A plataforma CareerConnect da Universidade de Oxford foi comprometida em 28 de maio, expondo nomes completos e endereços de e-mail de ex-alunos, pesquisadores e recrutadores. É o segundo incidente de segurança registrado pela instituição britânica em menos de 30 dias, acendendo alertas sobre a proteção de dados em ambientes acadêmicos.
Todas as notícias
CEVIU Segurança da Informação
Notícias, pesquisas e ferramentas para profissionais de segurança da informação
1750 notícias
A OpenAI implementou o Lockdown Mode no ChatGPT para restringir o processamento de conteúdo não confiável e mitigar riscos de prompt injection em ambientes com dados sensíveis. O recurso desativa funcionalidades como navegação web em tempo real, retrieval externo de imagens, pesquisa profunda e o modo de agentes, reduzindo a superfície de ataque em cenários corporativos críticos.
Dados do Majestic Million revelam que, apesar de 57,1% dos domínios publicarem DMARC, apenas 26% aplicam a política com p=reject ou quarantine, deixando a porta aberta para spoofing. A recomendação é tratar a autenticação de e-mail como uma sequência de capacidades: migrar para p=reject pode reduzir o spoofing de domínio em até 85%. Na sequência, integrar MTA-STS, TLS-RPT e CAA. Tecnologias como DNSSEC e DANE ficam para modelos de ameaça específicos, o foco deve ser eliminar vetores ativos como senhas fracas antes de combater cenários teóricos.
A Apple integrou os algoritmos ML-KEM e ML-DSA ao corecrypto para suportar criptografia pós-quântica, usando C portável e assembly ARM64. Para garantir a correção formal, a implementação em C foi traduzida para Cryptol e validada com SAW. Em seguida, o modelo foi convertido para Isabelle e confrontado com a especificação FIPS. As sub-rotinas em assembly também foram verificadas como matematicamente idênticas às versões em C.
Joshua Saxe compartilha sua experiência na Meta, descrevendo um ambiente de talentos excepcionais, mas marcado por competitividade intensa, onde ambições pessoais frequentemente sobrepõem metas de produto. Iniciativas como Llama e projetos de AR/VR sofrem com falta de coesão, já que equipes priorizam crescimento profissional em detrimento do propósito. Saxe participou da criação de iniciativas de segurança em IA antes de deixar a empresa para fundar sua própria startup.
Um pesquisador de segurança criou um app propositalmente vulnerável em Expo React Native para testar se LLMs autônomos conseguiriam encontrar uma flag oculta. Com cerca de 20 modelos avaliados, o caminho esperado exigia descompilar o APK e explorar um backend Firebase mal configurado, não falhas de IDOR. O GPT-4.5 teve a melhor performance, enquanto outros modelos falharam ao mirar alvos errados, recusar comandos ou não identificar a infraestrutura Firebase.
Pesquisadores identificaram uma campanha de malvertising que abusa do Google Ads para distribuir versões maliciosas de ferramentas de segurança conhecidas, como Ghidra, dnSpy e SpiderFoot. As páginas falsas imitam os sites oficiais e exibem links aparentemente legítimos, mas scripts ocultos redirecionam o usuário via sistema de distribuição de tráfego (TDS). Após múltiplos redirecionamentos, a vítima baixa um infostealer capaz de roubar credenciais e dados sensíveis.
A Fortinet identificou a C0XMO, variante modular do Gafgyt que explora a CVE-2021-27137, falha de buffer overflow não autenticada no firmware DD-WRT, permitindo execução arbitrária de código. O malware infecta roteadores, DVRs e dispositivos IoT com 19 métodos de DDoS, força bruta em SSH/Telnet e persistência via tarefas agendadas a cada 15 minutos. Diferencial: elimina botnets rivais antes de se conectar ao C2. Recomenda-se aplicar patches imediatamente, trocar credenciais de administrador e monitorar conexões anômalas.
O grupo Silent Ransom (também conhecido como UNC3753, Luna Moth ou Chatty Spider) mira escritórios de advocacia e empresas de serviços profissionais nos EUA desde janeiro. A tática combina phishing com temas de faturas e chamadas de vishing: os atacantes se passam por suporte de TI para convencer vítimas a instalar ferramentas de acesso remoto como AnyDesk, Zoho Assist, Bomgar ou SuperOps.
Clientes da Cloudflare já podem aplicar, diretamente no WAF, indicadores de ameaças provenientes do Cloudforce One, unidade de inteligência cibernética da empresa. Com os novos campos cf.intel, equipes de segurança automatizam bloqueios contra agentes maliciosos específicos e ataques direcionados a setores críticos, com atualização contínua e resposta em tempo real.
Clientes do GitHub Enterprise Server devem realizar imediatamente a rotação da chave de assinatura do produto. A atualização oficial confirma que houve acesso não autorizado a repositórios internos da GitHub, embora nenhum dado de cliente tenha sido comprometido, a medida é crítica para prevenir exploração de assinaturas falsificadas em ambientes locais. A ação afeta apenas instâncias auto-hospedadas e exige intervenção manual dos administradores. A GitHub já disponibilizou instruções detalhadas e patches para todas as versões suportadas.
O BGP continua vulnerável a sequestros de rotas e vazamentos de caminho, comprometendo a integridade do tráfego global. Embora o RPKI ofereça proteção parcial, ele não impede caminhos forjados que iniciam com um ASN inválido. A Cloudflare passou a impor, de forma prática e escalável, que o primeiro AS no atributo AS_PATH seja o proprietário legítimo do prefixo, uma camada adicional de validação simples, eficaz e compatível com a infraestrutura existente.
A Ultrahuman, fabricante de wearables de saúde, notificou clientes sobre uma violação de dados em seu sistema de análise interno. Invasores acessaram informações como contatos, detalhes de contas, histórico de pedidos e transações. A empresa confirmou que dados financeiros e de saúde não foram comprometidos no incidente.
A SafeBreach descobriu o ataque 'Fake Context Alignment': notificações de WhatsApp, Slack e SMS eram usadas para injetar instruções ocultas que o Gemini processava silenciosamente. O exploit permitia controlar dispositivos Google Home, iniciar chamadas no Zoom, falsificar contatos e corromper a memória de longo prazo do assistente. O Google corrigiu a falha em meados de novembro de 2025 com melhorias nos classificadores de segurança.
O preview Mythos da Anthropic identificou uma vulnerabilidade RCE antiga no FreeBSD. O framework AISLE reproduziu a falha em modelos open-weight como Gemma e GPT-OSS, varrendo o subsistema sys/rpc. Modelos detectam o stack overflow em arquivos isolados, mas análises amplas geram falsos positivos. Uma etapa de reachability, filtrando caminhos controláveis pelo atacante, preserva a CVE real e transforma saídas ruidosas em listas tratáveis para revisão humana.
A CVE-2026-23479, falha de use-after-free na função unblockClientOnKey() do Redis, afeta todas as versões stable desde a 7.2.0 e foi classificada com severidade 7.7 (High). O bug permite que atacantes autenticados encadeiem heap leak via Lua, despejo forçado e sobrescrita GOT de strcasecmp() pela function system(), resultando em execução remota de código com privilégios do daemon. Ambientes auto-hospedados devem atualizar imediatamente para as versões 7.2.14, 7.4.9, 8.2.6, 8.4.3 ou 8.6.3, ou restringir comandos CONFIG, @scripting e stream.
Um ataque à supply chain da versão Windows do Hola Browser resultou na inclusão de um minerador de Monero não assinado (me.exe). O malware adiciona uma exclusão ao Windows Defender, copia-se para a pasta Program Files como HolaMonitorService.exe e se registra como serviço de inicialização automática (hola_monitor_svc), ativando a mineração sempre que a máquina fica ociosa.
A Disruption Week reuniu forças de segurança e big techs para desativar mais de 1,4 milhão de contas fraudulentas, incluindo páginas, contas Microsoft e kits Starlink, vinculadas a esquemas no Camboja, Laos e Birmânia. As operações envolviam tráfico de trabalhadores forçados a aplicar golpes de investimento em criptomoedas. Resultado: 63 prisões e bloqueio de US$ 3,8 milhões em ativos digitais.
O grupo de ransomware ShinyHunters afirmou ter roubado e divulgado 234 GB de dados da DentaQuest, operadora de benefícios odontológicos, depois que a empresa se recusou a pagar o resgate exigido. Os dados expostos incluem e-mails, nomes, telefones, documentos de identidade, informações de planos de saúde, datas de nascimento e gênero. O serviço Have I Been Pwned confirmou o incidente, apontando 2,6 milhões de registros comprometidos, dos quais 66% já estavam em sua base.
Um incidente de segurança ocorrido em 2025 na Universidade Columbia comprometeu 1,8 milhão de números de seguridade social (SSNs), atingindo inclusive pessoas sem qualquer relação com a instituição. A causa: registros de recrutamento e testes armazenados em uma base legada esquecida durante o processo de saneamento de dados. A universidade levou meses para responder aos afetados e agora enfrenta ação coletiva e escrutínio regulatório pela retenção prolongada e indevida de informações pessoais sensíveis.
