A plataforma de negociação online Robinhood foi alvo de um ataque de phishing que explorou uma falha em seu processo de criação de contas. A partir da noite de domingo, clientes começaram a receber e-mails falsificados, aparentemente legítimos, informando sobre logins recentes e dispositivos não reconhecidos associados às suas contas. Os e-mails, que pareciam vir do endereço oficial noreply@robinhood.com, continham mensagens que alertavam sobre atividades suspeitas e direcionavam os usuários a um site de phishing. Os atacantes conseguiram injetar HTML malicioso nos e-mails de confirmação de conta, aproveitando uma vulnerabilidade no processo de onboarding da Robinhood. O site de phishing, que já está fora do ar, tinha como objetivo roubar credenciais dos usuários. A Robinhood confirmou o incidente e afirmou que não houve violação de seus sistemas, mas que a falha foi corrigida removendo o campo que permitia a injeção de HTML. A empresa aconselha os usuários a deletarem os e-mails e não clicarem em links suspeitos.

O golpe do CPF irregular tem se intensificado com a abertura da Declaração do Imposto de Renda 2026, conforme levantamento da ESET, empresa de cibersegurança. Golpistas têm criado domínios falsos que imitam avisos da Receita Federal, enviando mensagens por e-mail, SMS, WhatsApp e redes sociais. Essas mensagens alertam sobre supostas irregularidades no CPF do usuário, levando-o a acessar um site falso que simula o Portal Oficial de Serviços ao Cidadão. Ao inserir o CPF, a vítima recebe um alerta de ‘alto risco fiscal’ e é pressionada a regularizar a situação rapidamente, sob a ameaça de multas. O site utiliza dados pessoais, possivelmente obtidos de vazamentos anteriores, para aumentar a credibilidade do golpe. Especialistas recomendam que os usuários acessem os serviços da Receita Federal apenas por canais oficiais e desconfiem de links recebidos por mensagem. A situação é preocupante, pois combina engenharia social com dados legítimos, tornando o golpe ainda mais convincente.

A Rodenburg Law Firm, um escritório de advocacia especializado em recuperação de dívidas, notificou 81.307 pessoas sobre um vazamento de dados ocorrido em 26 de agosto de 2025. O incidente comprometeu informações pessoais sensíveis, incluindo números de Seguro Social, datas de nascimento, números de cartões de pagamento, condições médicas e informações de tratamento. O grupo cibercriminoso Akira reivindicou a responsabilidade pelo ataque, afirmando ter roubado 144 GB de dados, incluindo informações de funcionários e arquivos legais confidenciais. A Rodenburg não confirmou a reivindicação do grupo e não se sabe como os atacantes conseguiram acessar seus sistemas. A empresa está oferecendo 12 meses de monitoramento de crédito gratuito aos afetados. Este incidente é considerado o maior vazamento de dados em um escritório de advocacia nos EUA até o momento, com implicações significativas para a segurança de dados e a privacidade dos clientes. O ataque destaca a vulnerabilidade de escritórios de advocacia a ataques de ransomware, que podem comprometer dados sensíveis e causar interrupções operacionais significativas.

Xu Zewei, um cidadão chinês, foi extraditado da Itália para os Estados Unidos, onde enfrentará acusações de ciberespionagem em nome dos serviços de inteligência da China. Segundo o Departamento de Justiça (DOJ) dos EUA, Xu atuava como hacker contratado pelo Ministério da Segurança do Estado (MSS) da China, realizando invasões entre fevereiro de 2020 e junho de 2021. Ele foi preso em Milão em 2025, a pedido das autoridades americanas, devido a suas ligações com o grupo de hackers Silk Typhoon, também conhecido como Hafnium. As investigações revelam que Xu participou de ataques direcionados a organizações de pesquisa sobre COVID-19, buscando informações sobre vacinas e tratamentos. Os hackers exploraram vulnerabilidades zero-day do Microsoft Exchange Server, permitindo acesso não autorizado a servidores de e-mail e redes de vítimas. O DOJ afirma que Xu e seus cúmplices operavam sob a direção de oficiais do MSS, utilizando empresas como a Shanghai Powerock Network Co., Ltd. para realizar suas operações. Xu enfrentará múltiplas acusações relacionadas a intrusões em sistemas computacionais e conspiração.

As autoridades canadenses prenderam três homens envolvidos na operação de um dispositivo conhecido como ‘SMS blaster’, que simula uma torre de celular para enviar mensagens de phishing a telefones próximos. Esses dispositivos emitem sinais que imitam torres legítimas, fazendo com que os celulares na área se conectem a eles devido à recepção mais forte. Uma vez conectados, os operadores podem enviar SMS que parecem vir de entidades confiáveis, como bancos ou órgãos governamentais. As mensagens frequentemente contêm links que direcionam os usuários a sites falsos, projetados para capturar informações pessoais, como credenciais bancárias. A polícia de Toronto iniciou a investigação, chamada ‘Projeto Lighthouse’, em novembro de 2025, após receber denúncias de atividades suspeitas. Durante a operação do SMS blaster, estima-se que 13 milhões de casos de captura de rede móvel tenham ocorrido. Além do risco de phishing, os dispositivos conectados a essas torres falsas ficam temporariamente desconectados da rede legítima, impossibilitando o acesso a serviços de emergência. As autoridades realizaram buscas e apreenderam vários equipamentos, resultando na prisão de dois suspeitos e na entrega voluntária de um terceiro. Para se proteger contra torres falsas, recomenda-se desativar a retrocompatibilidade com 2G em dispositivos Android, embora essa medida não seja eficaz contra configurações mais avançadas que visam sinalizações LTE/5G.

A campanha Glassworm está em uma nova fase, visando o ecossistema OpenVSX com 73 extensões ‘dormidas’ que se tornam maliciosas após uma atualização. Seis dessas extensões já foram ativadas e estão entregando malware, enquanto as demais permanecem inativas ou suspeitas. Inicialmente, as extensões parecem benignas, mas revelam a verdadeira intenção do atacante em um estágio posterior. Os pesquisadores da empresa de segurança Socket destacam que essa estratégia é uma mudança em relação a ondas anteriores, onde o código malicioso estava embutido nas extensões. As extensões clonadas de listagens legítimas visam enganar desenvolvedores menos atentos. Elas atuam como carregadores que buscam o malware de diferentes maneiras, como através de pacotes VSIX do GitHub ou módulos compilados específicos da plataforma. Embora os detalhes técnicos do novo payload não tenham sido divulgados, ataques anteriores focaram em roubo de dados de carteiras de criptomoedas e credenciais de desenvolvedores. A Socket recomenda que desenvolvedores que instalaram essas extensões façam a rotação de segredos e limpem seus ambientes.

Um novo fenômeno de criminalidade tem chamado a atenção em São Paulo, onde um grupo conhecido como ‘gangue do 55’ está gravando e publicando vídeos de seus furtos nas redes sociais, especialmente no Instagram. Os integrantes, que aparentam ser menores de idade, utilizam bicicletas para atacar vítimas, quebrando vidros de carros ou agindo em estações de metrô. Os vídeos, que frequentemente incluem comentários e emojis que glorificam os crimes, têm atraído milhares de visualizações. Além de registrar os furtos, os criminosos expõem a identidade das vítimas, publicando imagens pessoais que estavam armazenadas nos celulares roubados. A Secretaria da Segurança Pública de São Paulo informou que as forças policiais estão em ação constante para reduzir crimes patrimoniais. A Meta, empresa responsável pelo Instagram, declarou que não permite o uso da plataforma para promover atividades criminosas e incentivou a denúncia de tais conteúdos. Este caso destaca a interseção entre crime e redes sociais, levantando preocupações sobre a segurança e a privacidade dos cidadãos.

A gigante de dispositivos médicos Medtronic revelou na semana passada que hackers invadiram sua rede e acessaram dados em “certos sistemas de TI corporativos”. A confirmação ocorreu após o grupo de extorsão de dados ‘ShinyHunters’ reivindicar a invasão e o roubo de mais de 9 milhões de registros da empresa. Medtronic, que opera em 150 países e possui 90 mil funcionários, é a maior fabricante de dispositivos médicos do mundo, com receita de US$ 33,5 bilhões. A empresa afirmou que a violação não afetou seus produtos ou a segurança dos pacientes, e que as operações comerciais permaneceram inalteradas. A Medtronic destacou que suas redes de TI corporativas são separadas das redes dos clientes hospitalares, que são geridas por suas próprias equipes de TI. Apesar da falta de informações adicionais sobre o ataque, o grupo ShinyHunters listou a Medtronic entre suas vítimas, alegando ter comprometido “terabytes de dados corporativos internos” e pressionando a empresa a pagar um resgate. Atualmente, a Medtronic não está mais visível no site de vazamento de dados do ShinyHunters, e a empresa está investigando se dados pessoais foram acessados. Caso a exposição de dados de clientes seja confirmada, a Medtronic se comprometeu a notificar e oferecer suporte aos afetados.

O artigo destaca a importância de identificar sinais precoces de ataques cibernéticos, que muitas vezes são negligenciados. Em um webinar promovido pela BleepingComputer, em parceria com a Flare e a pesquisadora Tammy Harper, serão discutidas estratégias para que equipes de segurança possam detectar esses sinais antes que se tornem incidentes. Os atacantes frequentemente revelam suas intenções em espaços públicos e semi-públicos, como fóruns da dark web e canais do Telegram. Esses sinais, que incluem pedidos de credenciais e discussões sobre novas vulnerabilidades, podem oferecer insights valiosos sobre ameaças emergentes e padrões de ataque.

O grupo de cibercriminosos ShinyHunters comprometeu os sistemas da ADT, uma das maiores empresas de segurança residencial dos EUA, e roubou informações pessoais de 5,5 milhões de indivíduos. A ADT, que já havia enfrentado outras violações de dados em 2024, confirmou que a invasão ocorreu em 20 de abril e que os dados expostos incluem nomes, endereços, números de telefone e, em alguns casos, datas de nascimento e os últimos quatro dígitos de números de identificação. Importante ressaltar que informações de pagamento não foram acessadas. O ataque foi realizado através de um golpe de vishing, onde um funcionário teve sua conta de acesso único (SSO) comprometida. Após a falha na extorsão, os cibercriminosos vazaram um arquivo de 11 GB com os dados roubados em um site da dark web. O incidente destaca a crescente ameaça de ataques direcionados a contas SSO corporativas, que têm sido um alvo frequente do grupo ShinyHunters, que também alega ter atacado outras grandes empresas recentemente, como Medtronic e 7-Eleven.

Um ataque recente comprometeu o pacote elementary-data, disponível no Python Package Index (PyPI), com a versão maliciosa 0.23.3, que visava roubar dados sensíveis de desenvolvedores e carteiras de criptomoedas. O ataque foi detectado por um membro da comunidade, que alertou os mantenedores do projeto, resultando na rápida substituição do pacote por uma versão limpa (0.23.4). No entanto, os usuários que baixaram a versão maliciosa continuam vulneráveis. O pacote, utilizado por engenheiros de dados no ecossistema dbt, teve mais de 1,1 milhão de downloads mensais. A análise da StepSecurity revelou que o atacante explorou uma falha no fluxo de trabalho do projeto, injetando código malicioso através de um script do GitHub Actions, o que permitiu a execução de um código controlado pelo atacante. Isso resultou na exposição do GITHUB_TOKEN, que foi utilizado para forjar um commit assinado e acionar a liberação do pacote comprometido. O pacote malicioso incluía um arquivo que coletava informações sensíveis, como chaves SSH, credenciais de Git e arquivos de carteiras de criptomoedas. Os usuários afetados devem rotacionar suas credenciais e restaurar seus ambientes a partir de um ponto seguro.

A Comissão Federal de Comércio dos EUA (FTC) alertou sobre um aumento alarmante nas perdas financeiras decorrentes de golpes em redes sociais, que ultrapassaram R$ 2,1 bilhões em 2025. Desde 2020, os golpes originados no Facebook se destacam, com todas as faixas etárias, exceto pessoas acima de 80 anos, sendo afetadas. O relatório da FTC revelou que quase um em cada três americanos que perderam dinheiro para golpistas no último ano foram contatados por meio de plataformas sociais. Os golpistas utilizam diversas táticas, como hackeamento de contas e anúncios direcionados, para alcançar suas vítimas. Em resposta, a Meta implementou novas ferramentas de proteção contra fraudes em suas plataformas, incluindo alertas para solicitações de amizade suspeitas e sistemas avançados de detecção de golpes. O FBI também registrou mais de 1 milhão de queixas relacionadas a crimes cibernéticos, totalizando quase R$ 21 bilhões em perdas. Para se proteger, a FTC recomenda limitar quem pode ver suas postagens e pesquisar empresas antes de realizar compras.

Pesquisadores de cibersegurança identificaram 73 extensões maliciosas no repositório Open VSX do Microsoft Visual Studio Code (VS Code), associadas a uma campanha persistente de roubo de informações chamada GlassWorm. Dentre essas extensões, seis foram confirmadas como maliciosas, enquanto as demais atuam como pacotes ‘sleeper’, que enganam os usuários a baixá-las e confiar nelas antes de revelarem sua verdadeira intenção por meio de atualizações subsequentes. Publicadas no início de abril de 2026, essas extensões clonadas imitam suas contrapartes legítimas, utilizando os mesmos ícones e descrições para confundir desenvolvedores desavisados. A campanha GlassWorm v2, monitorada pela empresa de segurança Socket, já identificou mais de 320 artefatos desde dezembro de 2025. O objetivo final dos atacantes é executar malware que evite sistemas russos, roubar dados sensíveis e instalar um trojan de acesso remoto (RAT). A abordagem atual dos atacantes envolve o uso de pacotes ‘sleeper’ e dependências transitivas para evitar detecções, além de um dropper baseado em Zig que implanta uma extensão secundária do VSIX hospedada no GitHub, afetando todos os ambientes de desenvolvimento integrados (IDEs) na máquina do desenvolvedor.

O grupo hacktivista pró-Ucrânia, conhecido como PhantomCore, tem sido responsável por uma série de ataques direcionados a servidores que utilizam o software de videoconferência TrueConf na Rússia desde setembro de 2025. Segundo um relatório da Positive Technologies, os atacantes exploraram uma cadeia de três vulnerabilidades, permitindo a execução remota de comandos em servidores vulneráveis. As falhas identificadas incluem uma vulnerabilidade de controle de acesso insuficiente (BDU:2025-10114), uma falha que permite a leitura de arquivos arbitrários (BDU:2025-10115) e uma vulnerabilidade de injeção de comandos com um alto índice de severidade (BDU-2025-10116). Apesar de os patches de segurança terem sido disponibilizados em agosto de 2025, os ataques começaram a ser detectados em setembro do mesmo ano. O grupo utiliza ferramentas sofisticadas para manter a furtividade e realizar operações em larga escala, incluindo a instalação de shells web maliciosos e a coleta de credenciais. Além disso, o PhantomCore tem se mostrado ativo na busca por vulnerabilidades em softwares domésticos, o que aumenta o risco para organizações russas. Este cenário destaca a necessidade de atenção redobrada por parte das empresas, especialmente aquelas que utilizam tecnologias semelhantes ao TrueConf.

O anúncio do Claude Mythos, uma nova IA focada em cibersegurança, gerou intensos debates sobre sua capacidade de identificar vulnerabilidades em larga escala. Embora a descoberta de falhas de segurança mais rapidamente seja um avanço significativo, o artigo destaca um problema operacional crítico: a lacuna entre a descoberta e a remediação. Muitas organizações enfrentam dificuldades em transformar descobertas em ações concretas, resultando em um acúmulo de problemas não resolvidos. A IA pode acelerar a identificação de vulnerabilidades, mas se a infraestrutura organizacional não acompanhar essa velocidade, o resultado será um backlog crescente de questões críticas. Além disso, a taxa de falsos positivos gerada por sistemas como o Mythos pode aumentar a carga de trabalho das equipes de segurança, tornando a triagem e a priorização ainda mais desafiadoras. Para mitigar esses problemas, as organizações precisam de uma gestão centralizada de descobertas, priorização contextualizada de riscos e rastreamento de remediações. O artigo conclui que, em vez de entrar em pânico, as empresas devem auditar seus próprios processos de remediação e se preparar para a nova era da cibersegurança impulsionada pela IA.

Recentemente, o cenário de cibersegurança tem sido marcado pelo retorno de técnicas antigas e a introdução de novas ameaças. Um malware chamado fast16, desenvolvido antes do famoso Stuxnet, foi identificado como uma ameaça que pode manipular softwares de cálculos de alta precisão, potencialmente causando falhas em sistemas críticos. Além disso, o grupo UNC6692 tem utilizado engenharia social para implantar um malware personalizado chamado Snow, visando roubar dados sensíveis. Outro incidente relevante envolve a descoberta do backdoor FIRESTARTER, que comprometeu um dispositivo da Cisco em uma agência federal dos EUA. No setor energético, o malware Lotus Wiper foi utilizado em ataques na Venezuela, destruindo sistemas essenciais. O grupo de ransomware The Gentlemen tem se destacado por suas operações, enquanto a Bitwarden CLI foi comprometida em um ataque de cadeia de suprimentos, afetando desenvolvedores. A lista de vulnerabilidades críticas, incluindo CVEs relevantes, continua a crescer, exigindo atenção imediata das organizações para mitigar riscos.

A Checkmarx, empresa israelense de segurança cibernética, revelou que dados relacionados à companhia foram publicados na dark web por um grupo de cibercriminosos. A investigação em andamento sugere que esses dados se originaram de um repositório do GitHub da empresa, acessado durante um ataque à cadeia de suprimentos em 23 de março de 2026. A Checkmarx assegurou que o repositório afetado é mantido separadamente do ambiente de produção de seus clientes e que não contém dados de clientes. A empresa está realizando uma investigação forense para verificar a natureza e o escopo dos dados vazados, que incluem código-fonte, banco de dados de funcionários, chaves de API e credenciais do MongoDB/MySQL. A Checkmarx já bloqueou o acesso ao repositório comprometido e se comprometeu a notificar os clientes caso informações sensíveis sejam confirmadas como envolvidas. O ataque foi atribuído ao grupo LAPSUS$, que também comprometeu outras ferramentas da Checkmarx, como imagens Docker e extensões do VS Code, resultando em um impacto em cadeia que afetou pacotes como o Bitwarden CLI.

A Meta, empresa responsável por plataformas como Facebook, WhatsApp e Instagram, anunciou uma nova ferramenta que permitirá aos pais monitorar as interações de seus filhos adolescentes com o chatbot de inteligência artificial da empresa. A funcionalidade, que será acessível na aba ‘Insights’ dentro da Supervisão Para Contas de Adolescente, mostrará os tópicos discutidos pelos adolescentes com a IA nos últimos sete dias. Os temas incluem escola, entretenimento, saúde e bem-estar, entre outros. Essa medida visa aumentar a segurança dos jovens, especialmente em relação a discussões sobre temas sensíveis como suicídio e autoflagelação, que já eram monitorados anteriormente. A nova funcionalidade está sendo lançada inicialmente em países como Brasil, Austrália, Canadá, Estados Unidos e Reino Unido, com planos de expansão global. A Meta também enfrenta críticas e processos legais por criar experiências viciantes e por falhas em proteger crianças em suas plataformas, tendo sido multada em US$ 375 milhões por não impedir a exploração infantil. Para mitigar esses problemas, a empresa formou um Conselho de Especialistas em Bem-Estar na IA, que tem a responsabilidade de garantir que as experiências oferecidas sejam seguras e apropriadas para os adolescentes.

Pesquisadores de cibersegurança revelaram uma campanha de fraude em telecomunicações que utiliza truques de verificação CAPTCHA falsos para enganar usuários desavisados a enviar mensagens de texto internacionais, resultando em cobranças em suas contas de celular. De acordo com um relatório da Infoblox, a operação está ativa desde junho de 2020 e envolve engenharia social e sequestro do botão ‘voltar’ em navegadores. A fraude, conhecida como International Revenue Share Fraud (IRSF), utiliza números de telefone registrados em países com altas taxas de terminação e colaborações com provedores locais para maximizar os lucros. Os usuários são redirecionados para páginas falsas que solicitam o envio de SMS para ‘confirmar que são humanos’, resultando em cobranças de até $30 por até 60 mensagens enviadas a 15 números diferentes. A campanha também se aproveita de cookies para rastrear o progresso dos usuários e utiliza técnicas de redirecionamento para manter as vítimas presas em um ciclo de navegação. Essa operação prejudica tanto os indivíduos, que enfrentam cobranças inesperadas, quanto as operadoras de telecomunicações, que arcam com as perdas decorrentes de disputas de clientes.

O Kayo Sports é um serviço de streaming australiano que oferece mais de 50 esportes ao vivo e sob demanda, sendo considerado o ‘Netflix dos esportes’ na Austrália. No entanto, o acesso ao Kayo é restrito geograficamente, o que significa que usuários fora da Austrália não conseguem acessar seu conteúdo devido a acordos de licenciamento. Para contornar essa limitação, é recomendado o uso de uma VPN, como a NordVPN, que permite desbloquear o serviço e assistir normalmente de qualquer lugar do mundo. Para começar a usar o Kayo, é necessário criar uma conta no site oficial, o que requer um número de telefone australiano. O serviço oferece uma opção gratuita, Kayo Freebies, além de planos pagos que variam de $29,99 a $45,99 por mês, com uma avaliação gratuita de 7 dias disponível apenas para usuários com IP australiano. O Kayo Sports cobre uma ampla gama de esportes, incluindo críquete, F1, basquete, golfe e muito mais, mas não inclui algumas competições populares como a Premier League de futebol. O serviço é compatível com diversos dispositivos, incluindo smartphones, consoles de jogos e smart TVs.

Os pixels de rastreamento são pequenos códigos invisíveis embutidos em sites, e-mails e anúncios que coletam dados sobre o comportamento dos usuários na internet. Embora sua principal função seja ajudar empresas a direcionar publicidades de forma mais eficaz, sua utilização levanta sérias preocupações sobre a privacidade dos indivíduos. Recentemente, empresas como Meta e TikTok foram acusadas de coletar dados além do consentimento dos usuários, incluindo informações sensíveis como números de cartões de crédito e geolocalização, mesmo quando o usuário se opõe ao compartilhamento de dados. Essa prática, que envolve a injeção de scripts maliciosos, é um exemplo claro de como a coleta de dados pode ultrapassar limites éticos e legais. Além disso, a diferença entre pixels de rastreamento e cookies é importante: enquanto os pixels enviam dados diretamente para servidores, os cookies armazenam informações no navegador do usuário. A coleta não consentida de dados é uma violação da Lei Geral de Proteção de Dados (LGPD) no Brasil, o que torna a questão ainda mais crítica para as empresas que operam no país. Para se proteger, os usuários devem estar atentos aos banners de consentimento e considerar o uso de ferramentas que bloqueiem rastreadores.

A empresa de tecnologia para utilidades Itron, Inc. confirmou que um terceiro não autorizado acessou alguns de seus sistemas internos durante um ciberataque. A detecção da atividade ocorreu em abril de 2026, levando a empresa a ativar seu plano de resposta a incidentes de cibersegurança, notificar as autoridades policiais e envolver consultores externos para investigar e conter a situação. A Itron, que fornece produtos e serviços para gestão de recursos de energia e água, afirmou que a atividade não causou interrupções significativas em suas operações e que não espera impactos futuros. A empresa também indicou que a maioria dos custos relacionados ao incidente deverá ser coberta por seguros. Embora a investigação ainda esteja em andamento, a Itron assegurou que a atividade não afetou seus clientes. Até o momento, nenhum grupo de ransomware reivindicou a responsabilidade pelo ataque. A empresa, com sede em Washington, é listada na NASDAQ e atende a 7.700 clientes em 100 países, gerenciando 112 milhões de pontos finais.

A Microsoft anunciou uma reformulação do programa Windows Insider, visando melhorar a experiência dos usuários que testam versões beta do Windows 11. O programa, que até então apresentava uma estrutura confusa com múltiplos canais, agora será simplificado em apenas dois: ‘Experimental’ e ‘Beta’. O canal Experimental permitirá acesso a recursos em desenvolvimento, enquanto o Beta disponibilizará novas funcionalidades imediatamente após seu anúncio. A mudança busca resolver a frustração dos usuários que frequentemente não tinham acesso a recursos prometidos devido ao método de lançamento gradual da Microsoft. Além disso, os usuários poderão ativar manualmente recursos experimentais através das configurações do Windows. A transição para os novos canais será feita em fases, começando pelos usuários do canal Dev, que serão movidos para o Experimental. A Microsoft também introduziu novas funcionalidades na atualização do Windows, como a possibilidade de pausar atualizações e evitar reinicializações forçadas. Essas mudanças visam não apenas melhorar a experiência do usuário, mas também aumentar a colaboração entre a Microsoft e os testadores, permitindo um feedback mais eficaz.

O LAPSUS$ é um grupo de hackers que ganhou notoriedade internacional desde 2020, especialmente por seus ataques a grandes empresas de tecnologia, como Microsoft e Nvidia. Com uma abordagem agressiva, o grupo se destaca por roubar códigos-fonte e dados sensíveis, utilizando táticas de engenharia social para obter acesso legítimo aos sistemas das vítimas. Em 2022, o LAPSUS$ invadiu a Microsoft, acessando 37 GB de dados, e a Nvidia, de onde extraiu 1 TB de informações. O grupo também atacou o Ministério da Saúde do Brasil em 2021, comprometendo dados relacionados à vacinação contra a Covid-19. A maioria dos membros do LAPSUS$ é composta por adolescentes, o que surpreendeu as autoridades durante as investigações. Apesar de algumas prisões e esforços para desmantelar a organização, o LAPSUS$ continua ativo, como evidenciado pelo recente ataque à AstraZeneca, onde 3 GB de dados foram roubados. As empresas devem redobrar a atenção em suas práticas de segurança, especialmente em relação à proteção de credenciais e à mitigação de riscos associados à engenharia social.

O grupo de ameaças conhecido como UNC6692 tem utilizado táticas de engenharia social para implantar uma nova suíte de malware chamada “Snow”, que inclui uma extensão de navegador, um tunneler e um backdoor. O objetivo principal é roubar dados sensíveis após comprometer profundamente a rede, utilizando técnicas de roubo de credenciais e tomada de domínio. Pesquisadores da Mandiant, da Google, relataram que os atacantes empregam táticas de “email bombing” para criar um senso de urgência, contatando as vítimas via Microsoft Teams, se passando por agentes de suporte de TI.

A Agência de Segurança Cibernética e Infraestrutura dos EUA (CISA) incluiu quatro novas vulnerabilidades em seu catálogo de Vulnerabilidades Conhecidas e Exploradas (KEV), afetando o software SimpleHelp, o servidor Samsung MagicINFO 9 e os roteadores D-Link DIR-823X. As falhas, que apresentam pontuações CVSS variando de 7.2 a 9.9, permitem que atacantes escalem privilégios, executem comandos arbitrários e realizem uploads de arquivos maliciosos. A vulnerabilidade CVE-2024-57726, por exemplo, permite que técnicos com baixos privilégios criem chaves de API com permissões excessivas, enquanto a CVE-2024-57728 possibilita o upload de arquivos em locais não autorizados, potencialmente executando código malicioso. Além disso, a CVE-2024-7399 no Samsung MagicINFO 9 Server e a CVE-2025-29635 nos roteadores D-Link também foram identificadas como vetores de ataque ativos, com ligações a campanhas de ransomware e botnets, como a Mirai. A CISA recomenda que as agências federais apliquem correções ou descontinuem o uso dos dispositivos afetados até 8 de maio de 2026 para mitigar os riscos.

Pesquisadores de cibersegurança da SentinelOne descobriram um novo malware baseado em Lua, denominado fast16, que remonta a 2005, antes do famoso worm Stuxnet. Este malware foi projetado para sabotar programas de cálculo de alta precisão, introduzindo erros sistemáticos em cálculos físicos, o que poderia comprometer pesquisas científicas e sistemas de engenharia. O fast16 combina um módulo de carregamento adaptável com um driver de kernel que altera a execução de código, visando especificamente softwares utilizados em engenharia civil e simulações físicas. A análise revelou que o malware poderia se propagar em redes vulneráveis, explorando credenciais fracas. O fast16 é considerado o primeiro malware do Windows a incorporar um motor Lua, e sua descoberta sugere que operações de sabotagem cibernética já estavam em desenvolvimento antes de Stuxnet. Essa revelação força uma reavaliação da linha do tempo das operações de sabotagem cibernética apoiadas por estados, especialmente em relação ao programa nuclear do Irã, que já foi alvo de ataques cibernéticos anteriores. A presença de referências a ferramentas de ataque associadas à NSA também levanta questões sobre a origem e o propósito desse malware.

A gigante de segurança residencial ADT confirmou um vazamento de dados após o grupo de extorsão ShinyHunters ameaçar divulgar informações roubadas caso um resgate não fosse pago. A empresa detectou acesso não autorizado a dados de clientes e potenciais clientes em 20 de abril, encerrando a intrusão e iniciando uma investigação. Os dados comprometidos incluem nomes, números de telefone e endereços, com um pequeno percentual de casos envolvendo datas de nascimento e os últimos quatro dígitos de números de Seguro Social ou IDs fiscais. Importante ressaltar que informações de pagamento, como contas bancárias ou cartões de crédito, não foram acessadas, e os sistemas de segurança dos clientes não foram comprometidos. O grupo ShinyHunters alegou ter roubado 10 milhões de registros e utilizou um ataque de phishing por voz (vishing) para comprometer a conta de um funcionário da ADT. Este incidente destaca a crescente ameaça de ataques direcionados a contas de acesso único (SSO) em empresas, com implicações significativas para a segurança de dados e a conformidade com a LGPD no Brasil.

Com a proximidade da Copa do Mundo de 2026, golpistas estão aproveitando a oportunidade para aplicar fraudes online, especialmente relacionadas à venda de figurinhas e álbuns do evento. Um estudo da Kaspersky revelou a existência de pelo menos 20 domínios falsos que imitam a marca da FIFA, oferecendo produtos a preços muito abaixo do mercado. Por exemplo, um site fraudulento anuncia pacotes de figurinhas por R$ 34,90, enquanto o preço oficial é de R$ 70. Esses sites são projetados para parecerem legítimos, com elementos como frete grátis e uma falsa central de atendimento. O pagamento é solicitado via Pix, direcionando os valores para contas laranja em fintechs. Os golpistas utilizam técnicas de engenharia social, explorando a emoção dos fãs e criando um senso de urgência para induzir pagamentos rápidos. Especialistas alertam que a tendência é que esses golpes se tornem ainda mais sofisticados à medida que a Copa se aproxima. Para evitar cair nessas fraudes, recomenda-se visitar apenas canais oficiais da FIFA, evitar links suspeitos e verificar a autenticidade dos domínios.

O avanço da computação quântica representa um desafio significativo para a cibersegurança, colocando em risco a eficácia da criptografia tradicional que protege dados sensíveis, como senhas e informações bancárias. Especialistas do CESAR e do Banco do Brasil discutiram esses riscos em um evento recente, destacando que a computação quântica pode tornar obsoletos algoritmos como RSA e ECC, que são fundamentais para a segurança digital atual. A expectativa é que, até 2029, a computação quântica atinja um nível de maturidade capaz de comprometer protocolos de segurança em larga escala. Um dos pontos críticos abordados foi o ataque HNDL, onde dados são coletados hoje para serem decifrados futuramente, quando a tecnologia quântica estiver plenamente desenvolvida. Além dos riscos, os especialistas também discutiram as oportunidades que a computação quântica pode trazer, como a melhoria na eficiência de processos de inteligência artificial. O debate ressaltou a importância de uma transição para modelos de segurança ‘Quantum-Safe’ e a necessidade urgente de formação de profissionais capacitados nessa nova interface entre física e computação.

Uma nova vulnerabilidade, chamada Pack2TheRoot, foi identificada no daemon PackageKit, permitindo que usuários locais do Linux instalem ou removam pacotes do sistema e adquiram permissões de root. Classificada como CVE-2026-41651, a falha possui uma severidade alta, com nota de 8.8 em 10, e está presente no PackageKit há quase 12 anos. A vulnerabilidade foi descoberta pela equipe de segurança da Deutsche Telekom e afeta diversas distribuições Linux, incluindo Ubuntu, Debian e Fedora. A falha permite que comandos como ‘pkcon install’ sejam executados sem autenticação em certas condições, o que possibilita a instalação de pacotes de sistema sem permissão adequada. A versão 1.3.5 do PackageKit, que corrige essa falha, já está disponível, e os usuários são aconselhados a atualizá-la imediatamente. A vulnerabilidade pode ser explorada em várias distribuições que utilizam o PackageKit, e a falta de um patch pode deixar os sistemas vulneráveis a ataques. A equipe de pesquisa também observou que a exploração pode causar falhas no daemon, resultando em registros de erro que podem ser monitorados. Portanto, é crucial que os administradores de sistemas verifiquem suas versões do PackageKit e apliquem as atualizações necessárias.

A Microsoft anunciou que, a partir do final de abril, começará a implementar o suporte a chaves de acesso para autenticação sem senha e resistente a phishing em recursos protegidos pelo Microsoft Entra em dispositivos Windows. A funcionalidade deve estar disponível para o público geral até junho de 2026 e se estenderá a dispositivos Windows não gerenciados. As chaves de acesso permitirão que usuários criem chaves vinculadas ao dispositivo, armazenadas no contêiner do Windows Hello, e autentiquem-se usando métodos como reconhecimento facial, impressão digital ou PIN. Isso visa fortalecer a segurança e reduzir a dependência de senhas em cenários que envolvem dispositivos corporativos, pessoais e compartilhados. A nova funcionalidade estará disponível para organizações que habilitarem o ‘Microsoft Entra ID com chaves de acesso’ nas políticas de métodos de autenticação, desde que as políticas de Acesso Condicional permitam. As chaves de acesso são criptograficamente vinculadas a cada dispositivo e não são transmitidas pela rede, o que dificulta a ação de atacantes em casos de phishing ou malware. Essa atualização surge em um contexto de crescente ataque a contas de SSO do Microsoft Entra, evidenciando a necessidade de medidas de segurança mais robustas.

Um novo grupo de hackers, conhecido como BlackFile, tem sido associado a uma série de ataques de roubo de dados e extorsão direcionados a organizações de varejo e hospitalidade desde fevereiro de 2026. O grupo, que também é rastreado como CL-CRI-1116 e UNC6671, utiliza técnicas de engenharia social, como o vishing, para se passar por funcionários de suporte técnico e obter credenciais de funcionários. Os ataques começam com ligações de números falsificados, levando os funcionários a páginas de login falsas onde são solicitadas suas credenciais e códigos de acesso temporários.

A Microsoft está implementando melhorias nas atualizações do Windows, oferecendo aos usuários maior controle sobre a instalação de atualizações e reduzindo interrupções causadas por reinicializações frequentes. As mudanças, que estão sendo disponibilizadas para os Windows Insiders, surgem em resposta a feedbacks que destacaram problemas como a interrupção de fluxos de trabalho e a falta de controle sobre o momento das atualizações. Entre as novas funcionalidades, destaca-se a possibilidade de pausar atualizações por até 35 dias, com a opção de escolher uma data específica para isso. Além disso, o menu de energia agora separa as opções de desligamento e reinicialização das ações relacionadas a atualizações, permitindo que os usuários desliguem ou reiniciem seus dispositivos sem que atualizações sejam instaladas. A Microsoft também está tornando mais claro quais drivers estão sendo oferecidos nas atualizações, identificando o tipo de dispositivo diretamente no título da atualização. Por fim, a empresa está consolidando diferentes tipos de atualizações em uma única reinicialização mensal, o que deve diminuir a frequência de reboots necessários. Essas melhorias visam proporcionar uma experiência de usuário mais fluida e menos intrusiva, mantendo a segurança dos dispositivos.

Agências de cibersegurança dos EUA e do Reino Unido emitiram um alerta sobre um malware personalizado chamado Firestarter, que persiste em dispositivos Cisco Firepower e Secure Firewall que utilizam o software Adaptive Security Appliance (ASA) ou Firepower Threat Defense (FTD). O malware, atribuído a um ator de ameaças conhecido como UAT-4356, é utilizado em campanhas de ciberespionagem e permite acesso remoto contínuo mesmo após a aplicação de patches. A vulnerabilidade inicial explorada foi identificada como CVE-2025-20333, relacionada a uma falha de autorização, e CVE-2025-20362, um bug de estouro de buffer.

A Agência de Segurança Cibernética e Infraestrutura dos EUA (CISA) revelou que um dispositivo Cisco Firepower de uma agência federal foi comprometido em setembro de 2025 por um malware chamado FIRESTARTER. Este malware é considerado uma backdoor que permite acesso remoto e controle, sendo parte de uma campanha de um ator de ameaça persistente avançada (APT). O ataque explorou vulnerabilidades críticas, como CVE-2025-20333 e CVE-2025-20362, que já foram corrigidas, mas dispositivos comprometidos antes da aplicação dos patches permanecem vulneráveis. O FIRESTARTER pode persistir mesmo após atualizações de firmware, manipulando a sequência de inicialização do dispositivo. Além disso, um kit de ferramentas pós-exploração chamado LINE VIPER foi utilizado para executar comandos e capturar pacotes. A Cisco recomenda a reimagens dos dispositivos afetados para remover completamente o malware. O incidente destaca a crescente complexidade das redes de ataque, especialmente com a utilização de dispositivos IoT e roteadores comprometidos por grupos patrocinados pelo estado, como os hackers chineses. Isso levanta preocupações sobre a segurança de infraestruturas críticas e a necessidade de vigilância constante.

O sistema de pagamentos instantâneos Pix, amplamente utilizado no Brasil, tem sido alvo de diversos golpes que exploram a pressa e a confiança dos usuários. Os criminosos utilizam QR codes adulterados, que podem ser colados sobre códigos legítimos em lojas, ou enviam links de pagamento via mensagens, muitas vezes com urgência, para induzir a transferência de valores. A engenharia social é uma tática comum, onde golpistas se passam por conhecidos ou representantes de empresas, criando histórias convincentes para justificar a solicitação de um Pix. Para evitar cair nesses golpes, é fundamental verificar sempre o nome e o CPF ou CNPJ do recebedor, além de confirmar o valor da transação. Caso a vítima caia em um golpe, o Banco Central recomenda que a pessoa entre em contato com o banco imediatamente e registre a ocorrência, pois há mecanismos para tentar recuperar o valor perdido. A conscientização e a cautela são essenciais para garantir a segurança nas transações financeiras digitais.

Pesquisadores do Citizen Lab revelaram que dois grupos de vigilância estão explorando falhas na infraestrutura global de telecomunicações para rastrear a localização de usuários de celulares. Os ataques utilizam sistemas de sinalização, como SS7 e Diameter, que são essenciais para a comunicação entre operadoras. A primeira campanha visou um alvo de alto perfil, enquanto a segunda enviou mensagens SMS invisíveis que coletavam informações de localização sem o conhecimento do usuário. O mais alarmante é que esses ataques não dependem de malware ou ações do usuário, podendo ser realizados simplesmente comprometendo a rede móvel. Além disso, o uso de VPNs não oferece proteção contra esses tipos de rastreamento, pois os ataques operam em um nível diferente da conexão de internet. Embora esses ataques pareçam direcionados a indivíduos de alto perfil, a falta de medidas de proteção efetivas para o público em geral levanta preocupações sobre a segurança das comunicações móveis. Para indivíduos em risco, a única solução viável é desativar as conexões celulares e usar apenas Wi-Fi.

A Microsoft anunciou que os administradores de TI agora podem desinstalar o assistente digital Copilot, impulsionado por inteligência artificial, de dispositivos empresariais através de uma nova configuração de política. Essa funcionalidade se tornou amplamente disponível após o Patch Tuesday de abril de 2026. A política RemoveMicrosoftCopilotApp está disponível como Policy CSP e Group Policy, após a implementação das atualizações de segurança do Windows deste mês em dispositivos gerenciados pelo Microsoft Intune ou System Center Configuration Manager (SCCM). Essa política se aplica apenas a dispositivos Windows 11 25H2 onde o Microsoft 365 Copilot e o Microsoft Copilot estão instalados, e o aplicativo não foi iniciado nos últimos 28 dias. A Microsoft afirmou que essa configuração permite a desinstalação do Copilot de forma não disruptiva, permitindo que os usuários reinstalem o aplicativo se desejarem. Para habilitar a política, os administradores devem acessar o Editor de Política de Grupo. Além disso, a Microsoft interrompeu a instalação automática do aplicativo Microsoft 365 Copilot em dispositivos Windows com clientes de desktop do Microsoft 365, embora não tenha esclarecido os motivos dessa pausa. A empresa também está cancelando planos de lançar outras funcionalidades do Copilot que integrariam o assistente em notificações do sistema e no Explorador de Arquivos.

Mais de 10.000 instâncias do Zimbra Collaboration Suite (ZCS) estão expostas online e vulneráveis a ataques que exploram uma falha de segurança de cross-site scripting (XSS), conforme relatado pela organização de segurança sem fins lucrativos Shadowserver. O Zimbra é um software de e-mail e colaboração amplamente utilizado, incluindo por diversas agências governamentais e empresas ao redor do mundo. A vulnerabilidade, identificada como CVE-2025-48700, afeta as versões 8.8.15, 9.0, 10.0 e 10.1 do ZCS, permitindo que atacantes não autenticados acessem informações sensíveis ao executar JavaScript arbitrário na sessão do usuário. A Synacor, responsável pelo Zimbra, lançou patches de segurança em junho de 2025, alertando que a exploração da falha não requer interação do usuário e pode ser ativada ao visualizar um e-mail malicioso. A CISA (Agência de Segurança Cibernética e Infraestrutura dos EUA) incluiu a CVE-2025-48700 em seu catálogo de vulnerabilidades conhecidas exploradas, exigindo que agências federais protejam seus servidores Zimbra em um prazo de três dias. A maioria dos servidores vulneráveis está localizada na Ásia e na Europa, com um número significativo ainda sem correção. Além disso, a exploração de falhas do Zimbra tem sido uma tática comum em ataques cibernéticos, incluindo campanhas de phishing direcionadas a entidades governamentais ucranianas.

O artigo de Eirik Salmi destaca a crescente preocupação com a segurança das credenciais em instituições financeiras, especialmente após a implementação do Digital Operational Resilience Act (DORA) na União Europeia. De acordo com o relatório da IBM sobre o custo de vazamentos de dados, os atacantes podem permanecer em redes por uma média de 186 dias antes de serem detectados, causando danos operacionais significativos. O DORA, que entrou em vigor em 17 de janeiro de 2025, estabelece que a segurança das credenciais é uma obrigação legal, exigindo autenticação forte e acesso com privilégios mínimos. O artigo detalha os requisitos do Artigo 9 do DORA, que inclui a implementação de políticas de autenticação robustas e a gestão de chaves criptográficas. Além disso, enfatiza a importância de ferramentas de gerenciamento de acesso privilegiado (PAM) e a necessidade de proteger não apenas as credenciais internas, mas também as de fornecedores terceirizados, como evidenciado pelo ataque à Santander em 2024. O artigo conclui que a conformidade com o DORA é crucial para a continuidade operacional e a mitigação de riscos regulatórios.

Pesquisadores de cibersegurança descobriram um conjunto de aplicativos maliciosos na Apple App Store que se passam por carteiras de criptomoedas populares, com o objetivo de roubar frases de recuperação e chaves privadas desde o outono de 2025. Esses aplicativos, conhecidos como FakeWallet, imitam carteiras como Bitpie, Coinbase e MetaMask, e redirecionam os usuários para páginas de navegador que se assemelham à App Store, distribuindo versões trojanizadas de carteiras legítimas. Embora muitos desses aplicativos tenham sido removidos pela Apple após a divulgação, a campanha representa uma evolução nas táticas de roubo de criptomoedas, pois os aplicativos estão disponíveis para download diretamente da App Store, especialmente para usuários com contas configuradas para a China. Os atacantes utilizam ícones semelhantes aos originais, mas com erros de digitação intencionais nos nomes para enganar os usuários. Além disso, a campanha pode estar ligada a um grupo de ameaças que já atuou anteriormente, utilizando técnicas sofisticadas de phishing para capturar frases mnemônicas e comprometer carteiras de criptomoedas. A situação é preocupante, pois o roubo de ativos digitais pode ter consequências financeiras significativas para os usuários.

O Escritório do Inspetor Geral (OIG) da NASA revelou um caso de espionagem cibernética onde um cidadão chinês, Song Wu, se fez passar por pesquisador americano para obter informações sensíveis da agência espacial, além de universidades e empresas privadas. A campanha de spear-phishing, que ocorreu entre janeiro de 2017 e dezembro de 2021, visou dezenas de professores e engenheiros dos EUA, incluindo funcionários da NASA e das Forças Armadas. Song, que trabalhava para a Aviation Industry Corporation of China (AVIC), utilizou táticas de engenharia social para se infiltrar em redes de pesquisa, solicitando software de modelagem usado em design aeroespacial e desenvolvimento de armamentos. O OIG destacou que muitos dos alvos não perceberam que estavam violando leis de controle de exportação ao compartilhar informações com contas falsas gerenciadas por Song. Ele foi indiciado por fraude eletrônica e roubo de identidade, enfrentando até 20 anos de prisão por cada acusação. O FBI incluiu Song na lista dos mais procurados, alertando que o software obtido poderia ter aplicações militares e industriais. O OIG também alertou sobre sinais comuns de fraudes de exportação que podem ajudar a identificar campanhas de phishing.

Uma vulnerabilidade de alta severidade foi identificada no LMDeploy, um toolkit de código aberto para compressão e implantação de modelos de linguagem, e já está sendo ativamente explorada. A falha, classificada como CVE-2026-33626 com um score CVSS de 7.5, refere-se a uma vulnerabilidade de Server-Side Request Forgery (SSRF) que permite o acesso a dados sensíveis. O problema reside na função load_image() que não valida endereços IP internos, possibilitando que atacantes acessem serviços de metadados em nuvem e redes internas. A exploração bem-sucedida pode permitir o roubo de credenciais de nuvem e a movimentação lateral em redes internas. A empresa Sysdig detectou a primeira tentativa de exploração em um sistema honeypot apenas 12 horas após a divulgação da vulnerabilidade, com o atacante realizando uma varredura de portas em serviços internos. Este incidente destaca a rapidez com que as vulnerabilidades estão sendo exploradas, especialmente em um contexto onde a inteligência artificial está acelerando a criação de exploits. Além disso, outras vulnerabilidades em plugins do WordPress e dispositivos Modbus também estão sendo alvo de ataques, evidenciando um cenário de ameaças em expansão.

Uma nova campanha de cibersegurança está direcionando usuários de língua chinesa, utilizando uma versão trojanizada do leitor SumatraPDF para implantar o agente AdaptixC2 Beacon. A Zscaler ThreatLabz, que identificou a campanha, atribui-a com alta confiança ao grupo de hackers Tropic Trooper, ativo desde 2011 e conhecido por atacar entidades em Taiwan, Hong Kong e Filipinas. O ataque começa com um arquivo ZIP contendo documentos com temas militares que, ao serem abertos, lançam o SumatraPDF modificado. Este executável exibe um PDF falso enquanto busca código shell criptografado de um servidor de preparação, ativando o AdaptixC2 Beacon. O loader, uma variante do malware Xiangoop, é responsável por iniciar um ataque em múltiplas etapas, utilizando o GitHub como plataforma de comando e controle. Quando a vítima é considerada valiosa, o ator da ameaça instala o Visual Studio Code e configura túneis para acesso remoto. O servidor de preparação também foi observado hospedando um Cobalt Strike Beacon e um backdoor chamado EntryShell, ambos utilizados anteriormente pelo Tropic Trooper. Essa campanha representa uma ameaça significativa, especialmente para indivíduos e organizações na região asiática.

Uma nova variante do malware Mirai está ameaçando roteadores D-Link da série DIR-823-X, permitindo que hackers assumam o controle dos dispositivos sem aviso. A vulnerabilidade, identificada pela empresa de segurança Akamai, foi detectada pela primeira vez em março de 2026 e se baseia em uma injeção de comandos que foi descoberta há 13 meses. Os pesquisadores Wang Jinshuai e Zhao Jiangting publicaram uma prova de conceito da falha, que posteriormente foi removida. As versões de firmware 240126 e 24082 estão especialmente vulneráveis, permitindo a execução de comandos remotos não autorizados. O ataque ocorre quando pedidos manipulados são enviados a um ponto de acesso vulnerável, resultando na instalação do malware tuxnokill, que transforma o roteador em um botnet para ataques DDoS. A D-Link não oferece mais suporte para esses modelos desde novembro de 2024, tornando a situação ainda mais crítica. Especialistas recomendam a substituição dos roteadores antigos ou, se isso não for possível, a desativação do acesso remoto e a mudança de senhas padrão.

Durante o Google Cloud Next 2026, a gigante da tecnologia apresentou inovações na aplicação de inteligência artificial (IA) para a segurança digital. A aquisição da Wiz, uma empresa de segurança em nuvem, por US$ 32 bilhões, destaca a importância da automação na identificação e resposta a riscos em ambientes complexos. Yinon Costica, cofundador da Wiz, e Francis deSouza, COO do Google Cloud, discutiram como agentes de IA estão sendo utilizados para automatizar processos que antes eram manuais, como a descoberta de vulnerabilidades e a resposta a incidentes. A automação permite que as empresas lidem com um volume maior de riscos sem a necessidade de expandir suas equipes. Além disso, a integração de soluções em ambientes multicloud apresenta novos desafios, exigindo visibilidade e controle em múltiplas plataformas. A IA não apenas identifica problemas, mas também pode iniciar correções, acelerando o tempo de resposta. A capacidade das empresas de usar seu próprio contexto para antecipar ameaças é vista como uma vantagem estratégica. Com a evolução da IA, a segurança digital se torna um processo contínuo e integrado às operações de negócios, ressaltando que a proteção de sistemas e dados é essencial para a estratégia empresarial.

Recentemente, ataques de ransomware Trigona têm utilizado uma ferramenta personalizada chamada ‘uploader_client.exe’ para exfiltração de dados em ambientes comprometidos. Essa ferramenta, que se conecta a um servidor com endereço fixo, foi projetada para operar de forma mais eficiente e rápida, permitindo até cinco conexões simultâneas por arquivo e rotacionando conexões TCP após 2GB de tráfego, a fim de evitar a detecção. Além disso, ela permite a exfiltração seletiva de tipos de arquivos, excluindo mídias de baixo valor. Os ataques, que começaram em outubro de 2022, exigem pagamentos em criptomoeda Monero e, apesar de uma interrupção temporária em outubro de 2023 por ativistas cibernéticos ucranianos, os operadores do ransomware parecem ter retomado suas atividades. A Symantec, que analisou esses ataques, observou que os invasores instalam ferramentas como HRSword para desativar produtos de segurança e utilizam programas como AnyDesk para acesso remoto. A empresa também disponibilizou indicadores de comprometimento (IoCs) para auxiliar na detecção e bloqueio dessas ameaças.

Recentemente, o Bitwarden confirmou que seu pacote CLI no npm foi comprometido por um ataque que resultou na distribuição de uma versão maliciosa (2026.4.0) entre 22 de abril de 2026, das 17h57 às 19h30 ET. O ataque, que utilizou um GitHub Action comprometido, injetou um código malicioso que coletava credenciais sensíveis, como tokens do npm e chaves SSH, de sistemas infectados. O malware, que se autopropraga, armazenava dados coletados em repositórios públicos no GitHub da vítima, utilizando uma string de referência a ataques anteriores. O Bitwarden assegurou que não houve acesso aos dados dos usuários finais e que as medidas corretivas foram tomadas imediatamente após a detecção do problema. Este incidente destaca a vulnerabilidade das cadeias de suprimentos de software e a necessidade de vigilância constante em ambientes de desenvolvimento, especialmente em CI/CD, onde as credenciais podem ser reutilizadas para expandir ataques. Desenvolvedores que instalaram a versão afetada devem considerar suas credenciais como comprometidas e realizar a rotação imediata das mesmas.

Hackers estão explorando ativamente uma vulnerabilidade crítica no plugin Breeze Cache para WordPress, que permite o upload de arquivos arbitrários no servidor sem autenticação. A falha, identificada como CVE-2026-3844, já foi utilizada em mais de 170 tentativas de exploração, conforme relatado pela solução de segurança Wordfence. O plugin, desenvolvido pela Cloudways, possui mais de 400 mil instalações ativas e é projetado para melhorar o desempenho do site através de cache e otimização de arquivos. A vulnerabilidade recebeu uma pontuação de severidade crítica de 9.8 em 10 e foi descoberta pelo pesquisador de segurança Hung Nguyen. O problema se origina da falta de validação do tipo de arquivo na função ‘fetch_gravatar_from_remote’, permitindo que um atacante não autenticado faça o upload de arquivos, o que pode levar à execução remota de código e à tomada total do site. A exploração bem-sucedida só é possível se o complemento ‘Host Files Locally - Gravatars’ estiver ativado, o que não é a configuração padrão. A Cloudways corrigiu a falha na versão 2.4.5, lançada recentemente. Os administradores de sites que utilizam o Breeze Cache devem atualizar para a versão mais recente ou desativar temporariamente o plugin para evitar riscos.