Resumo Executivo
O segundo trimestre de 2025 continuou a demonstrar a escala e a sofisticação dos ataques no lado do cliente, afetando sites em uma ampla variedade de setores, com foco especial em plataformas baseadas em WordPress. A pesquisa da cside revelou mais de 72.000 sites comprometidos, mostrando como os atacantes estão se valendo de mecanismos de entrega baseados em JavaScript, vulnerabilidades em cadeias de fornecimento de terceiros e táticas enganosas de engenharia social no navegador, como atualizações falsas de browser.
Para CISOs, líderes de risco digital e demais partes interessadas em segurança, este relatório apresenta as campanhas mais críticas detectadas neste trimestre, trazendo tanto detalhes técnicos quanto perspectivas estratégicas para embasar decisões proativas.
Insight Principal para Executivos: Para os executivos de hoje, as ameaças cibernéticas modernas exploram cada vez mais interações baseadas em navegador e a confiança dos usuários em plataformas CMS comuns. Defender-se contra elas exige visibilidade sobre comportamentos em tempo de execução, governança rigorosa de scripts e inteligência de ameaças coordenada. Além disso, ataques no lado do cliente direcionados a plataformas de criptomoedas e ambientes de pagamento representam riscos desproporcionais, mesmo correspondendo a um volume menor do total de incidentes.
Principais Campanhas do Lado do Cliente
1. Golpe de Injeção de PWA Chinesa – Direcionamento Mobile com Temas Adultos
- Identificada pela primeira vez em junho de 2025, essa campanha já atingiu mais de 10.000 sites e ainda está ativa.
- Causa Raiz: Código injetado no service worker e na lógica de PWA de temas e templates populares.
- Infraestrutura de Ataque: Hospedada em subdomínios rotativos vinculados a iscas de APK com temática adulta.
- Infraestrutura de Ataque: Domínios como qaztool[.]com e seus subdomínios foram responsáveis por injetar iframes que tomavam conta de todo o viewport.
- O que torna esse ataque único? Ele só é acionado se você estiver usando um dispositivo móvel.
- Incentiva a instalação de PWAs maliciosas que se passam por aplicativos adultos
- Usa fingerprinting e cloaking para escapar de sandboxes
2. Google OAuth Armado + Abuso de WebSocket
- Detectado: Maio de 2025
- Sites Afetados: 22
Causa Raiz: URLs de callback OAuth legítimas sequestradas para acionar funções JavaScript maliciosas.
Infraestrutura de Ataque: Abuso de tokens de resposta do Google OAuth com payloads dinâmicos eval(atob(...)) e endpoints WebSocket ofuscados.
Características Notáveis:
- O script só é ativado após o usuário se autenticar com o Google
- Funciona como um beacon ciente de sessão ou ladrão de tokens
- O método de exfiltração via WebSocket escapa do monitoramento tradicional de tráfego
Por que isso importa: Os atacantes estão sequestrando sistemas de login confiáveis como o Google OAuth — algo em que os usuários confiam por natureza.
3. Clone do CoinMarketCap – Drenador de Carteira Falso
- Detectado: Maio de 2025
- Sites Afetados: Clones direcionados de alto valor e interceptação de tráfego via spoofing de SEO
Causa Raiz: Clones falsos do CoinMarketCap injetados em redes de anúncios e domínios com typosquatting
Infraestrutura de Ataque: Domínios falsificados imitando a interface do CoinMarketCap, com ladrões de credenciais e drenadores de carteira embutidos
Características Notáveis:
- Replicação pixel a pixel do frontend do CoinMarketCap
- Coleta de credenciais via modais de login falsos
- Scripts de drenagem de carteira acionados após a autenticação
- Em algumas versões, a interface do ChatGPT foi usada como isca secundária
Risco Estratégico: A personificação de plataformas cripto altamente confiáveis leva a perdas reais de ativos e compromete a confiança na Web3.
4. Abuso do ClickFix – Injeção de Código Implacável em Múltiplas Plataformas
- Detectado: Maio de 2025
Causa Raiz: Uso malicioso do plugin ClickFix para injetar JavaScript arbitrário em múltiplas plataformas de CMS.
Infraestrutura de Ataque: Os atacantes aproveitaram a compatibilidade multiplataforma do ClickFix para distribuir payloads ofuscados no WordPress, Joomla e configurações de CMS personalizadas.
Características Notáveis:
- Injeção dinâmica de scripts com direcionamento contextual
- Payloads incluíam redirecionadores, beacons de rastreamento e skimmers
- Difícil de rastrear devido ao uso de funções nativas do plugin e caminhos de script aleatorizados
Risco Estratégico: O acesso persistente entre plataformas permite que os atacantes rodem payloads após o comprometimento sem necessidade de nova exploração.
5. scriptapi[.]dev – Envenenamento de SEO para Serviços Falsos
- Detectado: Abril de 2025
- Sites Afetados: ~500
Causa Raiz: Injetado via fonte de script falsa ou plugin de analytics sequestrado.
Infraestrutura de Ataque: Hosts de scripts falsificados injetaram links ocultos e spam de comentários.
Características Notáveis:
- Keyword stuffing camuflado direcionado a crawlers de mecanismos de busca
- Injeção de centenas de links externos de forma invisível
- Frequentemente combinado com redirecionamento de domínios expirados
Risco Estratégico: Penalidades graves de SEO; usado para manipular rankings de busca em favor de sites fraudulentos.
Recomendações Estratégicas para Executivos e CISOs
À medida que as ameaças do lado do cliente se tornam mais sofisticadas e evasivas, os defensores corporativos precisam adotar uma abordagem em camadas e orientada para o futuro, a fim de proteger a confiança dos usuários, a continuidade dos negócios e a conformidade regulatória. Com base nas tendências observadas no Q2 de 2025, o cside recomenda as seguintes ações estratégicas:
1. Governança de Risco do Lado do Cliente
Torne isso uma prioridade: Revise e monitore todo o código JavaScript de terceiros antes e após a implantação. Para todos os ativos JavaScript de terceiros. Cada script, plugin ou dependência introduzida na experiência do usuário deve ser rastreado, verificado e monitorado em ambientes de produção.
2. Capacidades de Detecção em Tempo de Execução
Invista em monitoramento baseado em comportamento de ambientes de navegador para detectar ações maliciosas como injeção de iframe, skimming de credenciais, loops de redirecionamento ou manipulação não autorizada do DOM — ameaças frequentemente invisíveis para ferramentas de varredura estática.
3. CMS Web como Alvo de Alto Valor
Plataformas como o WordPress continuam sendo alvos preferenciais dos atacantes devido à adoção massiva e à higiene irregular de patches. Trate os ambientes de CMS com rigor de nível empresarial, incluindo aplicação automática de patches, pipelines de verificação de plugins e verificações regulares de integridade.
4. Zero Trust para Entrega de JavaScript
Assuma que nenhum script é seguro — aplique regras de Zero Trust a todo JavaScript, mesmo ao código de fontes confiáveis. Presuma comprometimento por padrão, aplique CSP (Content Security Policy) e registre cada execução de script e requisição de rede para detecção de anomalias e fins de auditoria.
5. Playbooks de Resposta e Simulações de Ameaças
Desenvolva e pratique playbooks de resposta a incidentes focados em:
- Comprometimentos de JavaScript na cadeia de suprimentos
- Ataques de injeção do lado do cliente
- Roubo de credenciais via modais de login falsos
Use cenários do mundo real como Magecart, abuso de PWA e sequestro de plugins como base para exercícios de tabletop.
Visão Geral das Principais Métricas
Número de Sites Afetados por Tipo de Ataque
Tendências Estratégicas Observadas no Q2 de 2025
Durante o Q2 de 2025, vários padrões em evolução definiram a mudança no cenário de ameaças do lado do cliente:
1. Ataques do Lado do Cliente com Foco em Mobile
As campanhas maliciosas priorizam cada vez mais o direcionamento a dispositivos móveis, especialmente Android. De redirecionamentos baseados em PWA a iscas de APK dropper, os atacantes estão otimizando payloads para navegadores móveis, onde a detecção e o sandboxing ainda são limitados.
2. Armamento de Funcionalidades Web Legítimas
As campanhas do Q2 abusaram de fluxos OAuth, service workers e APIs nativas do navegador para disfarçar atividades maliciosas como comportamento normal do usuário. Exemplos incluem sequestro de sessão por meio de callbacks do Google OAuth e redirecionamentos persistentes injetados via service workers de PWA.
3. Erosão da Confiança na Interface do Navegador
Observamos um aumento em sequestros de tela cheia, modais falsos de login e clones pixel a pixel de plataformas confiáveis como o CoinMarketCap. Esses ataques exploram a confiança do usuário na interface visual do navegador, contornando os indicadores tradicionais de segurança baseados em URL.
4. A Exploração do WordPress Continua Generalizada
O WordPress continuou sendo o principal ponto de entrada para comprometimentos no lado do cliente. Plugins sem correções e temas inseguros permitiram injeções persistentes por meio de táticas como backdoors jquery.bond e abuso do plugin ClickFix.
5. Injeção de Código entre Plataformas via ClickFix
O plugin ClickFix foi explorado para implantar malware no lado do cliente em WordPress, Joomla e plataformas CMS personalizadas. Suas capacidades flexíveis de injeção permitiram que os atacantes adaptassem os payloads conforme o ambiente — desde ladrões de credenciais até scripts de fraude publicitária. Isso marca uma mudança em direção à exploração agnóstica de plataforma, ampliando o alcance dos ataques no lado do cliente para além do WordPress.
Impacto em Conformidade e Regulamentação
Isso não é apenas técnico — violações no lado do cliente podem resultar em multas do GDPR, processos judiciais e perda de confiança dos clientes. As organizações devem tratar o ambiente do lado do navegador como parte de sua infraestrutura regulada.
1. Regulamento Geral de Proteção de Dados (GDPR)
Malware no lado do cliente, redirecionamentos ou abuso de scripts de terceiros podem se qualificar como uma violação das obrigações de proteção de dados previstas no Artigo 32 do GDPR.
Implicações:
- Multas de até €20 milhões ou 4% da receita anual global, o que for maior
- Divulgação obrigatória da violação às autoridades supervisoras e aos usuários afetados
- Danos à reputação devido às obrigações de divulgação pública
2. Risco PCI-DSS: Skimming em Páginas de Pagamento e Magecart
Ataques no lado do cliente como Magecart, Formjacking e skimmers de checkout violam diretamente os requisitos do PCI-DSS v4.0, especialmente os relacionados ao controle e integridade de scripts no lado do cliente.
Consequências:
- Multas regulatórias e possível perda de conformidade com o PCI
- Requisitos de notificação de violação conforme as diretrizes do PCI Council
- Danos à marca, perda de confiança do consumidor e exposição legal. Dada a ubiquidade dos fluxos de checkout baseados em JavaScript, proteger os ambientes do lado do navegador não é mais opcional para comerciantes em conformidade com o PCI.
3. Lei de Privacidade do Consumidor da Califórnia (CCPA)
Scripts maliciosos que exfiltram ou fazem uso indevido de informações pessoais podem desencadear ações de fiscalização sob a CCPA, incluindo:
- Direito de ação privada para consumidores da Califórnia
- Danos estatutários por violações de dados, mesmo sem envolvimento regulatório
- Maior escrutínio por parte dos reguladores estaduais caso seja demonstrada negligência
4. Reputação de Marca e Exposição Legal
Além de multas e penalidades formais, as ameaças no lado do cliente criam riscos de negócio que se acumulam:
- Processos judiciais de clientes e perda de confiança dos usuários
- Inclusão em listas de bloqueio por mecanismos de busca e plataformas de anúncios (ex.: Google Safe Browsing)
- Banimento de redes de afiliados ou perda de receita devido a fraudes ou sequestros baseados em scripts
Revisão das Previsões de Risco — T2 2025
No início do T2, a cside projetou diversos desenvolvimentos de alto risco com base nos padrões do T1. A seguir, uma revisão dessas previsões, destacando quais ameaças se concretizaram e quais permanecem emergentes ou em evolução.
Previsão de Risco para o T3 2025
Com base nas tendências de ataque observadas no T2, a cside prevê os seguintes desenvolvimentos para o T3:
Recomendações Estratégicas para Executivos e CISOs
As organizações precisam ir além das defesas tradicionais baseadas em perímetro e adotar o monitoramento de segurança do navegador em tempo real como componente central de sua estratégia de gestão de riscos. Com base nos insights do Q2 2025, a cside recomenda as seguintes medidas práticas:
1. Governança de Risco no Lado do Cliente
Estabeleça políticas formais de governança para todos os ativos do lado do cliente:
- Exija revisão pré-implantação e monitoramento pós-implantação para JavaScript de terceiros
- Mantenha um inventário aprovado de scripts com versionamento, validação de hash e verificações de integridade
2. Capacidades de Detecção em Tempo de Execução
Implante ferramentas de monitoramento baseadas em comportamento para capturar atividades suspeitas no ambiente do navegador em produção, como:
- Injeções de iframe e tomadas de controle de página inteira
- Manipulação não autorizada do DOM
- Conexões de rede de saída inesperadas Essas detecções devem disparar alertas antes que os usuários sejam afetados.
3. Zero Trust para Conteúdo de Terceiros
Adote os princípios de Zero Trust para conteúdo externo:
- Aplique cabeçalhos de Content Security Policy (CSP) para restringir o carregamento de ativos
- Imponha Subresource Integrity (SRI) para todos os scripts de terceiros
- Registre e audite todos os carregamentos dinâmicos de scripts e execuções de scripts inline
4. Postura de Segurança Aprimorada no WordPress
Fortaleça a superfície de ataque do seu CMS, especialmente no WordPress:
- Imponha a aplicação automatizada de patches nos componentes de núcleo, plugins e temas
- Permita apenas plugins e temas verificados e auditados em termos de segurança
- Monitore a criação não autorizada de contas de administrador e escalonamento de privilégios
5. Prepare e Teste Playbooks de Resposta a Incidentes
Desenvolva e ensaie playbooks focados em ameaças modernas do lado do cliente:
- Injeção de JavaScript (ex.: Magecart, wallet drainers)
- Violações na cadeia de suprimentos (ex.: comprometimento de plugin ou CDN)
- Envenenamento de SEO e danos à reputação de domínio Inclua fluxos de trabalho claramente definidos de comunicação e divulgação para órgãos reguladores (GDPR, CCPA, PCI-DSS) em caso de violação.
Considerações Finais
O cenário de ameaças em 2025 continua em transformação. Os atacantes não precisam mais invadir servidores; basta comprometer um script. O navegador é agora a linha de frente.
Para se manter à frente, as organizações precisam ir além dos modelos de defesa centrados no servidor e investir em detecção e resposta a ameaças do lado do cliente em tempo real. Mesmo ameaças de baixa frequência e alto impacto, como wallet drainers de cripto ou ataques de card skimming, podem resultar em perdas financeiras significativas e exposição regulatória.
Na cside, seguimos comprometidos em descobrir e publicar ameaças emergentes para capacitar os defensores, fortalecer a confiança digital e tornar a web mais segura para todos.
