Esta publicação tem como objetivo divulgar o documento desenvolvido pelo equipe de Threat Intelligence da Service IT Security, que foi desenvolvido e fundamentado utilizando as documentações oficiais do NIST (National Institute Of Standards and Technology), MITRE e CVE.org, que são conhecidas mundialmente na área de cibersegurança, como modelo e padronização de melhores práticas de segurança, pesquisa de metodologias de ataques e defesa cibernética, e pesquisa e catalogação de novas vulnerabilidades em sistemas operacionais e aplicações.
Falha em gerenciadores de senhas para navegadores expões credenciais e dados.
O DOM-Based Extension Clickjacking é uma evolução do clickjacking tradicional, explorando elementos injetados no DOM por extensões de navegador. Ele permite que atacantes manipulem a interface invisível das extensões para forçar o autofill de credenciais, TOTP, cookies de sessão e até passkeys. O ataque não depende de falhas criptográficas, apenas do comportamento esperado das extensões. Foi demonstrado na DEF CON 33 (agosto/2025) e mostrou impacto em 10 dos 11 principais gerenciadores de senhas, afetando cerca de 40 milhões de usuários. A ameaça é grave, pois extensões possuem privilégios elevados. O risco atinge tanto usuários finais quanto ambientes corporativos. Além de gerenciadores de senhas, outras extensões críticas, como carteiras de criptomoedas e notas seguras, também estão expostas.
Os principais riscos mapeados:
- Exfiltração de credenciais, tokens e dados financeiros via autofill.
- Roubo de cookies de sessão e reutilização de TOTP/passkeys.
- Manipulação invisível da UI com sobreposição de elementos.
- Potencial para comprometimento de contas corporativas.
- Persistência da ameaça mesmo após meses da divulgação pública.
Versões afetadas e versões corrigidas:
- Vulneráveis:
1Password (≤ 8.11.7.2), Bitwarden (≤ 2025.8.0), iCloud Passwords (≤ 3.1.25), Enpass (≤ 6.11.5), LastPass (≤ 4.146.3), LogMeOnce (≤ 7.12.4), KeePassXC-Browser (≤ 1.9.9.2). - Corrigidas:
Dashlane (6.2531.1 – ago/2025), Enpass (6.11.6 – ago/2025), Keeper (17.2.0 – jul/2025), NordPass (5.13.24 – fev/2024), ProtonPass (1.31.6 – dez/2023), RoboForm (9.7.6 – jul/2024)
Recomendações de segurança:
- Usuários: manter extensões atualizadas, desativar autofill automático, preferir copiar/colar, separar TOTP de credenciais..
- Ambientes corporativos: aplicar políticas MDM/GPO para restringir extensões, monitorar exfiltrações suspeitas e auditar extensões críticas regularmente
A Service IT Security segue monitorando ativamente novas exposições e mantendo seus clientes informados de qualquer evolução relevante.
👉 Para obter mais detalhes e verificar a versão completa do documento desta publicação, acesse-o clicando aqui.
