimas e escaparem da detecção antifraude baseada em IP. Muitos provedores não verificam com rigor como seus IPs são utilizados, o que alimenta um mercado cinzento.
O exemplo mais concreto: em janeiro de 2026, o Google Threat Intelligence Group desarticulou a rede de proxy residencial IPIDEA, reduzindo em milhões o conjunto de dispositivos disponíveis. O GTIG observou mais de 550 grupos de ameaça usando nós de saída do IPIDEA em um único período de sete dias. A investigação encontrou sobreposição com botnets, abuso de acesso a SaaS, ataques de password spraying e atores globais de espionagem. Muitas implementações de SDK de proxy não tinham consentimento claro do usuário.
O alerta do FBI de 2026 sobre proxies residenciais lista phishing, login com credenciais roubadas, ataques de força bruta, invasão de contas, spam e ofuscação de C2 como usos criminosos.
Hospedagem em plataformas confiáveis e evasão de kits de phishing
Outra tática de evasão: hospedar páginas de phishing em plataformas confiáveis — SharePoint, Google Docs, Azure Blob Storage — para se aproveitar da reputação do domínio. A análise da Microsoft sobre ameaças no Azure Blob Storage mostra que os atacantes usam esse recurso para hospedar páginas falsas de login da Microsoft, tornando mais difícil para a vítima perceber o caráter malicioso só pelo certificado.
Os kits de phishing também usam lógica de evasão. A análise da Cofense sobre kits de phishing documenta filtros de geolocalização, verificação de user-agent e idioma, CAPTCHA, detecção de ferramentas de desenvolvedor e redirecionamento para páginas legítimas. Se o visitante não bate com o perfil alvo — país errado, navegador errado ou parece ser um scanner de segurança — a página mostra algo inofensivo ou um erro 404.
Escanear a partir de um único IP corporativo ou de um datacenter em nuvem vai fazer você perder essas páginas. O kit foi literalmente feito para esconder o conteúdo de você.
Como defensores usam proxies para reagir
Do lado da defesa, os proxies cumprem quatro funções práticas:
-
Varredura anônima de URLs e domínios. Direcione links suspeitos por um proxy controlado para que o destino veja o IP do proxy, e não o laptop de um funcionário ou a rede corporativa. Isso reduz a exposição direta e cria um processo de investigação reproduzível.
-
Coleta de inteligência de ameaças. Use proxies rotativos para rastrear infraestrutura de phishing, listas de domínios, feeds públicos de ameaças ou fontes de domínios recém-registrados sem ser bloqueado depois de poucas requisições. (Sempre respeitando a legislação e os termos de uso.)
-
Detecção geodistribuída de phishing. Use proxies em várias regiões para verificar se uma URL suspeita se comporta de forma diferente nos EUA, na UE, na APAC ou em outro mercado-alvo. Isso ajuda a descobrir kits com geofencing ou filtros por user-agent — as mesmas técnicas de evasão citadas acima.
-
Implantação de reverse proxy / WAF. Reverse proxies ficam na frente dos seus próprios domínios. Eles não impedem funcionários de clicar em links de phishing externos, mas protegem seus ativos web contra tráfego de bot, credential stuffing, payloads maliciosos e padrões abusivos de tráfego.
Por que o MFA sozinho falha contra phishing baseado em proxy
Já vi essa discussão se repetir em dezenas de fóruns de TI: "Temos MFA, então estamos protegidos." Quem já lidou de verdade com um incidente AiTM tem uma visão bem diferente.
O mecanismo é simples. A vítima conclui o MFA em um fluxo que parece legítimo. O provedor de identidade real emite um token de sessão. O atacante captura esse token por meio do reverse proxy.
A autenticação foi concluída — mas agora o invasor controla a sessão. Só redefinir a senha pode não ser suficiente se as sessões ativas e alterações de MFA feitas pelo atacante continuarem válidas. A Microsoft afirma explicitamente que organizações afetadas precisam revogar cookies de sessão e desfazer modificações de MFA feitas pelo atacante, indo além da remediação padrão.
Códigos por SMS, apps OTP, aprovações push — tudo isso pode ser contornado se o usuário concluir a ação dentro de um fluxo controlado pelo atacante. O MFA fez o trabalho dele. O problema é que o atacante estava observando o tempo todo.
O que realmente impede phishing AiTM
FIDO2 / passkeys. A FIDO Alliance explica que as passkeys são resistentes a phishing por design: não há senhas para roubar e não há dados de login reutilizáveis. O par de chaves criptográficas fica vinculado à origem do domínio legítimo, então o proxy do atacante simplesmente não consegue reproduzir o desafio. A CISA confirma que FIDO e PKI são os únicos métodos de MFA não proprietários amplamente disponíveis que impedem phishing de credenciais.
Autenticação baseada em certificado. Mais complexa de implementar em ambiente corporativo, mas igualmente resistente a phishing, porque depende de certificados do dispositivo em vez de códigos digitados pelo usuário.
Políticas de Conditional Access. Em ambientes Microsoft, o Conditional Access pode exigir dispositivos conformes, locais confiáveis, verificações baseadas em risco ou um nível de autenticação resistente a phishing — reduzindo o valor de um token de sessão roubado, mesmo que o atacante o obtenha.
Todas essas medidas complementam os proxies, não os substituem. O objetivo é trabalhar em camadas.
Opções práticas para pequenas e médias empresas com orçamento limitado
A objeção óbvia é: "Intune, MDM, chaves físicas — isso é coisa de orçamento enterprise." Justo. Então aqui vai a rota econômica:
- Passkeys no navegador. A maioria dos navegadores modernos já oferece suporte nativo a passkeys. Não é preciso comprar hardware. Comece pelas contas de administração, finanças e RH.
- Implantação gratuita de DMARC. Registros SPF, DKIM e DMARC podem ser publicados sem custo. Google Workspace e Microsoft 365 têm guias de configuração integrados.
- Registro defensivo de domínios. Cadastre grafias parecidas e domínios visualmente semelhantes ao da sua marca. A maioria dos registradores cobra de US$ 10 a US$ 15 por ano por domínio. Defina política DMARC de rejeição em cada um.
- Treinamento direcionado. Foque a conscientização dos funcionários em iscas AiTM específicas: falsas páginas de login do Microsoft 365, compartilhamentos falsos de documentos, QR codes, golpes com device code e fluxos urgentes de folha de pagamento/fornecedor.
Pense nisso como "comece aqui, evolua depois". Mesmo uma adoção parcial já reduz bastante o risco.
Qual tipo de proxy funciona melhor para evitar phishing?
Tipos diferentes de proxy servem a propósitos diferentes na prevenção de phishing — e escolher o errado só desperdiça dinheiro ou cria pontos cegos.
| Tipo de Proxy | Melhor uso anti-phishing | Vantagens | Desvantagens | Nível de custo |
|---|---|---|---|---|
| Datacenter | Varredura em massa de URLs, monitoramento de domínios | Rápido, barato, alta escala | Fácil de detectar por kits de phishing mais sofisticados | Baixo |
| Residencial | Detecção geográfica de phishing, testes com perspectiva do usuário | Parece tráfego de usuário real, contorna bloqueios geográficos | Mais lento, mais caro, fortes preocupações éticas sobre origem | Alto |
| Rotativo | Coleta de inteligência de ameaças, monitoramento contínuo | Evita bloqueios de IP durante rastreamentos longos | Configuração mais complexa, latência variável | Médio |
| Reverse Proxy / WAF | Defesa dos seus próprios ativos web | Filtra ameaças de entrada, detecta bots, protege contra DDoS | Não ajuda na detecção de phishing de saída | Médio |
Uma observação sobre origem ética. O caso Google/IPIDEA e o alerta do FBI deixam claro que redes de proxy residencial podem ser montadas a partir de dispositivos comprometidos, SDKs enganosos, termos ocultos de VPN ou malware. Antes de comprar tráfego de proxy residencial, exija do fornecedor consentimento transparente do usuário, mecanismos de opt-out, auditabilidade e tratamento de abuso. Provedores já citados em pesquisas de segurança (como PacketStream e o extinto 911 Proxy) devem ser tratados com extrema cautela.
Para a maioria das pequenas e médias empresas, o melhor começo é usar proxies de datacenter para varredura em massa e um reverse proxy/WAF para os seus próprios domínios. Adicione proxies residenciais só se você realmente precisar de testes geolocalizados e conseguir avaliar bem o fornecedor.
Passo a passo: como evitar phishing com proxies (fluxo prático)
A maioria dos artigos para na teoria. Cada etapa abaixo traz uma recomendação de ferramenta e detalhes suficientes para você repassar ao time de TI ou executar por conta própria.
Etapa 1: monitore domínios recém-registrados parecidos com sua marca
Atacantes registram domínios parecidos com o seu antes de iniciar campanhas: thunderb1t.com, thunderbit-login.com, thunderbit-support.net.
Detectar isso cedo é uma das ações defensivas de maior valor que existem.
Como fazer:
- Monte uma lista de monitoramento com os termos da sua marca, nomes de produtos, nomes de executivos e palavras ligadas a login (por exemplo, "login", "portal", "invoice", "payment").
- Consulte diariamente os logs do Certificate Transparency (CT) usando crt.sh, que permite pesquisar registros de certificados por domínio ou nome da organização. Os logs de CT exigem que certificados públicos confiáveis sejam registrados, então certificados recém-emitidos para domínios parecidos vão aparecer ali.
- Marque domínios com distância de edição próxima à sua marca, TLDs suspeitos (.xyz, .top, .click) ou palavras-chave de login/pagamento.
- Renderize as páginas sinalizadas por meio de um proxy ou sandbox — nunca pelo navegador de um funcionário.
Integração com Thunderbit: a API de extração em lote do Thunderbit pode processar até 100 URLs suspeitas por tarefa, usando renderMode: "full" para renderizar clones de phishing com muito JavaScript. Você define um JSON Schema com os dados que quer receber de volta — título da página, presença de formulário de login, domínio de ação do formulário, emissor SSL, cadeia de redirecionamento, URL final. A versão via CLI se encaixa bem em monitoramento com cron:
thunderbit batch extract --file suspicious-urls.txt --schema phishing-signals.json --render-mode full
Para usuários não técnicos, a extensão Chrome do Thunderbit também pode ser usada para extrair e revisar rapidamente páginas suspeitas em poucos cliques — útil quando você só precisa inspecionar manualmente algumas URLs, em vez de executar um pipeline agendado.
Resultado esperado: um relatório diário ou semanal de novos domínios parecidos com a sua marca, com metadados estruturados e prontos para triagem.
Teste o Thunderbit para revisar URLs suspeitas
Etapa 2: direcione links suspeitos por proxies de datacenter
Antes que alguém da sua empresa clique em um link suspeito, analise-o por um caminho controlado. O IP exposto será o do proxy, não o do dispositivo do funcionário nem o da rede corporativa.
Como fazer:
- Para checagens rápidas, use urlscan.io (um sandbox web que permite escolher o país da análise) ou VirusTotal (que verifica URLs contra dezenas de produtos antivírus e listas de bloqueio).
- Para scripts internos ou análises em maior volume, roteie as requisições por um proxy de datacenter:
curl -x http://proxy.example.com:8080 -I "https://suspicious.example"
- Para páginas de phishing ativas, use uma VM descartável ou um sandbox de navegador. Desative a entrada de credenciais. Capture a cadeia de redirecionamento, o título da página, o destino final, os envios de formulário, scripts e capturas de tela.
- Nunca envie credenciais corporativas reais. E trate com cuidado as verificações públicas — alguns serviços expõem as URLs enviadas, a menos que estejam configuradas como privadas ou não listadas.
Resultado esperado: uma avaliação segura do destino, do comportamento e dos sinais da página — sem exposição corporativa.
Etapa 3: use proxies geodistribuídos para identificar campanhas de phishing direcionadas
Alguns kits de phishing só mostram o conteúdo malicioso para visitantes de um país ou configuração de idioma específicos. A Cofense documenta que o filtro por geolocalização é bastante comum: visitantes da região "errada" veem uma página inofensiva ou um 404, enquanto o público-alvo recebe o formulário de coleta de credenciais.
Como fazer:
- Teste links suspeitos nas regiões em que seus funcionários, clientes e times financeiros realmente operam. Se sua empresa está nos EUA e tem um escritório no Reino Unido, teste dos dois locais.
- Compare URLs finais, capturas de tela, títulos, formulários e códigos HTTP por região.
- Alterne user-agent e idioma ao investigar iscas por QR code ou voltadas para celular — alguns kits também filtram isso.
- Escale URLs que mostrem conteúdo inofensivo em um local, mas formulário de login em outro. Esse é um forte sinal de phishing.
Resultado esperado: detecção de campanhas geodirecionadas que seriam invisíveis numa varredura feita a partir de um único local.
Etapa 4: implemente um reverse proxy ou WAF para seus próprios domínios
Agora é hora de sair da detecção de saída e ir para a defesa de entrada. Reverse proxies e WAFs ficam na frente dos seus ativos web, inspecionando o tráfego antes que ele chegue aos servidores.
Como fazer:
- Aponte o DNS do seu domínio para um provedor de reverse proxy. Cloudflare é a opção mais acessível para pequenas e médias empresas — DNS, CDN, WAF e regras ficam numa única interface. Para aplicações hospedadas na AWS, o AWS WAF funciona bem se você já usa CloudFront, ALB ou API Gateway.
- Ative as regras gerenciadas do WAF. Elas bloqueiam IPs maliciosos conhecidos, filtram tráfego de bot e detectam padrões de credential stuffing.
- Habilite limites de taxa para login, redefinição de senha e formulários de contato.
- Adicione regras de bot ou challenge para endpoints de alto risco.
- Monitore os eventos do WAF semanalmente — não basta configurar e esquecer.
Resultado esperado: tráfego malicioso de entrada é filtrado antes de chegar aos seus servidores. Tentativas de credential stuffing nas suas páginas de login são bloqueadas ou desafiam o usuário.
Etapa 5: automatize e agende o monitoramento contínuo
Phishing não é uma auditoria única. Novos domínios, kits e infraestruturas surgem todos os dias — então o monitoramento precisa de cadência:
- Diariamente: varredura de domínios parecidos via CT e fila de domínios suspeitos.
- Diariamente ou de hora em hora (para marcas de alto risco): checagens em sandbox de URLs de domínios recém-descobertos.
- Semanalmente: revisão dos relatórios agregados de DMARC e dos padrões de spoofing.
- Semanalmente: revisão de eventos do WAF para credential stuffing e picos de bots.
- Mensalmente: checagem do progresso da adoção de MFA resistente a phishing.
- Trimestralmente: teste dos fluxos de finanças e RH contra cenários realistas de AiTM e BEC.
Integração com Thunderbit: os fluxos de scraping agendado e via CLI/API do Thunderbit podem apoiar o monitoramento recorrente de equipes operacionais não técnicas. O melhor caso de uso não é "Thunderbit impede phishing sozinho" — é "Thunderbit ajuda times de operações a coletar sinais estruturados de páginas suspeitas e fontes de monitoramento de domínios sem precisar criar um scraper do zero". Os resultados podem ser enviados para Google Sheets ou Airtable para visibilidade da equipe, ou para o Slack por meio de uma integração simples.
Resultado esperado: um ciclo de monitoramento contínuo que detecta novas ameaças em horas, não em semanas.
O que os proxies não conseguem pegar: protegendo o e-mail com DMARC, SPF e DKIM
Os fornecedores de proxy normalmente não falam dessa parte: proxies são só uma camada de defesa, mas o phishing por e-mail, que nunca passa por um proxy, precisa de proteção separada.
Muitos ataques chegam por endereços de e-mail falsificados. Um proxy não intercepta isso.
Configurando SPF com bloqueio rígido
SPF (Sender Policy Framework) é um registro DNS que lista quais IPs estão autorizados a enviar e-mails em nome do seu domínio. Configure com -all (falha rígida) em vez de ~all (falha suave) para rejeitar de forma explícita remetentes não autorizados.
Erro comum: esquecer de incluir todos os serviços legítimos de envio — seu CRM, plataforma de marketing, provedor de e-mail transacional, service desk. Revise todas as origens de envio antes de publicar o registro.
Implantando a assinatura DKIM
DKIM (DomainKeys Identified Mail) adiciona uma assinatura criptográfica aos e-mails enviados. O destinatário verifica se a mensagem não foi adulterada durante o transporte. Tanto o Google Workspace quanto o Microsoft 365 têm guias integrados de configuração do DKIM. Leva cerca de 15 minutos.
Aplicando DMARC com rejeição
DMARC (Domain-based Message Authentication, Reporting & Conformance) diz aos servidores de recebimento o que fazer quando SPF ou DKIM falham. O passo crítico que a maioria das organizações pula: sair de p=none (só monitoramento) para p=reject (bloquear mensagens com falha) depois de validar que os fluxos legítimos funcionam corretamente.
Muitas empresas deixam o DMARC em p=none por tempo indeterminado — visibilidade sem proteção. É como instalar uma câmera de segurança e nunca trancar a porta.
Registro defensivo de domínios parecidos
Cadastre proativamente grafias comuns e domínios semelhantes ao da sua marca. Defina políticas DMARC de rejeição para esses domínios defensivos para que eles não possam ser usados em e-mails falsificados. Com custo de US$ 10 a US$ 15 por ano por domínio, essa é uma das medidas mais baratas e de maior impacto que existem — e muita pequena empresa simplesmente ignora isso.
Colocando tudo junto: uma defesa em camadas contra phishing
Nenhuma ferramenta sozinha acaba com o phishing. O que funciona é a combinação. Checklist prático:
Saída (investigando ameaças):
- Varredura de URLs baseada em proxy para links suspeitos
- Monitoramento de domínios via logs de CT e extração em lote
- Testes geodistribuídos para campanhas direcionadas por região
Entrada (protegendo seus ativos):
- Reverse proxy / WAF para seus domínios web
- DMARC/SPF/DKIM para autenticação de e-mail
- Registro defensivo de domínios parecidos
Autenticação (protegendo contas):
- FIDO2 / passkeys para MFA resistente a phishing
- Políticas de Conditional Access (dispositivos conformes, checagens baseadas em risco)
- Procedimentos de monitoramento e revogação de tokens de sessão
Pessoas (a última rede de proteção):
- Treinamento focado especificamente em iscas AiTM, QR codes e cenários de BEC
- Cultura de denúncia clara — facilite e não puna quem reportar mensagens suspeitas
- Testes regulares dos fluxos de finanças e RH contra cenários realistas de phishing
Essa abordagem segue o princípio de defesa em profundidade do NIST Cybersecurity Framework: várias camadas independentes, para que a falha de uma não signifique comprometimento total.
Para equipes que precisam investigar URLs suspeitas, coletar dados de ameaças ou monitorar domínios em escala, o AI web scraper do Thunderbit pode acelerar o fluxo de trabalho — extensão Chrome para usuários não técnicos, API/CLI para equipes técnicas. Ele não é um produto de segurança por si só, mas merece um lugar na caixa de ferramentas do analista. Você pode saber mais sobre web scraping sem código ou explorar abordagens de AI web scraping no nosso blog.
Use AI web scraping para monitoramento de ameaças Get Started Free
Perguntas frequentes
Como os atacantes usam proxies em ataques de phishing?
Atacantes usam proxies residenciais e rotativos para esconder seu IP real, alternar entre endereços confiáveis, contornar a detecção antifraude baseada em IP e implantar reverse proxies AiTM para interceptar sessões autenticadas — mesmo depois de a vítima concluir o MFA. A desarticulação da IPIDEA em janeiro de 2026 mostrou mais de 550 grupos de ameaça usando uma única rede de proxy residencial.
Como um reverse proxy ajuda a evitar phishing e comprometimento de site?
Um reverse proxy fica na frente dos servidores web e inspeciona o tráfego de entrada antes que ele chegue à sua infraestrutura. Ele bloqueia IPs maliciosos conhecidos, filtra tráfego de bot, limita a taxa de tentativas de login e detecta credential stuffing ou atividade relacionada a phishing. No entanto, ele não protege funcionários que clicam em links de phishing externos.
Proxies conseguem impedir phishing completamente?
Não. Proxies são uma camada essencial, mas o phishing por e-mail exige DMARC/SPF/DKIM, e o sequestro de sessão via ataques AiTM exige MFA resistente a phishing, como FIDO2/passkeys. Uma defesa em camadas que combine proxies, autenticação de e-mail, credenciais resistentes a phishing e treinamento de funcionários é fundamental.
O que é phishing AiTM e por que o MFA não o impede?
O phishing AiTM (Adversary-in-the-Middle) usa um reverse proxy entre a vítima e a página real de login, capturando o token de sessão depois que o MFA é concluído. O MFA tradicional não impede isso porque o atacante rouba a sessão autenticada, não a senha. FIDO2/passkeys resistem a esse ataque porque o desafio criptográfico fica vinculado ao domínio legítimo e não pode ser reproduzido pelo proxy do atacante.
Qual tipo de proxy é melhor para detecção de phishing?
Proxies de datacenter são os melhores para varredura em massa de URLs (rápidos e baratos). Proxies residenciais são os melhores para testes geolocalizados (mais realistas, porém mais caros — avalie bem a origem ética do fornecedor). Reverse proxies/WAFs são os melhores para defender seus próprios sites. A estratégia mais forte combina tipos diferentes, dependendo do que você quer detectar ou proteger.
Teste o Thunderbit para monitoramento de ameaças e AI scraping Get Started Free
Saiba mais
