A evolução dos ecossistemas de gestão de identidades e acessos (IAM/CIAM) impulsionou a substituição dos modelos tradicionais baseados em senhas pela autenticação sem senha (Passkeys/FIDO2) e pelo protocolo federado OAuth2 / OpenID Connect (OIDC). Contudo, o endurecimento dos mecanismos de autenticação inicial deslocou o foco dos ataques cibernéticos para a camada de gerenciamento de estado de sessão. A proliferação de malwares especializados na extração de credenciais de memória e dados de navegadores (Infostealers) viabilizou o surgimento do vetor de Session Hijacking via Token Replay, no qual atacantes capturam e reutilizam Access Tokens e Refresh Tokens emitidos por provedores de identidade legítimos.
A vulnerabilidade estrutural desse cenário reside no uso de tokens do tipo Bearer, cuja especificação padrão estabelece que qualquer entidade em posse da cadeia de caracteres (string) do token pode usufruir dos privilégios associados, independentemente de ser o detentor original do contexto de autenticação. Ao exfiltrar tokens de sessão armazenados em LocalStorage, SessionStorage ou cookies de aplicação sem proteção de escopo restrito, o atacante retransmite o artefato para as APIs de backend da organização. Esse procedimento contorna com sucesso os mecanismos de Autenticação Multifator (MFA) implementados na fase de login, uma vez que a validação do token no servidor pressupõe uma sessão pré-aprovada e válida.
A neutralização desses passivos de identidade exige a transição para padrões modernos de vinculação criptográfica de tokens. Torna-se imperativo adotar o protocolo DPoP (Demonstration of Proof-of-Possession for Tokens), que vincula criptograficamente o Access Token à chave privada do cliente que o solicitou, exigindo que cada requisição subsequente à API contenha uma assinatura RSA/ECDSA válida gerada pelo cliente. Complementarmente, as arquiteturas de segurança devem integrar motores de Avaliação Contínua de Acesso (Continuous Adaptive Trust / CAEP), monitorando anomalias comportamentais e variações contextuais de rede em tempo real para revogar proativamente sessões comprometidas e preservar a integridade do perímetro de identidade corporativo.