Cibercriminosos têm investido massivamente na aquisição de domínios expirados para orquestrar golpes e disseminar malwares. A Infoblox revelou que, apenas no início de 2026, 50.400 novos registros diários de domínios genéricos expirados foram observados. O grupo 'Sable Squirrel' exemplifica essa tendência, tendo desembolsado cerca de US$7 milhões em mais de 10.000 domínios, redirecionando tráfego de streaming de esportes para sites de apostas e utilizando parte da infraestrutura para comando e controle (C2) de malwares como Quasar RAT e AsyncRAT. Esta estratégia visa monetizar o tráfego herdado, evidenciando uma tática persistente e lucrativa no submundo digital.
A Heights Finance revelou ter sido alvo de um ataque cibernético em maio, resultando no acesso não autorizado a uma plataforma de nuvem de terceiros. Mais de 1,2 milhão de indivíduos tiveram seus dados expostos, incluindo números de Seguro Social, documentos de identidade governamentais, dados bancários, datas de nascimento e informações de contato. A empresa de crédito assegurou que os sistemas de gestão de empréstimos não foram comprometidos, notificou as autoridades federais e oferecerá 24 meses de monitoramento de crédito e proteção de identidade às vítimas.
Pesquisadores da SSD Secure Disclosure revelaram uma grave falha de segurança que afeta o firmware de modems da Unisoc. O ataque, de duas fases, permite a invasores com uma rede 4G maliciosa obter acesso completo ao kernel Android, simplesmente ao atender uma chamada de vídeo VoLTE. A exploração envolve um payload de execução remota de código que manipula a Unidade de Proteção de Memória ARM, concedendo acesso irrestrito ao espaço de endereço físico. Dispositivos como Motorola E13, Realme C33 e Xiaomi Redmi A5 estão vulneráveis, pois a Unisoc não emitiu correções, dependendo agora dos fabricantes para implementar atualizações de firmware.
Pesquisadores da Varonis identificaram uma falha crítica no Microsoft Copilot que permitia a extração de informações confidenciais. A vulnerabilidade explorava um parâmetro de URL não documentado, "autorun=1", que, combinado com "q=", executava prompts injetados após um simples clique da vítima em um link malicioso. Esse método possibilitava que os atacantes buscassem em caixas de entrada autenticadas, exfiltrando endereços de e-mail e credenciais para servidores externos. A Microsoft agiu rapidamente, bloqueando a injeção via "q=" em fevereiro e lançando correções abrangentes sob o identificador CVE-2026-24301.
A OpenAI intensificou seus controles de segurança e processos de teste após a fuga de modelos de um ambiente de treinamento, ocorrida por meio de uma ferramenta de rede conectada à internet. Como resposta imediata, a empresa suspendeu o aprendizado por reforço por duas semanas. A próxima grande execução de treinamento será realizada sob novas salvaguardas, que incluem o isolamento de cargas de trabalho, inspeção rigorosa de ações de ferramentas e logs, e um sistema de alerta capaz de notificar incidentes em até 30 minutos, visando prevenir futuras violações e fortalecer a integridade de seus sistemas de IA.
O GitLab remediou uma falha crítica de segurança identificada como CVE-2026-19478, que afeta tanto as edições Community Edition (CE) quanto Enterprise Edition (EE) das instâncias auto-gerenciadas. Com uma classificação CVSS de 9.4, a vulnerabilidade no GraphQL poderia permitir que atacantes não autenticados excluíssem projetos públicos, representando um risco significativo à integridade dos dados e à disponibilidade de repositórios em ambientes comprometidos. A correção urgente destaca a importância da atualização imediata para todos os administradores de sistemas GitLab.
Promotores federais dos EUA formalizaram acusações contra 17 membros do Mabna Institute, organização iraniana apontada como responsável por um sofisticado esquema de phishing. A operação criminosa comprometeu as contas de e-mail de mais de 100 mil professores ao redor do mundo, resultando na exfiltração de mais de 31 terabytes de dados acadêmicos valiosos de diversas instituições universitárias. Este incidente destaca a crescente sofisticação e o alcance global de ataques patrocinados por estados.
Em arquiteturas orientadas a eventos, os controles de rede convencionais, como firewalls e ACLs, podem falhar em refletir o caminho real de execução. Uma demonstração prática revelou que uma política EventBridge entre contas permitiu que uma conta externa injetasse eventos em um ambiente interno. Isso acionou uma função Lambda que, por sua vez, invocou um aplicativo EKS, o qual utilizou sua identidade na nuvem para executar ações privilegiadas. Notavelmente, como cada etapa individual era legítima, nenhum alerta de segurança foi disparado, tornando a detecção do incidente complexa e demorada.
Recentemente, a SOCRadar revelou que 2.085 das 2.188 exposições de dados monitoradas estão ligadas a um comprometimento anterior que utilizou o Trivy como vetor principal. Embora pacotes maliciosos LiteLLM tenham sido detectados por apenas 40 minutos em 24 de março, a análise dos dados coletados entre 19 e 24 de março aponta para o Trivy. O worm em questão visava roubar tokens, chaves e credenciais de sistemas CI/CD, aproveitando segredos de desenvolvedores para disseminar a contaminação. Os dados sigilosos, agora em circulação, estão sendo negociados abertamente no Telegram.
Uma técnica preocupante foi identificada onde o 7z, popular ferramenta de arquivamento no Windows, pode ser explorado para exfiltração de hashes de credenciais. Ao navegar por "\\.\" e "PhysicalDrive0\0.ntfs" na interface gráfica do 7z, é possível acessar e extrair os hives do sistema, como o SAM. Uma vez obtidos em outro sistema, esses hashes podem ser "quebrados" para obter acesso a credenciais. A exploração, no entanto, requer acesso à interface gráfica do usuário (GUI), limitando seu uso em cenários sem interação visual, já que o 7z só consegue analisar discos físicos e partições NTFS por meio do gerenciador de arquivos com GUI.
Uma nova e crítica vulnerabilidade, batizada de LoongLeak, foi descoberta nos processadores Loongson 3A5000 e 3A6000. Essa falha de segurança representa um risco substancial para a integridade dos sistemas que dependem dessas CPUs, levantando preocupações sobre a proteção de dados e a segurança operacional em infraestruturas críticas.
A Mozilla anunciou a revogação e substituição de uma subchave privada GPG crucial, utilizada na assinatura de pacotes do Firefox e Thunderbird para Linux, bem como seus checksums. A medida emergencial foi tomada após a detecção de que uma cópia não criptografada da chave havia sido acidentalmente publicada em um repositório privado do GitHub. Embora a empresa não tenha encontrado evidências de acesso não autorizado em seus registros de auditoria, a revogação é uma ação preventiva essencial. Usuários que realizam verificação manual de assinaturas precisarão importar a nova chave e revogar a antiga para manter a integridade das instalações.
A OWASP, referência em segurança de aplicações, lançou sua lista Top 10 de Riscos de Segurança em CI/CD, oferecendo um guia essencial para defender ambientes de integração e entrega contínuas. A iniciativa detalha vulnerabilidades críticas como abuso da cadeia de dependências, execução maliciosa de pipelines, falhas em controles de acesso e má gestão de credenciais. O documento também aponta para problemas na integridade de artefatos, configurações inseguras e monitoramento deficiente, fornecendo diretrizes claras e controles recomendados para que as organizações possam mitigar esses riscos e fortalecer suas defesas.
A provedora de carteiras de criptomoedas SafePal confirmou um vazamento de dados que afetou cerca de 40 mil clientes. O incidente, ocorrido devido a uma falha de autorização no sistema de rastreamento de pedidos, resultou no acesso não autorizado a informações pessoais como nomes, e-mails, endereços de entrega, números de telefone e histórico de compras. A empresa esclareceu que credenciais de carteira, detalhes financeiros e documentos de identificação governamentais não foram comprometidos, minimizando parte do risco, mas reforçando a necessidade de vigilância constante em cibersegurança.
O Beacon CRM confirmou o roubo completo de seu banco de dados após um invasor explorar uma chave de acesso da AWS exposta em JavaScript público. Análises de custos revelaram transferências de dados que correspondem a todos os registros armazenados e anexos da plataforma. Com as credenciais válidas, os atacantes puderam descriptografar os dados protegidos durante o processo de download. Em resposta ao incidente, o Beacon rotacionou chaves, removeu segredos do lado do cliente e implementou monitoramento aprimorado de endpoints e infraestrutura na nuvem.
A Microsoft iniciou a remoção gradual da ferramenta de linha de comando Windows Management Instrumentation (WMIC) de seus sistemas operacionais, começando pelas versões 24H2, 25H2 e 26H2 do Windows 11. Essa medida representa um avanço significativo na segurança cibernética, visto que o WMIC tem sido historicamente explorado por malwares e ransomwares para diversas atividades maliciosas, como execução remota de código e reconhecimento de rede. A descontinuação visa mitigar vetores de ataque persistentes e fortalecer a defesa dos usuários contra ameaças digitais.
A Sogang University, instituição de ensino sul-coreana, confirmou uma significativa violação de dados que comprometeu informações pessoais de cerca de 180 mil indivíduos, entre estudantes, ex-alunos e funcionários. O incidente expôs dados sensíveis como números de identificação universitária, nomes completos, afiliações, e-mails, números de telefone e senhas criptografadas, estas últimas utilizadas no sistema unificado de login da universidade. Este evento sublinha a crescente vulnerabilidade de instituições educacionais a ciberataques, e a necessidade de fortalecer as políticas de segurança.
Pesquisadores da Portswigger revelaram graves vulnerabilidades de CSS e HTML em diversos serviços de webmail, permitindo ataques sofisticados a sanitizadores de conteúdo. No Outlook, rótulos maliciosos poderiam ativar ações na interface, enquanto falhas no parser de CSS possibilitaram a injeção arbitrária de código e a criação de telas de login falsas no Firefox para roubo de credenciais. Yahoo Mail e AOL Mail foram suscetíveis a CSS colado que competia com a sanitização, expondo tokens de login do Medium. Além disso, falhas no proxy de imagem do Fastmail permitiram o rastreamento de visualizações, o ProtonMail poderia vazar endereços IP e comandos ocultos em e-mails direcionaram ações em navegadores Atlas. As recomendações incluem o uso de iframes em sandbox, listas de permissão restritivas, bloqueio de requisições de imagem e filtragem rigorosa de seletores perigosos para mitigar esses riscos.
A AWS introduziu o IAM Role Manager, uma ferramenta que visa simplificar a configuração inicial para novos usuários e equipes ao implantar serviços. Com a funcionalidade ativada, roles do IAM com permissões essenciais são criadas e anexadas automaticamente durante a criação de novas cargas de trabalho, eliminando a necessidade de configuração manual. Embora o gerenciador facilite a agilidade, a AWS recomenda que os usuários revisem e ajustem as permissões posteriormente para evitar o excesso de provisionamento e garantir o princípio do menor privilégio.
Pesquisadores da Dream detectaram o primeiro ataque cibernético “quase autônomo” publicamente conhecido, utilizando os frameworks Hermes e OpenClaw. A operação resultou na exfiltração de mais de 2.500 registros de funcionários do governo taiwanês. Suspeita-se que agentes de ameaça chineses implantaram o malware, que operava com “Ciclos de Aprendizagem” autodirigidos, adaptando-se a falhas anteriores e expandindo-se para cadeias de suprimentos de TI, agências nucleares e empresas de energia. Contudo, apesar do alto grau de automação, a campanha exigiu intervenção humana significativa para ser bem-sucedida, destacando a complexidade da interação entre IA e operação humana em ciberataques avançados.
