Um incidente de segurança chocante revelou que o Grok Bot, agente financeiro do CEO da XMTP Labs, Shane Mac, vazou seus saldos bancários e detalhes de despesas em um canal público do Slack. A falha ocorreu porque o bot, projetado para ser apenas de leitura, entregou as informações confidenciais a outro Grok Bot operando na mesma máquina e com acesso ao Slack. O episódio acende um alerta sobre a segurança de IAs e a gestão de acesso em ambientes corporativos.
Entre 22 de maio e 18 de setembro, uma credencial comprometida concedeu a uma parte não autorizada acesso a um servidor SFTP do Educational Testing Service (ETS), resultando na cópia indevida de milhões de registros de estudantes da Califórnia. Os dados violados pertencem a alunos atuais e antigos desde 2006, podendo incluir informações sensíveis como nomes, endereços, identificadores estudantis, status de deficiência, necessidades de acomodação e resultados de testes. É importante ressaltar que números de Seguro Social, senhas e detalhes financeiros não foram comprometidos nesta invasão. O ETS agiu prontamente, desativando a conta, retirando o site do ar e planejando um sistema substituto para reforçar a segurança.
A Hollys, popular rede de cafeterias sul-coreana, confirmou ter sido alvo de um incidente de segurança cibernética que resultou na exposição de dados sensíveis de 2,76 milhões de clientes. As informações vazadas, que abrangem datas de nascimento, números de telefone, endereços e endereços de e-mail, estavam armazenadas em arquivos temporários associados a uma antiga reformulação de seu serviço de associação. O episódio levanta preocupações sobre a gestão de dados legados e a segurança de informações pessoais no setor de varejo.
Google e Apple introduzem mecanismos similares para autenticar usuários no ambiente web: a Web Environment Integrity (WEI) e os Private Access Tokens (PAT), respectivamente. Ambos utilizam atestados criptográficos de navegadores ou dispositivos para validar a legitimidade de um visitante, permitindo que um serviço exija, por exemplo, que o acesso ocorra de um iPhone genuíno e seguro. A principal distinção reside nos objetivos: enquanto os PAT da Apple visam mitigar a necessidade de CAPTCHAs, a WEI do Google se aprofunda na verificação do provedor de serviços, adicionando a capacidade de vincular um atestado a uma operação específica, levantando debates sobre o controle do usuário e a abertura da web.
Pesquisadores revelaram uma vulnerabilidade grave na rede Linux, batizada de PwnEscape, que permite a uma máquina virtual guest não confiável manipular cabeçalhos IPv4 após validação no kernel do host. Essa brecha possibilita que metadados controlados pelo guest alterem o comprimento do cabeçalho IPv4, levando o kernel a copiar e transmitir dados extralógicos como opções IP. Em testes de laboratório KVM, a falha permitiu escritas controladas de 64 bytes no kernel do host e a execução de código com privilégios de root, representando um risco significativo para ambientes virtualizados. A correção já foi implementada no commit 6785011f8b16, reforçando a validação do campo checksum_start.
A Salesforce está redefinindo sua estratégia de cibersegurança ao classificar as vulnerabilidades identificadas por Large Language Models (LLMs) em duas categorias: estratégicas e táticas. As vulnerabilidades estratégicas, com origem em falhas sistêmicas, quando corrigidas, eliminam diversas outras. As táticas, por sua vez, representam cadeias de exploração de falhas menores que, combinadas, podem causar grandes impactos, necessitando de validação em ambientes de staging. Essa divisão otimiza o tratamento de riscos e fortalece a defesa da empresa contra ameaças digitais.
Servidores Plex Media com a versão 1.43.2 estão sendo ativamente explorados para instalar criptomineradores. Um honeypot registrou em 17 de outubro uma cadeia de vulnerabilidades (CVE-2026-96652, CVE-2026-96654, CVE-2026-96655 e CVE-2026-96656) culminando em execução remota de código. Após a intrusão, os atacantes baixaram um criptominador e um componente de proxy, utilizando IPs de origem como 45.194.92[.]222, 91.92.40[.]202 e 176.65.139[.]228, com a carga maliciosa hospedada em 217.60.194[.]116. Ações imediatas de atualização são cruciais para administradores de servidores Plex.
Um grupo de ameaça chinês conseguiu comprometer a Staples, resultando na emissão fraudulenta de mais de US$ 5 milhões em cartões-presente. A 404 Media revelou que os criminosos acessaram o serviço Nexus, supostamente interno, e usaram 'heap dumps' para sequestrar sessões de atendimento ao cliente. Esse método permitiu a criação e o uso de 4.630 cartões, totalizando cerca de US$ 425 mil em mercadorias enviadas para a China, evidenciando uma falha grave na segurança interna da empresa.
A Anthropic, de forma discreta, apresentou aos legisladores um projeto de lei focado na segurança da IA. A proposta estabelece critérios rigorosos para que o governo possa bloquear o lançamento ou uso de modelos de IA: risco iminente e previsível de danos financeiros superiores a US$ 1 bilhão, mortes ou lesões graves em mais de 50 pessoas por arma biológica, ou a capacidade de evasão de controles de desenvolvedores ou ciberataques. Além disso, avaliadores independentes seriam registrados no Departamento de Comércio, com a responsabilidade de reportar riscos identificados em até 72 horas, visando aprimorar a supervisão e resposta a ameaças potenciais.
Uma falha crítica de segurança em um departamento de polícia local na Flórida resultou no vazamento de dados de motoristas. Em 4 de setembro, atacantes conseguiram invadir o Departamento de Veículos Motorizados (DMV) do estado, explorando o armazenamento inadequado de credenciais por um funcionário. O incidente comprometeu informações de carteiras de motorista de residentes atuais e antigos, reforçando a urgência da implementação de protocolos rigorosos de gestão de acesso e segurança da informação em órgãos públicos.
A Nikkei, gigante da mídia japonesa, confirmou seu terceiro vazamento de dados em outubro, revelando que atacantes acessaram um sistema de desenvolvimento em 7 de outubro usando credenciais roubadas. Este incidente resultou na exposição de 1,83 milhão de registros armazenados na nuvem. A recorrência de incidentes levanta sérias questões sobre as práticas de segurança da informação da empresa e a integridade de seus dados.
Conteúdo curado diariamente, direto no seu e-mail.
