CSRF Bank Transfer

O Cross-Site Request Forgery (CSRF) é uma vulnerabilidade de segurança web que engana usuários autenticados para que realizem ações não intencionais em uma aplicação web. Um tutorial de CSRF demonstra como atacantes criam páginas web maliciosas que enviam requisições a sites vulneráveis usando a sessão existente da vítima. Este ataque é particularmente perigoso em aplicações financeiras onde transferências não autorizadas, mudanças de senha ou modificações de conta podem ocorrer sem o conhecimento do usuário.

Como funcionam os ataques CSRF

O CSRF explora a confiança que uma aplicação web tem no navegador do usuário. Quando um usuário está logado em um site bancário, seu navegador inclui automaticamente os cookies de sessão com cada requisição para esse site. Um atacante pode criar uma página web maliciosa contendo um formulário oculto que envia uma requisição de transferência ao site bancário. Se a vítima visitar esta página maliciosa enquanto estiver logada em seu banco, o navegador envia a requisição forjada com cookies de sessão válidos, e o banco a processa como uma transação legítima.

Vetores de ataque CSRF

Atacantes entregam payloads CSRF através de vários métodos. Formulários HTML ocultos com envio automático em JavaScript são a técnica mais comum para ataques baseados em POST. Tags de imagem e outros elementos que disparam requisições GET podem explorar aplicações que realizam mudanças de estado via GET. Ataques mais sofisticados usam chamadas XMLHttpRequest ou fetch API, embora as restrições da política de mesma origem limitem algumas dessas abordagens. A engenharia social desempenha um papel fundamental - o atacante deve convencer a vítima a visitar a página maliciosa enquanto autenticada na aplicação alvo.

Defesas contra CSRF

A defesa CSRF mais eficaz é o padrão de token sincronizador, onde o servidor gera um token único e imprevisível para cada sessão ou requisição e exige que ele seja incluído em todas as requisições de mudança de estado. Como o atacante não consegue ler o token do site alvo (bloqueado pela política de mesma origem), ele não pode incluí-lo em sua requisição forjada. Defesas adicionais incluem atributos de cookie SameSite, verificação dos cabeçalhos Origin e Referer, e exigência de reautenticação para operações sensíveis como transferências financeiras.