Blog

Você aprendeu a desconfiar de sites falsos: endereço estranho, logotipo torto, cadeado ausente. Mas e quando o site é o verdadeiro? O endereço é o do seu banco, da sua loja preferida, do portal da prefeitura, e mesmo assim algo dentro dele trabalha contra você. É o que acontece no ataque XSS (Cross-Site Scripting, ou “script entre sites”): o criminoso consegue esconder um pedaço de código malicioso dentro de uma página legítima, e esse código é executado no navegador de quem a visita.

Esta é a última postagem da nossa série sobre ataques hackers. Aqui você vai entender, em linguagem simples, como o XSS funciona, por que ele é a falha mais comum em plugins de WordPress, que crimes são praticados durante e depois do ataque, como a polícia investiga e o que visitantes e donos de sites podem fazer para se proteger.

1. Resumo do ataque

Sites modernos exibem conteúdo enviado pelos próprios usuários: comentários, nomes de perfil, avaliações, resultados de busca. Quando o site não trata esse conteúdo com cuidado, o criminoso consegue enviar, no lugar de um texto, um pequeno programa. O site o exibe como se fosse conteúdo normal, e o navegador de cada visitante o executa, achando que veio do site confiável. A partir daí, o programa pode roubar a sessão aberta, capturar o que é digitado, mostrar telas falsas ou levar o visitante a páginas de golpe.

2. Conceito e objetivos

Pense num mural de recados num prédio. Qualquer morador pode colar um bilhete. Se ninguém verifica o que é colado, alguém pode afixar um papel com o timbre do condomínio dizendo “nova senha do portão: informe a sua na portaria”. Os moradores confiam porque o recado está no mural oficial. No XSS, o mural é o site, o bilhete falso é o código malicioso, e o morador que obedece é o navegador do visitante.

O XSS faz parte da grande família das falhas de injeção, a mesma da injeção SQL. A diferença está no alvo: na injeção SQL, o criminoso engana o banco de dados do site; no XSS, ele usa o site para atacar quem o visita. No OWASP Top 10 de 2025, o XSS integra a categoria “Injeção”, em 5º lugar entre os riscos mais críticos de aplicações web.

As três formas (sem tecnicismo)

• Refletido (o link armadilha): o código vem escondido num link longo que aponta para o site verdadeiro. Quem clica vê o site real, mas com a armadilha embutida. É enviado por e-mail, WhatsApp ou redes sociais.
• Armazenado (a mina terrestre): o código fica gravado no próprio site, num comentário, avaliação ou perfil, e atinge todos que visitarem aquela página. É o mais perigoso.
• Baseado no navegador (DOM): a falha está nos scripts da própria página, que montam o conteúdo no navegador do visitante de forma insegura.

Os objetivos do criminoso:

• Sequestrar sessões: “pegar carona” na conta já aberta da vítima, sem precisar da senha.
• Capturar dados digitados: senhas, documentos e dados de cartão.
• Exibir telas falsas dentro do site verdadeiro, pedindo login, códigos ou pagamentos.
• Redirecionar visitantes para golpes, apostas ilegais ou downloads de programas maliciosos.
• Agir em nome da vítima: publicar, comprar, trocar dados cadastrais ou espalhar o próprio ataque.
• Tomar o controle do site, quando a vítima é o próprio administrador.

3. Os números: a falha mais comum dos plugins

• Segundo a base de dados da Patchstack, empresa especializada em segurança de WordPress, o XSS respondeu por cerca de 41% das vulnerabilidades divulgadas no ecossistema WordPress em 2025, a categoria mais frequente do ano.
• O relatório da Patchstack sobre o estado da segurança do WordPress em 2026 contabilizou 11.334 novas vulnerabilidades em 2025, alta de 42% sobre o ano anterior, e 91% delas estavam em plugins, não no núcleo do WordPress.
• Para o leitor comum, isso significa que blogs, lojas, sites de prefeituras, escolas e escritórios, a maioria feita com plataformas e plugins de terceiros, estão expostos sempre que um plugin fica desatualizado.

4. As vulnerabilidades exploradas

• Conteúdo do usuário exibido sem tratamento: o site mostra o que foi enviado sem “neutralizar” os trechos que o navegador poderia interpretar como código.
• Plugins e temas desatualizados ou abandonados pelos desenvolvedores.
• Campos de busca, formulários, comentários e perfis que aceitam qualquer coisa.
• Ausência de barreiras no navegador, como a política de segurança de conteúdo, que diz ao navegador de onde o site pode carregar scripts.
• Sessões mal protegidas, que podem ser lidas e copiadas por scripts da página.
• Scripts de terceiros (anúncios, estatísticas, chat, pagamentos) carregados sem controle de integridade, que, se alterados, contaminam todas as páginas.
• Administradores navegando logados e clicando em links recebidos, o que pode entregar o controle do site.

5. Meios e modos de ataque: as fases

A descrição é conceitual, sem qualquer detalhe que permita reproduzir o ataque:

1. Busca da brecha: ferramentas automáticas e listas de plugins vulneráveis apontam sites que exibem conteúdo do usuário sem tratamento.
2. Plantio: o código é inserido num comentário, perfil ou formulário (armazenado) ou escondido num link (refletido).
3. Isca: no caso do link, o criminoso o envia com uma mensagem convincente: “confira seu contracheque”, “veja sua nota”, “seu pedido teve problema”.
4. Execução: o navegador do visitante executa o código como se fosse parte legítima do site.
5. Coleta e ação: sessão, senhas ou dados de cartão são enviados ao criminoso, ou a vítima é redirecionada ou levada a agir sem saber.
6. Monetização: invasão de contas, compras, fraudes, venda de dados, venda de “tráfego” para sites de golpe ou tomada do próprio site.

6. Gatilhos psicológicos explorados

• Confiança no endereço: “é o site verdadeiro, então é seguro”. É justamente essa confiança que o XSS sequestra.
• Rotina: consultar contracheque, boleto, nota, pedido, comentário.
• Urgência e medo: “sua sessão expirou, faça login de novo”, “seu pagamento falhou”.
• Curiosidade: o comentário chamativo, o link “com a sua foto”, o post viral.

7. Crimes praticados e capitulação penal

Observações práticas, úteis também para quem estuda para concursos:

• Duas vítimas, duas invasões. No XSS armazenado, há adulteração do sistema do site (art. 154-A, caput) e, em seguida, a execução do código no aparelho de cada visitante, com obtenção de seus dados ou de sua sessão. A doutrina discute se essa execução no navegador configura invasão do dispositivo do visitante; a tendência é reconhecê-la, porque o código atua no aparelho da vítima sem a sua autorização. Na prática, o mais seguro é enquadrar a obtenção dos dados (§ 3º) e os crimes patrimoniais que se seguem.
• Sessão sequestrada não é “acesso autorizado”. Usar a conta de outra pessoa pela sessão roubada, ainda que sem digitar senha, é acesso sem autorização do titular.
• Furto ou estelionato? Se o criminoso usa a sessão ou o cartão capturado para tirar o dinheiro sem a vítima perceber, há furto mediante fraude eletrônica; se a tela falsa leva a vítima a pagar, há fraude eletrônica.
• Pesquisa responsável é lícita. Encontrar uma falha XSS e comunicá-la ao dono do site, sem explorá-la contra terceiros, é a conduta esperada de um pesquisador. Explorar a falha contra visitantes, não.
• Ação penal. A invasão depende de representação, salvo contra a administração pública ou concessionárias (art. 154-B). Furto mediante fraude e extorsão são de ação pública incondicionada.

E a responsabilidade do dono do site? Pela LGPD (Lei 13.709/2018), quem coleta dados de visitantes, clientes ou usuários deve adotar medidas de segurança aptas a protegê-los (art. 46) e comunicar incidentes relevantes à ANPD e aos titulares (art. 48). Deixar plugins vulneráveis sem atualização por meses pode pesar contra o responsável, como mostrou a multa aplicada à British Airways pela autoridade britânica de proteção de dados.

8. O efeito cascata: os crimes que vêm depois

1. Tomada de contas por sessões roubadas, inclusive de e-mail e redes sociais, abrindo caminho para golpes contra os contatos da vítima.
2. Fraudes com cartões capturados em páginas de pagamento contaminadas.
3. Redirecionamento em massa de visitantes de sites legítimos para golpes, falsas promoções e sites de apostas ilegais.
4. Distribuição de programas maliciosos a quem visita o site (veja o guia de malware).
5. Tomada do próprio site quando o administrador é atingido, com uso posterior para hospedar páginas falsas, como as explicadas no post sobre sites falsos.
6. Venda de sessões e senhas, que alimentam o credential stuffing.
7. Desinformação plantada em sites oficiais, com aparência de comunicado legítimo.

Os crimes de amanhã. Três tendências merecem atenção: (1) assistentes e chats de inteligência artificial que exibem conteúdo gerado a partir de textos externos, abrindo novas portas para a injeção de código e de instruções; (2) o crescimento dos ataques à cadeia de suprimentos, em que um único script de terceiros contaminado atinge milhares de sites ao mesmo tempo; e (3) a combinação de XSS com sequestro de sessão para contornar a verificação em duas etapas, já que a sessão roubada dispensa senha e código.

9. Casos reais

O verme Samy: um milhão de perfis em 20 horas (2005–2007)

Em 4 de outubro de 2005, um jovem de 19 anos, Samy Kamkar, publicou no próprio perfil do MySpace, então a maior rede social do mundo, um código XSS armazenado que se copiava para o perfil de cada visitante, adicionava o autor como amigo e exibia uma frase o chamando de herói. Em menos de 20 horas, mais de um milhão de perfis haviam sido atingidos, e o MySpace precisou sair do ar para corrigir a falha. O código não roubou dados, mas o autor foi processado: em 2007, declarou-se culpado de crime informático e recebeu três anos de liberdade condicional, serviço comunitário e restrição ao uso de computador. É o exemplo clássico de que mesmo um ataque “de brincadeira” pode ter escala gigantesca e consequências penais.

Fortnite: contas tomadas com um clique, descoberto a tempo (2019)

Em janeiro de 2019, pesquisadores da Check Point revelaram que uma falha XSS em subdomínios antigos da Epic Games, combinada com um redirecionamento mal controlado no login, permitiria tomar a conta de qualquer jogador de Fortnite que clicasse num link preparado, sem precisar da senha. Com a conta, um criminoso poderia ver dados pessoais e comprar moeda do jogo com o cartão salvo da vítima. Os pesquisadores comunicaram a falha à empresa, que a corrigiu antes da divulgação. O caso mostra os dois lados: a gravidade de um XSS num sistema de login e o valor da divulgação responsável.

British Airways: o script na página de pagamento (2018–2020)

Entre junho e setembro de 2018, criminosos ligados ao grupo conhecido como Magecart alteraram um script carregado pelo site e pelo aplicativo da British Airways e passaram a desviar, em tempo real, o que os clientes digitavam na página de pagamento. Não foi um XSS em sentido estrito, porque os invasores entraram por credenciais de um prestador e modificaram o script diretamente, mas o resultado é o mesmo que o XSS busca: código malicioso rodando no navegador do cliente, dentro do site verdadeiro. Segundo a autoridade britânica de proteção de dados (ICO), dados de cerca de 429 mil pessoas foram afetados, incluindo nome, endereço, número do cartão e código de segurança de 244 mil clientes. Em outubro de 2020, a companhia foi multada em £20 milhões.

10. Casos ilustrativos (fictícios)

Os casos abaixo foram criados para fins didáticos. Qualquer semelhança com pessoas, instituições ou fatos reais é coincidência.

Caso 1 – O blog de receitas. Um blog culinário popular usa um plugin de avaliações que não recebe atualização há um ano. Um criminoso publica uma “avaliação” com código escondido. Durante uma semana, cada visitante da receita mais acessada é redirecionado para um site de apostas ilegais que oferece “bônus de boas-vindas” mediante depósito via Pix. Enquadramento possível: art. 154-A, caput (adulteração do site); fraude eletrônica (art. 171, § 2º-A) contra quem depositou; organização criminosa e lavagem, se comprovada a estrutura.

Caso 2 – O contracheque da prefeitura. Servidores recebem pelo WhatsApp um link que aponta para o endereço verdadeiro do portal do servidor: “confira o reajuste no seu contracheque”. O link traz um XSS refletido que copia a sessão de quem já estava logado. Com as sessões, o criminoso troca a conta bancária de recebimento de dezenas de servidores. Enquadramento possível: art. 154-A, § 3º (ação penal pública incondicionada, por atingir a administração pública); furto mediante fraude eletrônica (art. 155, § 4º-B) dos salários desviados; organização criminosa.

Caso 3 – A loja de calçados. Um plugin vulnerável permite que um grupo grave, na página de pagamento de uma loja virtual, um script que copia os dados do cartão no momento da compra. Por três meses, ninguém percebe. Os cartões são usados em compras no exterior e vendidos em pacotes. Enquadramento possível: art. 154-A, §§ 3º e 4º; furto mediante fraude eletrônica em cada uso dos cartões; para a loja, dever de comunicar o incidente à ANPD e aos titulares.

Caso 4 – O cenário de amanhã. Um assistente de inteligência artificial embutido no site de um banco resume avaliações de clientes. Um criminoso publica uma avaliação com instruções e código escondidos; o assistente repassa o conteúdo ao cliente sem neutralizá-lo, e o navegador executa o script, que mostra uma janela falsa pedindo a senha do cartão. É o XSS clássico entrando por uma porta nova, e a defesa continua a mesma: tratar todo conteúdo externo como não confiável.

11. Sinais de alerta (checklist)

Para quem visita sites

• Link muito longo, com sequências estranhas de símbolos, mesmo apontando para um endereço conhecido.
• Janela pedindo login de novo, logo depois de você já ter entrado, ou pedindo dados que o site não costuma pedir.
• Redirecionamento repentino para outro endereço, sobretudo de apostas, sorteios ou downloads.
• Comentários ou avaliações com texto sem sentido ou com elementos estranhos.
• Publicações, compras ou alterações na sua conta que você não fez.

Para quem tem ou administra um site

• Visitantes reclamando de redirecionamentos ou janelas estranhas.
• Comentários, perfis ou páginas com conteúdo que ninguém publicou.
• Usuários administradores novos ou alterações de configuração sem explicação.
• Scripts desconhecidos carregando nas páginas, sobretudo na de pagamento.
• Alertas de buscadores ou navegadores marcando o site como perigoso.
• Avisos de plugins com vulnerabilidade divulgada.

12. Prevenção

Para você, visitante

• Prefira digitar o endereço ou usar o aplicativo oficial em vez de clicar em links recebidos, mesmo que apontem para o site verdadeiro.
• Mantenha o navegador atualizado e use poucas extensões, todas de fontes confiáveis.
• Saia das contas (faça logout) em sites sensíveis quando terminar, especialmente em computadores compartilhados.
• Ative a verificação em duas etapas e, onde houver, as chaves de acesso, além de alertas de login e de compra.
• Use cartão virtual em compras online, sobretudo em lojas pequenas.
• Desconfie de janelas que pedem login de novo: feche a página e entre novamente digitando o endereço.

Para donos de sites, empresas e órgãos públicos

• Atualize plataforma, temas e plugins com frequência e remova os que não usa ou que foram abandonados pelos desenvolvedores. Esta é, de longe, a medida mais importante para sites WordPress.
• Exija dos desenvolvedores que todo conteúdo vindo do usuário seja validado na entrada e neutralizado (codificado) na saída, como recomenda a OWASP.
• Configure a política de segurança de conteúdo (Content Security Policy), que limita de onde o site pode carregar e executar scripts.
• Proteja os cookies de sessão com as configurações que impedem sua leitura por scripts e seu envio a outros sites.
• Controle os scripts de terceiros, especialmente na página de pagamento, e monitore alterações.
• Restrinja quem pode publicar conteúdo com formatação e modere comentários.
• Proteja as contas administrativas com verificação em duas etapas e evite navegar por links recebidos enquanto estiver logado como administrador.
• Use firewall de aplicação web e serviço de monitoramento de vulnerabilidades de plugins.
• Mantenha um canal para pesquisadores comunicarem falhas e um plano de resposta a incidentes.

13. Já fui vítima: o que fazer

Se você foi atingido como visitante

1. Encerre todas as sessões da conta afetada (a maioria dos serviços tem a opção “sair de todos os dispositivos”) e troque a senha.
2. Ative a verificação em duas etapas e revise e-mail, telefone e dados bancários cadastrados.
3. Se houve uso do cartão ou Pix, ligue imediatamente para o banco pelo número oficial, bloqueie o cartão e peça o MED (Mecanismo Especial de Devolução).
4. Preserve as provas: o link recebido (sem clicar de novo), prints com endereço, data e hora, e-mails de alerta e extratos.
5. Avise o site pelo canal oficial e registre boletim de ocorrência, na delegacia ou na delegacia virtual do seu estado.
6. Consulte o Registrato e, se a empresa não resolver, reclame no consumidor.gov.br.

Se o seu site foi usado no ataque

1. Coloque o site em manutenção, sem apagar nada, e preserve registros e cópias para a perícia.
2. Identifique e remova o código malicioso, atualize ou remova o plugin vulnerável e procure contas e arquivos deixados pelo invasor.
3. Troque todas as senhas de administração, hospedagem e banco de dados e encerre as sessões ativas.
4. Registre boletim de ocorrência e notifique o CERT.br.
5. Avalie a comunicação à ANPD e aos titulares (art. 48 da LGPD), no prazo de três dias úteis, e oriente seus visitantes e clientes.
6. Peça a revisão do site aos buscadores, se ele tiver sido marcado como perigoso, depois de limpo.

14. Públicos mais vulneráveis e cuidados específicos

• Donos de blogs e pequenas lojas virtuais que instalam muitos plugins e não os atualizam.
• Servidores públicos e funcionários que recebem links para portais internos (contracheque, protocolos, sistemas acadêmicos).
• Jogadores e usuários de redes sociais, cujas contas têm valor de revenda.
• Clientes de lojas online que salvam o cartão no site.
• Idosos, que confiam no endereço conhecido e tendem a atender a janelas que pedem senha.

15. Repressão: como a polícia investiga

• Registros do site e da hospedagem: mostram quando e de onde o código foi inserido e para qual endereço os dados eram enviados.
• O destino dos dados: o servidor que recebe sessões e cartões é uma pista central; sua identificação e apreensão costumam revelar outras vítimas e os autores.
• Requisição de registros a provedores de aplicação e de conexão (Marco Civil da Internet, Lei 12.965/2014, arts. 13, 15 e 22).
• Rastreamento financeiro das compras, contas de destino e criptoativos.
• Perícia e cadeia de custódia (arts. 158-A a 158-F do CPP) no site e nos equipamentos apreendidos.
• Cooperação internacional, com base na Convenção de Budapeste (Decreto 11.491/2023), quando servidores e autores estão no exterior.

16. Guia de leitura: a série completa sobre ataques hackers

Com esta postagem, encerramos a série. Para uma visão completa, siga a trilha:

1. Ransomware: o sequestro de dados que paralisa empresas, hospitais e tribunais
2. Man-in-the-Middle: o criminoso invisível no Wi-Fi público
3. Ataque DDoS: quando milhares de aparelhos sequestrados derrubam um site
4. Malware: o guia completo dos programas maliciosos
5. Ataque Zero-Day: a falha que nem o fabricante conhece
6. Injeção SQL: quando um campo de formulário abre o cofre de dados de um site
7. Ataque XSS: quando um site verdadeiro vira armadilha (você está aqui)

Fontes

• WordPress vulnerability statistics 2025 – Patchstack.
• State of WordPress Security in 2026 – Patchstack, 2026.
• OWASP Top Ten 2025 – The Complete Guide – Reflectiz, janeiro de 2026.
• MySpace superworm creator sentenced to probation, community service – SC Magazine, janeiro de 2007.
• As Web 2.0 evolves, security becomes an issue – Computerworld.
• Hacking Fortnite Accounts – Check Point Research, 16/01/2019.
• Multiple Fortnite flaws allowed experts to takeover players’ accounts – Security Affairs, 16/01/2019.
• Information Commissioner fines British Airways plc £20 million in relation to its 2018 data breach – Bird & Bird, outubro de 2020.
• British Airways fined £20m for Magecart hack – The Register, 16/10/2020.
• Cartilha de Segurança para Internet – CERT.br/NIC.br.
• Código Penal e Lei 14.155/2021 – Planalto.
• LGPD (Lei 13.709/2018) e Marco Civil da Internet (Lei 12.965/2014) – Planalto.

Leia também

• Injeção SQL: quando um campo de formulário abre o cofre de dados de um site
• Site falso: os sinais de alerta, os truques no endereço e como conferir antes de pagar
• Credential Stuffing: a senha que vazou em um site abre as suas outras contas
• Malware: o guia completo dos programas maliciosos
• PHP2Shell: a falha que fez governos e empresas tirarem sites do ar
• Verificação em duas etapas por SMS: por que ela não basta e como blindar suas contas

Chamada para Mentoria

Inserir código num site é invasão de dispositivo? E executar esse código no navegador do visitante? Sessão sequestrada configura acesso sem autorização? Furto mediante fraude eletrônica ou fraude eletrônica? Com esta postagem, você tem uma série completa sobre ataques hackers com capitulação penal, tema cada vez mais presente nas provas objetivas, discursivas e orais para Delegado de Polícia.

Se você quer se preparar com quem vive a investigação desses crimes na prática, conheça a Mentoria para Delegado de Polícia e estude com método, estratégia e acompanhamento individual.

Sobre o Autor

Ronaldo Entringe é Delegado de Polícia Civil do Estado do Amapá e Delegado-Chefe da Divisão Especial de Combate à Corrupção (DECOR/PCAP), com 15 anos de experiência policial. Professor de Medicina Legal e escritor, é mestrando em Ciberdelincuencia pela Universitat Oberta de Catalunya (UOC) e pós-graduando em Crimes Cibernéticos, Cibersegurança e Inteligência pelo Instituto Rogério Greco. Atua como mentor de carreiras policiais e de futuros Delegados de Polícia.