A polícia holandesa concedeu acidentalmente acesso a documentos confidenciais a um homem de Ridderkerk ️, ao enviar um link de download em vez de um link de upload. Ele foi subsequentemente preso por se recusar a excluir os arquivos sem compensação. Os oficiais apreenderam seus dispositivos, relataram uma violação de dados e o acusaram de acesso não autorizado.
Todas as notícias
CEVIU Segurança da Informação
Notícias, pesquisas e ferramentas para profissionais de segurança da informação
1763 notícias
A Operação DoppelBrand é uma ação de phishing conduzida pelo grupo GS7, que explora domínios sósias e portais clonados de grandes bancos, seguradoras e empresas de tecnologia dos EUA . O objetivo é roubar credenciais e dados de dispositivos, que são então encaminhados para o Telegram para triagem .
Mais de 30 extensões do Chrome, que se faziam passar por assistentes de IA, desviaram e-mails, dados de navegação e informações sensíveis de mais de 260.000 usuários, inclusive em ambientes corporativos. Os invasores incorporam um iframe de tela cheia que atua como proxy para APIs de LLM reais enquanto exfiltra conteúdo e chaves de API, conseguindo evadir a revisão da Chrome Web Store devido a permissões locais mínimas e à lógica maliciosa executada fora da plataforma.
Este artigo explora dois modelos distintos de liderança de CISO: o Relojoeiro, focado em precisão, controles rigorosos e auditabilidade, e o Jardineiro, que promove uma cultura de segurança adaptável, capacitação da equipe e resiliência organizacional. O estilo Relojoeiro funciona bem em ambientes regulados, mas pode levar à rigidez e esgotamento. Em contraste, o Jardineiro incentiva a responsabilidade compartilhada , mas depende de alta confiança organizacional e compromisso cultural de longo prazo. Os CISOs mais bem-sucedidos combinam elementos de ambos, construindo controles fundamentais sólidos enquanto promovem um ambiente de segurança adaptável que evolui com as ameaças emergentes.
Uma análise da infraestrutura do DigitStealer, um infostealer para macOS que visa 18 carteiras de criptomoedas e dispositivos Apple M2, revelou que o uso consistente pelo operador de um único ASN sueco (ab stract ltd), registro de domínio Tucows, nameservers Njalla e versões idênticas do OpenSSH criou uma impressão digital que permitiu o agrupamento de domínios C2 não relatados anteriormente. ️️ O malware atua como um backdoor persistente via Launch Agent, consultando os endpoints C2 a cada 10 segundos e empregando um mecanismo criptográfico de desafio-resposta para anti-análise, enquanto se comunica por quatro endpoints de API distintos para roubo de credenciais, exfiltração de arquivos e execução de comandos. A uniformidade da infraestrutura sugere fortemente uma campanha fechada, com um único operador, em vez de um modelo MaaS, um lembrete de que, quando os agentes de ameaça priorizam a eficiência em detrimento da segurança operacional, os defensores podem explorar esses padrões para identificar e neutralizar proativamente os ativos C2. ️
OpenClaw, anteriormente conhecido como Clawdbot, é um assistente de IA open-source viral, identificado como uma grande ameaça interna devido a falhas de segurança críticas. Isso inclui vulnerabilidades como a CVE-2026-25253 (com score CVSS de 8.8), configurações padrão inseguras (como autenticação desabilitada), armazenamento de segredos em texto puro, e um ecossistema de habilidades maliciosas visado por infostealers como RedLine e AMOS. Seu design permite acesso privilegiado ao host, exposição a dados não confiáveis e recursos de comunicação externa, tornando-o um vetor de ataque significativo. ️ Para mitigar os riscos de shadow IA, as organizações devem detectar o OpenClaw através de caminhos de arquivo específicos, assinaturas de rede e atividade OAuth incomum. Recomenda-se a implementação de allowlisting de aplicativos, políticas de privilégio mínimo, implantações isoladas e políticas de uso transparentes, acompanhadas de treinamento para a equipe.
Uma falha de heap buffer overflow (CVE-2026-25646, CVSS 8.3) na biblioteca libpng, presente desde sua criação há quase 30 anos, foi corrigida na versão 1.6.55. A vulnerabilidade reside na função png_set_quantize, usada para reduzir cores em imagens PNG. A exploração exige heap grooming cuidadoso e arquivos PNG especialmente elaborados, porém válidos, podendo levar a crashes, vazamento de informações ou execução remota de código em sistemas não corrigidos que utilizam essa biblioteca amplamente empacotada em ambientes Linux/Unix. Embora a função vulnerável seja raramente utilizada, o que reduz a severidade prática, especialistas em segurança alertam que ferramentas de caça a bugs com IA estão acelerando a descoberta de vulnerabilidades dormentes similares em bibliotecas de código aberto. Isso aumenta o risco de exploração por agentes de ameaça antes da divulgação coordenada. ️
Uma vulnerabilidade crítica de RCE não autenticada (CVE-2026-26220, CVSS 9.3) foi revelada no LightLLM, um motor de inferência de LLM amplamente utilizado com 3.890 estrelas no GitHub. A falha reside nos endpoints WebSocket do sistema de desagregação prefill-decode, que chamam `pickle.loads()` em frames binários não autenticados. O código do servidor, por design, desabilita explicitamente a vinculação a localhost, expondo o servidor a ameaças de rede. ️ Esta vulnerabilidade reflete a CVE-2025-32444 (CVSS 10.0) no vLLM e destaca um problema recorrente de desserialização insegura em frameworks de inferência de ML, visto que arquiteturas de serviço desagregadas aumentam as superfícies de ataque entre os nós. Organizações que utilizam LightLLM no modo PD devem restringir imediatamente o acesso à rede aos endpoints WebSocket, pois os mantenedores ignoraram os relatórios de segurança por quase um ano sem uma correção.
A atualização de segurança "Patch Tuesday" de fevereiro de 2026 da Microsoft bloqueou o preenchimento automático de credenciais em ferramentas de desktop remoto e compartilhamento de tela do Windows 11. Essa medida visa corrigir a vulnerabilidade CVE-2026-20804, uma falha de "tampering" no Windows Hello, demonstrada na Black Hat 2025, que permitia a atacantes injetar dados biométricos e contornar a autenticação sem detecção. ️
O Google corrigiu a CVE-2026-2441 (CVSS 8.8), uma vulnerabilidade use-after-free no motor CSS do Chrome, que está sendo ativamente explorada, marcando o primeiro zero-day do Chrome em 2026. A falha permitia a atacantes remotos executar código arbitrário dentro de um sandbox através de páginas HTML manipuladas, em versões anteriores à 145.0.7632.75. Usuários devem atualizar o Chrome imediatamente em todas as plataformas, e organizações que utilizam navegadores baseados em Chromium, como Edge, Brave, Opera e Vivaldi, devem aplicar as correções assim que estiverem disponíveis. ️
A authID lançou uma plataforma de segurança biométrica alinhada ao framework federal Personal Identity Verification (PIV) . O objetivo é proteger concessionárias de energia e infraestrutura crítica, substituindo senhas e tokens físicos por autenticação biométrica para consoles SCADA, contas privilegiadas e acesso de contratados. A plataforma integra IDX para gestão centralizada de identidades de funcionários e terceiros, PrivacyKey para verificação biométrica criptográfica sem armazenamento de dados, e authID Mandate para proteger sistemas de IA baseados em agentes com trilhas de auditoria vinculadas ao usuário. Este lançamento é crucial, dado o aumento de 70% ano a ano nos ciberataques a concessionárias nos EUA e as crescentes preocupações com atores patrocinados por estados, como Volt Typhoon, preposicionando-se em redes de infraestrutura crítica .
A Figure Technology confirmou uma violação de dados após um funcionário cair em um ataque de engenharia social. ️
O serviço de criptografia CoreKMS da Coinbase utiliza Multi-Party Computation (MPC) para proteger dados PII, derivando chaves de criptografia efêmeras sob demanda através de Distributed Key Generation. Este método garante que nenhuma parte individual detenha a chave mestra completa. ️ O sistema emprega AES-GCM-SIV para uma criptografia determinística, autenticada e em nível de campo de dados sensíveis, como SSNs, permitindo a consulta e indexação seguras de registros criptografados no Snowflake sem a necessidade de descriptografar os dados subjacentes. Essa abordagem demonstra uma arquitetura prática para organizações que precisam equilibrar os requisitos de conformidade regulatória, como relatórios de correspondência de dados estaduais, com robustas garantias criptográficas contra o comprometimento de chaves.
O Google detectou e bloqueou mais de 100.000 prompts projetados para extrair as capacidades de raciocínio proprietárias do Gemini , visando a destilação de modelos.
O OpenSSH 10.1 agora alerta os usuários quando conexões utilizam algoritmos de troca de chaves não-pós-quânticos, incentivando a migração para mlkem768x25519-sha256 (padrão desde a versão 10.0) ou sntrup761x25519-sha512. O objetivo é fortalecer a defesa contra ataques do tipo "store now, decrypt later" .
A percebida escassez de talentos em cibersegurança é, na verdade, uma lacuna de responsabilidade na liderança. A Marinha, por exemplo, treina jovens de 18 anos para operar reatores nucleares em 18 meses através de programas estruturados, enquanto a indústria de segurança exige requisitos de experiência irrealistas e se recusa a investir no desenvolvimento de talentos juniores. Esta situação é agravada por três falhas principais: uma análise de causa raiz superficial que nunca aborda os problemas subjacentes; dívida técnica não controlada que líderes não conseguem traduzir em risco de negócio; e a promoção de pessoal técnico para cargos de gestão sem treinamento adequado em liderança. Para reverter esse cenário, líderes de segurança devem construir trilhas de desenvolvimento estruturadas , realizar análises pós-incidente rigorosas e defender que a dívida técnica seja tratada como um risco de negócio central , em vez de aceitar falhas recorrentes como inevitáveis.
Pesquisadores identificaram mais de 300 extensões maliciosas para Chrome, somando 37,4 milhões de downloads, que vazaram histórico de navegação, injetaram iframes e roubaram dados de usuários . Destas, 153 extensões confirmaram a exfiltração do histórico do navegador imediatamente após a instalação. Um relatório distinto da LayerX apontou 30 extensões disfarçadas de ferramentas de IA que compartilham estruturas internas e infraestrutura de backend idênticas ️️. Dessas, 15 visavam especificamente o Gmail para extrair conteúdo de e-mails e transmiti-lo a servidores de terceiros . Empresas devem auditar extensões instaladas com base em indicadores publicados, aplicar políticas de allowlisting para extensões e monitorar tráfego de rede anômalo originado de processos do navegador.
O Google Threat Intelligence Group (GTIG) publicou descobertas detalhando operações cibernéticas coordenadas por atores patrocinados por estados da China, Irã, Coreia do Norte e Rússia, visando a base industrial de defesa (DIB). As operações se concentram em quatro temas principais: roubo de tecnologia de campo de batalha ligado à guerra Rússia-Ucrânia, direcionamento a funcionários e exploração de processos de contratação, comprometimento de dispositivos de borda por grupos ligados à China e ataques à cadeia de suprimentos por meio de violações de fabricação. Atividades notáveis incluem a exfiltração de dados do Signal e Telegram pelo APT44 em dispositivos capturados na Ucrânia, as campanhas contínuas da Operação Dream Job do Lazarus Group contra alvos aeroespaciais e de defesa, e o Volt Typhoon realizando reconhecimento em portais de login de empreiteiros militares norte-americanos. Diante da natureza persistente e multi-vetorial dessas campanhas, organizações DIB devem priorizar a higiene de mensagens seguras, estratégias de detecção cientes da evasão de EDR e o monitoramento da integridade da cadeia de suprimentos.
Cibercriminosos estão enviando cartas físicas, passando-se por equipes de segurança da Trezor e Ledger, pedindo aos usuários de hardware wallets que completem processos falsos de "Authentication Check" ou "Transaction Check" ao escanear QR codes que levam a sites de phishing. Estes sites são projetados para roubar suas recovery phrases. A campanha provavelmente se beneficia de dados de clientes expostos em violações de dados anteriores da Trezor e Ledger, com domínios de phishing como trezor.authentication-check[.]io exfiltrando as seed phrases enviadas por meio de um endpoint de API de backend. Fabricantes de hardware wallets nunca solicitarão recovery phrases por correspondência, e-mail ou sites, seed phrases devem ser inseridas apenas diretamente no próprio dispositivo de hardware. ️
O software moderno é montado a partir de serviços de terceiros, pacotes de código aberto e tooling de CI/CD, transformando a cadeia de suprimentos em uma superfície de ataque primária, e não em um detalhe secundário. Ataques como atualizações maliciosas de dependências exploram a confiança implícita em códigos externos e podem comprometer silenciosamente produtos, credenciais e dados de clientes em escala. Diante disso, equipes de produto devem tratar a integridade da cadeia de suprimentos como prioridade máxima. Isso envolve a utilização de proveniência, atestações criptográficas e o framework SLSA para verificar a origem e a forma de construção do software.
