Um único clique numa página maliciosa pode bastar para roubar as suas credenciais, códigos de autenticação de dois fatores (2FA) e dados de cartão de crédito guardados num gestor de palavras-passe. É esta a conclusão da investigação apresentada pelo investigador independente Marek Tóth na conferência DEF CON 33, que expôs uma técnica batizada de DOM-based extension clickjacking. A falha afeta as extensões de navegador de vários gestores populares — incluindo funcionalidades de preenchimento automático semelhantes às do gestor de palavras-passe do Google — e, meses depois da divulgação, alguns produtos continuam sem correção completa.
Resposta rápida: Investigadores demonstraram que extensões de gestores de palavras-passe podem ser manipuladas por sites maliciosos para preencher e roubar credenciais, 2FA e dados de cartão com um só clique. Vários fornecedores já corrigiram, mas alguns permaneceram vulneráveis meses depois. Recomenda-se desativar o preenchimento automático “invisível” (autofill suggestion), atualizar a extensão e, em navegadores Chromium, configurar o acesso das extensões para “ao clicar” (on click).
O que é o clickjacking baseado em DOM
O clickjacking clássico — também conhecido por UI redressing — engana o utilizador para que este clique num elemento pensando estar a interagir com outro. A novidade aqui é o vetor. As extensões de gestores de palavras-passe, que preenchem automaticamente informação sensível em sites, podem ser expostas a vários ataques de clickjacking que exploram a relação de confiança entre a página e os elementos de interface injetados pela extensão; estudos recentes mostram que a manipulação ao nível do Document Object Model (DOM) consegue contornar muitas defesas convencionais.
Na prática, o mecanismo é engenhoso. Como o JavaScript pode manipular os elementos visuais injetados por uma extensão de navegador, esses elementos podem ser tornados invisíveis para o utilizador mantendo os manipuladores de clique, de forma a que os atacantes enganem os utilizadores para interagirem com funções da extensão do gestor de palavras-passe. Para concretizar o ataque, basta ao agente malicioso criar um site falso com uma janela intrusiva — como um ecrã de início de sessão ou um banner de consentimento de cookies — embutindo um formulário de login invisível, de modo a que o clique para fechar a janela acione o preenchimento.
Tóth documentou várias técnicas concretas. Estas incluem a manipulação direta do elemento da extensão, aplicando opacity: 0 ao componente de interface injetado, a manipulação do elemento-pai — tornando o elemento transparente enquanto se apresenta uma interface falsa — e ataques de sobreposição, inserindo camadas por cima da interface com pointer-events: none, para que os cliques atravessem até ao componente de preenchimento por baixo. O ataque é modular: os scripts conseguem identificar dinamicamente qual o gestor de palavras-passe presente e aplicar a técnica correspondente.
Que dados podem ser roubados e a que escala
O leque de dados em risco é amplo. Os populares plugins de gestores de palavras-passe para navegadores revelaram-se suscetíveis a vulnerabilidades de clickjacking que, em certas condições, poderiam ser exploradas para roubar credenciais de conta, códigos de autenticação de dois fatores (2FA) e dados de cartão de crédito. Segundo o investigador, o impacto potencial é elevado: um atacante poderia facilmente encontrar XSS ou outras vulnerabilidades e roubar as credenciais guardadas do utilizador com um único clique (10 em 11 gestores testados), incluindo TOTP (9 em 11).
Quanto à dimensão, os números apontados pela investigação são consideráveis. Todos os gestores testados estavam inicialmente vulneráveis a pelo menos uma variante da técnica de DOM-based extension clickjacking, e as vulnerabilidades afetavam cerca de 40 milhões de instalações ativas nas lojas Chrome Web Store, Firefox Add-ons e Edge Add-ons. O investigador visou 1Password, Bitwarden, Dashlane, Enpass, Keeper, LastPass, LogMeOnce, NordPass, ProtonPass, RoboForm e o iCloud Passwords da Apple — especificamente as respetivas extensões de navegador.
Cronologia da divulgação
| Data | Acontecimento |
|---|---|
| Abril de 2025 | Comunicação responsável a todos os fornecedores, com aviso de divulgação pública em agosto |
| Agosto de 2025 (DEF CON 33) | Apresentação pública da técnica por Marek Tóth |
| 20 de agosto de 2025 | Bitwarden lança a versão 2025.8.0 para mitigar o problema |
| Agosto de 2025 | Correções também em Dashlane, Keeper, NordPass, ProtonPass e RoboForm |
| 17 de outubro de 2025 | CERT/CC publica o aviso VU#516608 |
O investigador notificou todos os fornecedores em abril de 2025 e alertou que a divulgação pública seria em agosto, no DEF CON 33. A resposta dos fabricantes foi desigual. A 1Password categorizou o relatório como “fora de âmbito/informativo”, argumentando que o clickjacking é um risco geral da web que os utilizadores devem mitigar; a LastPass marcou-o igualmente como “informativo”, enquanto a Bitwarden reconheceu os problemas mas minimizou a gravidade. A LogMeOnce não respondeu a qualquer tentativa de contacto, nem de Tóth nem da Socket.
A empresa de segurança da cadeia de fornecimento de software Socket reviu a investigação de forma independente. A Socket indicou que Bitwarden, Enpass e iCloud Passwords estavam a trabalhar ativamente em correções, enquanto 1Password e LastPass marcaram os problemas como informativos, e contactou o US-CERT para atribuir identificadores CVE às falhas identificadas.
Estado das correções: quem já resolveu e quem ficou para trás
No início da semana de divulgação, Dashlane, Keeper, NordPass, ProtonPass e RoboForm já tinham corrigido o problema, segundo Tóth, enquanto Bitwarden, Enpass e a Apple (que usa o gestor de palavras-passe do iCloud) estavam em processo de correção. A Socket reportou que a Bitwarden lançou uma correção na versão 2025.8.0, datada de 20 de agosto.
A 1Password veio esclarecer o seu funcionamento. Num comunicado do CISO Jacob DePriest, a empresa indicou que já exige confirmação antes de preencher automaticamente informação de pagamento e que uma nova versão estende essa proteção para que os utilizadores possam optar por ativar alertas de confirmação para outros tipos de dados, mantendo-os informados quando o preenchimento ocorre. A 1Password sublinhou ainda que o clickjacking não expõe diretamente os dados do cofre e que nenhum site consegue aceder à informação sem interação com o navegador.
Importa contudo notar que a página de acompanhamento do investigador registava, ainda em 2026, versões de alguns produtos como vulneráveis a métodos específicos. É um lembrete de que “corrigido” significa apenas que os métodos descritos na investigação foram tapados — se existirem outros métodos ou algum bypass, as extensões podem continuar vulneráveis.
Como se proteger
As recomendações práticas convergem entre o investigador, o CERT/CC e as empresas de segurança:
- Desative a interface de preenchimento automático (a chamada autofill suggestion) injetada no DOM, pois um único clique pode expor as credenciais guardadas.
- Enquanto as correções não estiverem disponíveis, use apenas copiar/colar; em navegadores baseados em Chromium, configure o acesso ao site para “ao clicar” (on click) nas definições da extensão, o que permite controlar manualmente o preenchimento.
- Aplique as atualizações mais recentes tanto do navegador como da extensão do gestor de palavras-passe.
- Tenha presente que o nível de controlo varia de produto para produto e que tentativas de clickjacking podem ocorrer mesmo em sites de confiança, caso estes tenham sido comprometidos.
Convém reforçar: a mitigação total é complexa. A equipa da Socket explicou que a única forma de mitigar por completo as vulnerabilidades seria implementar uma janela de confirmação antes do preenchimento — solução que a 1Password ponderou e adotou para campos de cartão, mas optou por não aplicar aos dados pessoais devido a comentários dos utilizadores; a mitigação robusta é tecnicamente difícil e as janelas de confirmação acrescentam atrito de usabilidade.
Porque é que isto importa em Portugal
Os gestores de palavras-passe continuam a ser uma das melhores práticas de higiene digital — o problema aqui não é usá-los, mas sim a superfície de ataque específica das extensões de navegador com preenchimento automático “silencioso”. Para cidadãos e PME em Portugal, a lição é direta: mantenha as extensões atualizadas e reveja as definições de preenchimento automático. O roubo de credenciais e de códigos 2FA é, frequentemente, o primeiro passo para o acesso inicial a contas e sistemas empresariais, alimentando fraudes, extorsão e ransomware.
No plano regulatório, a proteção de dados de autenticação e de dados pessoais está no centro do RGPD, e as organizações abrangidas pelo novo Regime Jurídico da Cibersegurança (Decreto-Lei n.º 125/2025, que transpõe a NIS2) devem adotar medidas de gestão de risco proporcionais, incluindo controlos sobre autenticação, dispositivos e software instalado nos postos de trabalho. O CNCS e o CERT.PT recomendam a monitorização de avisos oficiais e a aplicação atempada de atualizações — precisamente o tipo de ação que neutraliza classes de ataque como esta.
Perguntas frequentes
Devo deixar de usar o gestor de palavras-passe?
Não. Os gestores continuam a ser recomendados para criar e guardar palavras-passe únicas e fortes. O risco identificado prende-se com o preenchimento automático via extensão de navegador, pelo que a solução passa por ajustar essas definições e manter tudo atualizado, não por abandonar a ferramenta.
O meu gestor já está corrigido?
Depende do produto e da versão. Dashlane, Keeper, NordPass, ProtonPass e RoboForm corrigiram cedo, e a Bitwarden lançou correções a partir da versão 2025.8.0. Verifique sempre se tem a versão mais recente da extensão e consulte o aviso oficial do seu fornecedor.
Como reduzo o risco imediatamente?
Desative a sugestão de preenchimento automático injetada nas páginas, use copiar/colar e, em navegadores Chromium, configure o acesso das extensões para “ao clicar”. Assim, o preenchimento só acontece quando você o inicia manualmente.
Este ataque funciona em qualquer site?
O ataque exige uma página controlada ou comprometida pelo atacante que manipule o DOM. Não basta visitar um site legítimo intacto, mas sites de confiança comprometidos (por exemplo, com XSS) também podem ser usados, pelo que a prudência ao clicar em janelas e banners é sempre aconselhável.
Esta informação tem caráter noticioso e baseia-se em dados divulgados publicamente por Marek Tóth, pela Socket, pelo CERT/CC (VU#516608) e por comunicações dos fornecedores de gestores de palavras-passe.