Infostealers: como blindar seu Gmail e suas senhas

O que é um infostealer e por que ele é perigoso

Infostealer é um tipo de malware especializado em coleta de informações: logins, senhas, cookies do navegador, tokens OAuth, autofill, histórico, carteiras e dados de apps.
[Oficial – Google] Ao roubar cookies e tokens de sessão, um invasor pode abrir seu Gmail sem a senha, porque “herda” a sessão já autenticada — até que você encerre sessões e invalide tokens.
[Prática recomendada] Trate qualquer máquina possivelmente infectada como não confiável até concluir varredura e remediação.

Como atua (por dentro do roubo de credenciais)

• Navegador: coleta arquivos de perfil, cookies e autofill (endereços, cartões — se salvos).
• Tokens/OAuth: busca tokens de acesso armazenados por apps, que podem abrir e-mail/drive sem exigir senha.
• Clipboard: monitora a área de transferência (senhas copiadas, chaves).
• Exfiltração: envia pacotes (“logs”) a um servidor do atacante, muitas vezes criptografados.
  [Prática recomendada] Passkeys e 2FA fortes reduzem impacto, mas sessões ativas e cookies ainda precisam ser revogados.

Principais vias de infecção

• Malvertising (anúncios que imitam sites oficiais).
• Sites falsos de download (instaladores adulterados).
• Phishing com anexos (PDF/ZIP/ISO/IMG com loader).
• Extensões maliciosas de navegador.
• Software pirata/crack e “versões portáteis” desconhecidas.
• Droppers embutidos em “utilitários grátis” (otimizadores, conversores).
  [Oficial – CERT.br/CISA] Boletins destacam phishing e malvertising como vetores dominantes.

Sinais de alerta e como verificar sua conta Google

• Atividades estranhas: logins “de lugares incomuns”, idioma/horário alterados.
• Alertas de segurança da Conta Google.
• Gmail: filtros/encaminhamentos que você não criou, respostas automáticas suspeitas.
• Apps de terceiros com escopos amplos demais.
• Dispositivos ativos que você não reconhece.
• Security Checkup (verificação de segurança) para revisar tudo num só lugar.
  [Oficial – Google] Use a verificação de segurança da Conta Google para dispositivos, apps e alertas críticos.

Prevenção para pessoas físicas (camadas essenciais)

• Passkeys/2FA: prefira chaves de segurança (hardware) ou passkeys; evite apenas SMS. [Oficial – Google/NIST]
• Senhas únicas com gerenciador confiável.
• Atualização de sistema, navegador e extensões.
• Downloads só do site oficial (digite o endereço — não clique em anúncio).
• Perfis separados no navegador (trabalho/pessoal) e evitar sincronizar tudo.
• Extensões mínimas e com boa reputação.
• Backup de códigos 2FA guardado offline.

Endurecimento específico no Google/Gmail

• Revisar “Acesso de terceiros” e revogar apps desnecessários. [Oficial – Google]
• Desativar “senhas de app” antigas. [Oficial – Google]
• Ativar Verificação em 2 etapas/Passkeys e considerar chaves de segurança físicas. [Oficial – Google]
• Ver filtros e encaminhamentos no Gmail e remover regras que redirecionam mensagens.
• Monitorar “Atividade de dispositivos” e sair de todas as sessões suspeitas.
• Ativar alertas críticos e respostas de segurança.
  [Prática recomendada] Habilite alertas para novas conexões e revise recuperação de conta (e-mail/telefone).

Plano de resposta rápida (da descoberta às primeiras 24h)

1. Isolar o dispositivo suspeito (desconectar da rede).
2. Logout global na Conta Google (invalida cookies/sessões).
3. Revogar tokens e acessos de terceiros na Conta Google.
4. Trocar senhas (Google primeiro, depois as demais).
5. Ativar/forçar 2FA/Passkeys.
6. Varredura com antimalware confiável e remediação.
7. Checar filtros/encaminhamentos do Gmail e apagar regras maliciosas.
8. Revisar dispositivos conectados e remover os desconhecidos.
9. Notificar contatos se houve envio de spam/links.
10. Monitorar atividades por alguns dias (logins, tentativas, alertas).
    [Oficial – Google/CERT.br] Procedimentos de recuperação priorizam revogação de sessões, 2FA e verificação de segurança.

Boas práticas para empresas

• EDR/antimalware gerenciado e bloqueio de execução (Application Control).
• Privilégios mínimos e MDM para laptops/celulares.
• Isolamento de navegador ou perfis corporativos.
• SSO com Security Keys obrigatórias para contas de alto privilégio.
• Revisão de escopos OAuth (limitar acesso de apps de terceiros).
• Logging/telemetria: detectar exfiltração de dados e anomalias de login.
• Playbooks de resposta com tabela de comunicação e lições aprendidas.
  [Oficial – NIST/CISA] Controles de identidade forte e segmentação reduzem impacto lateral.

Erros comuns que abrem a porta

• Reutilizar senha entre contas.
• Baixar “portáteis” de origem desconhecida.
• Ignorar atualização de navegador/OS.
• Instalar extensões sem reputação.
• Manter auto-login em PC compartilhado.
  [Prática recomendada] Políticas simples (atualizar, checar fonte, 2FA em tudo) reduzem muito o risco.

O que fazer se dados foram expostos

• Mapear contas onde a mesma senha foi usada e trocar imediatamente.
• Ativar 2FA em e-commerce, bancos e marketplaces.
• Alertas de transação e limites de pagamento.
• Avaliar monitoramento de crédito (quando aplicável).
• Contestar movimentos suspeitos rapidamente e guardar evidências.

Limitações e verdades incômodas

• Nenhuma proteção é 100%.
• Cookies e tokens podem ser roubados mesmo com 2FA.
• Persistência: alguns malwares voltam após reiniciar.
• Em casos graves, formatação limpa e restauração a partir de backup confiável podem ser necessários.

Checklist de ceticismo: golpe ou promoção?

• O domínio é oficial (sem homógrafo)?
• O preço é “bom demais para ser verdade”?
• O anúncio te apressa a clicar/instalar?
• Há erros grosseiros de idioma/gramática?
• O cadeado não garante legitimidade — verifique o domínio.
• Pesquise nome do app + “fraude” antes de instalar.
• Prefira resultados orgânicos ao topo de anúncios em buscas.
• Desconfie de “cupons exclusivos” circulando em fóruns.

Box — Plano de resposta em 1 hora

1. Logout global na Conta Google.
2. Remover dispositivos desconhecidos.
3. Revogar apps de terceiros e tokens.
4. Trocar senha da Conta Google e ativar 2FA/Passkeys.
5. Checar filtros/encaminhamentos do Gmail.
6. Atualizar navegador/OS.
7. Rodar antimalware atualizado e reboot.
8. Trocar senhas críticas (banco, e-commerce, trabalho).
9. Alertar contatos se spam saiu da sua conta.
10. Monitorar alertas por 48–72 horas.

Box — Hardening do Gmail em 10 passos

• Security Checkup completo.
• 2FA/Passkeys ligadas (preferir chave física).
• Revisar apps de terceiros e escopos.
• Senhas de app: remover as antigas.
• Filtros/encaminhamentos: apagar regras suspeitas.
• Dispositivos: sair dos que não usa.
• Alertas críticos habilitados.
• E-mail/telefone de recuperação atualizados.
• Backups de códigos 2FA guardados offline.
• Revisão trimestral de tudo acima.

Tabela (texto — dados oficiais/consenso)

Vetor de ataque × Sinal de alerta × Ação imediata × Onde confirmar (fonte oficial)

• Malvertising/site falso × instalador “oficial” vindo de anúncio × baixar só do domínio verdadeiro; verificar hash/assinatura × Google/CERT.br
• Phishing com anexo × e-mail urgente com ZIP/PDF estranho × não abrir; validar remetente; reportar × Google/CISA
• Extensão maliciosa × consumo alto e pop-ups após instalar × remover extensão; varrer sistema × Google
• Crack/“portátil” × ativador + AV desativado × excluir; reinstalar limpo; trocar senhas × CERT.br
• Token roubado × login sem senha aparente × logout global; revogar apps; 2FA/Passkeys × Google

FAQ

Como sei se meu Gmail foi acessado?
Veja Atividade de dispositivos, alertas e Security Checkup. Procure filtros/encaminhamentos que você não criou. [Oficial – Google]

2FA resolve tudo?
Ajuda muito, mas não impede uso de cookies/tokens roubados. Por isso, faça logout global e revogue acessos. [Oficial – Google]

Passkey é melhor que SMS?
Sim. Passkeys/chaves de segurança resistem a phishing e SIM swap. [Oficial – Google/NIST]

Devo formatar o PC?
Se a infecção for grave/persistente, formatação limpa pode ser necessária. Backup antes de agir. [Prática recomendada]

Como identificar app de terceiro perigoso?
Revise escopos (acesso a e-mail/drive/contatos). Desconfie de permissões excessivas. Remova o que não usa. [Oficial – Google]

Antivírus gratuito basta?
Melhor do que nada. Para empresa, prefira EDR gerenciado com políticas e telemetria. [Oficial – CISA/NIST]