O recente lançamento do Anthropic Mythos destaca a evolução dos agentes de IA, que agora atuam como funcionários autônomos com acesso a bancos de dados e sistemas críticos. No entanto, a segurança que protege esses agentes ainda se baseia em estratégias que falharam anteriormente, como demonstrado pelos jailbreaks do ChatGPT em 2023. A autonomia desses agentes, combinada com o acesso privilegiado e a velocidade de execução, aumenta significativamente a superfície de ataque, tornando as defesas tradicionais insuficientes. O artigo enfatiza a necessidade de uma mudança fundamental na abordagem de segurança, sugerindo que as empresas adotem controles de segurança em nível de hardware, além das camadas de software. A recente vulnerabilidade crítica (CVE-2025-49596) que emergiu em um curto período após a implementação do Modelo Context Protocol (MCP) exemplifica a urgência dessa mudança. A segurança deve ir além da camada de aplicação, incorporando um ‘Hardware Root of Trust’ para proteger dados sensíveis e evitar que brechas se transformem em compromissos totais do sistema. Com o aumento do uso de agentes de IA, é crucial que as empresas reavaliem suas estratégias de segurança para garantir a proteção adequada contra essas novas ameaças.

Cameron Curry, um ex-analista de dados da Brightly Software, foi condenado a dois anos de prisão por um esquema de extorsão cibernética que visava sua antiga empresa. Após ter seu contrato de seis meses não renovado, Curry acessou informações sensíveis da empresa, incluindo dados de folha de pagamento e informações pessoais de funcionários. Entre 11 de dezembro de 2023 e 24 de janeiro de 2024, ele enviou e-mails ameaçando divulgar essas informações a menos que fosse pago um resgate de US$ 2,5 milhões em criptomoeda. Em um dos e-mails, ele alegou que a empresa enfrentava discrepâncias financeiras significativas e que a divulgação dos dados poderia causar um ambiente de trabalho hostil. A Brightly, após receber as ameaças, pagou US$ 7.540 em Bitcoin antes de relatar o incidente às autoridades. O FBI investigou o caso e encontrou evidências que ligavam Curry ao esquema. Este incidente destaca a vulnerabilidade das empresas a ataques internos e a importância de medidas de segurança robustas para proteger dados sensíveis.

Recentemente, usuários de iPhones começaram a receber notificações de ameaça da Apple, alertando sobre ataques de spyware mercenário. Essas notificações, enviadas em 13 de agosto, não são novas, mas indicam que a Apple detectou ataques altamente direcionados, possivelmente relacionados ao spyware Pegasus, embora a empresa não identifique o spyware específico em cada alerta. Desde 2021, a Apple tem enviado essas notificações a usuários em mais de 150 países, com foco em alvos como jornalistas, ativistas e políticos. A Apple afirma que esses ataques são caros e sofisticados, visando um número muito restrito de indivíduos. As notificações são consideradas alertas de alta confiança, e a empresa recomenda que os usuários as levem a sério, pois indicam que o alvo foi individualmente escolhido. Para verificar a autenticidade da notificação, a Apple orienta que os usuários não cliquem em links ou forneçam informações pessoais. Caso um usuário acredite ter sido afetado, a Apple sugere ativar o Modo de Bloqueio e consultar um especialista em cibersegurança.

Um ataque cibernético inédito, utilizando inteligência artificial autônoma, foi realizado contra Taiwan, comprometendo 85 contas governamentais e roubando mais de 2.500 registros de pessoal. O ataque, que durou quatro dias, empregou oito modelos de IA de código aberto para realizar reconhecimento e intrusão de forma independente, adaptando-se a bloqueios e explorando vulnerabilidades. A operação foi identificada pela empresa israelense Dream, que encontrou um arquivo online contendo 1.395 arquivos relacionados ao ataque. Os hackers disfarçaram a invasão como um teste de prontidão cibernética, utilizando agentes de IA para buscar novas vulnerabilidades e pontos de acesso. A documentação recuperada continha notas em chinês simplificado, sugerindo uma possível ligação com hackers da China continental. Embora o Ministério Digital de Taiwan tenha se recusado a comentar, o ataque destaca a crescente complexidade e sofisticação das ameaças cibernéticas, especialmente em um contexto geopolítico tenso. Especialistas alertam que a integração de IA em ataques cibernéticos deve ser uma preocupação central para governos em todo o mundo.

Após a Anthropic ativar marcas d’água invisíveis em textos gerados por seu modelo Claude, um mercado para remoção dessas marcas emergiu rapidamente. Ferramentas como watermarks-remover, desenvolvida por Guillaume Meyer, prometem remover marcas de diferentes modelos de IA, incluindo OpenAI e Gemini. No entanto, a eficácia dessas ferramentas é questionável, uma vez que a Anthropic ainda não divulgou detalhes sobre como suas marcas funcionam ou um detector que confirme a remoção. As ferramentas disponíveis realizam basicamente a remoção de metadados de arquivos, mas a remoção efetiva da marca d’água, que está integrada nas escolhas de palavras do modelo, requer reescrita significativa do texto. Embora algumas ferramentas afirmem oferecer resultados limpos e indetectáveis, testes independentes já revelaram falhas. A Anthropic justifica a marcação como uma medida de conformidade com a nova legislação da UE, mas críticos argumentam que isso não oferece uma defesa real contra a detecção. O crescimento desse mercado levanta preocupações sobre a segurança e a integridade dos dados, especialmente em um contexto onde a conformidade com regulamentações como a LGPD é crucial.

A Microsoft lançou patches de segurança para uma vulnerabilidade zero-day no Windows, conhecida como ‘LegacyHive’, que foi divulgada após o Patch Tuesday de julho de 2026. A falha foi descoberta pelo pesquisador de segurança que utiliza o pseudônimo ‘Nightmare Eclipse’, que criticou as práticas de recompensa e divulgação de vulnerabilidades da Microsoft. O exploit, que foi publicado logo após a divulgação dos patches, permite que usuários não administradores modifiquem o registro do sistema e executem código automaticamente quando uma conta de administrador faz login. Embora o exploit exija credenciais adicionais, o que dificulta sua exploração, a vulnerabilidade ainda representa um risco significativo. A Microsoft reconheceu a falha como CVE-2026-62832, resultante de uma resolução inadequada de links antes do acesso a arquivos no Serviço de Perfil de Usuário do Windows. Além disso, a ACROS Security lançou patches não oficiais para sistemas afetados. A situação é preocupante, pois a exploração bem-sucedida pode permitir que atacantes acessem dados de outros usuários e obtenham privilégios de administrador sem interação do usuário. A Microsoft ainda não reconheceu publicamente Nightmare Eclipse como o descobridor da falha, rotulando-o como um pesquisador anônimo.

O grupo hacker Jewelbug, também conhecido como Earth Alux e REF7707, tem se destacado por suas operações de espionagem direcionadas a governos e forças armadas, além de atividades fraudulentas relacionadas a criptomoedas. Recentemente, a Symantec revelou que o grupo comprometeu contas de webmail de 15 agências governamentais em uma campanha que visava um país do Oriente Médio. Os hackers, baseados na China, obtiveram acesso de escrita a uma instalação de webmail compartilhada, inserindo um script malicioso que coletava cookies e endereços de e-mail, permitindo a identificação de alvos valiosos. Os alvos selecionados recebiam um aviso falso de atualização do Adobe Flash, que instalava o backdoor Antino em sistemas Windows. Além disso, o grupo utiliza um framework de acesso remoto chamado XG-Web para gerenciar suas operações. A pesquisa da Symantec indicou que o Jewelbug também está envolvido em fraudes em criptomoedas, utilizando artigos gerados por IA para atrair tráfego para sites de troca de criptomoedas fraudulentos. O grupo opera uma infraestrutura complexa, com mais de um milhão de registros de implantes e cookies roubados, destacando a gravidade de suas atividades. A combinação de espionagem e fraudes financeiras representa um risco significativo para a segurança cibernética global.

Um ataque de ransomware da família Akira ocorreu em 4 de agosto, quando um hacker obteve acesso inicial a um sistema comprometido através de um dispositivo SonicWall VPN exposto, que não possuía autenticação multifator (MFA). Após duas horas do login bem-sucedido, o invasor conectou-se ao controlador de domínio via RDP, enumerou usuários e computadores do Active Directory e transferiu dados para um bucket S3 controlado pelo atacante usando ferramentas como WinRAR e s5cmd. Para manter o acesso remoto, o hacker instalou o AnyDesk e forçou o sistema a reiniciar em Modo Seguro com Rede, desativando a proteção em tempo real do Microsoft Defender e o agente da Huntress. Embora o ransomware não tenha conseguido criptografar arquivos devido a erros de memória, o atacante conseguiu roubar credenciais e dados em menos de cinco horas. A Huntress recomenda a implementação de MFA em todas as contas VPN e monitoramento de alterações na configuração de inicialização do Modo Seguro. Este incidente destaca a importância de medidas de segurança robustas, especialmente em ambientes que utilizam tecnologias amplamente adotadas no Brasil.

As autoridades ucranianas desmantelaram 94 call centers fraudulentos que enganavam cidadãos com esquemas de investimento e tentativas de acesso a contas bancárias. A operação, realizada esta semana, envolveu a polícia nacional, o Serviço de Segurança da Ucrânia, o Ministério Público e a polícia alemã, resultando em 411 buscas. Os golpistas se passavam por funcionários de bancos, ameaçando bloquear contas a menos que pagamentos fossem feitos, e persuadiam as vítimas a fornecer dados de cartões de crédito e a instalar softwares de acesso remoto. Durante as operações, foram apreendidos 1.794 estações de trabalho, 3.336 equipamentos de computação, 1.346 telefones, 5.200 cartões SIM, 90 cartões bancários, ferramentas de acesso a 20 carteiras de criptomoedas, além de veículos e dinheiro em espécie. A polícia identificou que alguns call centers também visavam cidadãos de outros países, especialmente na União Europeia, e que alguns produtos promovidos eram falsos tratamentos médicos. Os envolvidos podem enfrentar penas de até 12 anos de prisão. A investigação forense dos equipamentos apreendidos visa identificar vítimas e a extensão das perdas.

Pesquisadores de segurança da Group-IB identificaram uma nova campanha de malware chamada WindRelay, que visa usuários de Android na Europa Oriental. Este ataque sofisticado combina engenharia social e malware personalizado para transformar smartphones em dispositivos de ponto de venda (POS) maliciosos. Os atacantes utilizam um trojan de acesso remoto (RAT) chamado SpyNote, que é instalado após uma ligação telefônica em que se passam por funcionários de bancos. Após a instalação, o malware WindRelay é implantado, permitindo que os criminosos capturem dados de cartões de pagamento sem contato em tempo real. O processo é rápido, levando em média 13 minutos, e os atacantes podem até solicitar empréstimos em nome das vítimas. A campanha foi observada em países como República Tcheca, Eslováquia e Eslovênia, e é um exemplo da evolução das táticas de phishing e malware. Os especialistas alertam que os usuários devem estar atentos a aplicativos com rótulos personalizados, que podem ser um sinal de alerta.

O pesquisador de segurança conhecido como Nightmare Eclipse revelou uma nova vulnerabilidade zero-day chamada ShieldBreak, que permite a escalada de privilégios em sistemas Windows, incluindo todas as versões do Windows 11, mesmo aquelas com as últimas atualizações de segurança. A falha, que contorna um patch anterior da Microsoft, foi divulgada logo após a atualização de segurança de agosto da empresa, aumentando a preocupação entre os usuários. A vulnerabilidade permite que atacantes obtenham privilégios de nível SYSTEM, o que pode comprometer a segurança de sistemas vulneráveis. Nightmare Eclipse já havia revelado outras falhas, totalizando dez vulnerabilidades desde abril de 2026, e a Microsoft está ciente da situação, mas ainda investiga a validade das alegações. A empresa declarou que apoia a divulgação coordenada de vulnerabilidades, mas a situação levanta questões sobre a eficácia de suas atualizações de segurança e a proteção dos usuários. A vulnerabilidade ShieldBreak, assim como outras divulgadas anteriormente, ainda não possui um patch disponível, o que representa um risco significativo para os usuários do Windows.

O WhatsApp iniciou a implementação de uma nova funcionalidade opcional chamada ‘Scam Alert’, que utiliza um modelo de aprendizado de máquina local para alertar os usuários sobre mensagens potencialmente fraudulentas. Este recurso está disponível em uma fase beta limitada, onde a empresa testa o sistema de alerta com pesquisadores da comunidade Bug Bounty. Segundo o WhatsApp, o modelo é treinado com base em conversas de fraudes relatadas pelos usuários e analisa mensagens recebidas de contatos não salvos, identificando padrões linguísticos e estruturas de conversação que indicam tentativas de golpe. Caso uma mensagem suspeita seja detectada, o usuário receberá um aviso no chat, podendo optar por bloquear, reportar ou continuar a conversa. O conteúdo das mensagens nunca deixa o dispositivo, garantindo a privacidade do usuário, que pode desativar o recurso a qualquer momento. Esta iniciativa faz parte de um esforço mais amplo da empresa para proteger seus 3 bilhões de usuários globalmente, complementando outras medidas de segurança já implementadas, como alertas sobre solicitações de vinculação de dispositivos fraudulentas e configurações de conta rigorosas para indivíduos em risco. O recurso ‘Scam Alert’ representa um avanço significativo na luta contra fraudes digitais, especialmente em um cenário onde os ataques cibernéticos estão em ascensão.

Um novo memorando da Casa Branca, assinado pelo presidente dos EUA, Donald Trump, instrui o Centro Nacional de Coordenação (NCC) a criar um programa que permitirá que empresas de segurança privadas solicitem aprovação para hackear organizações de cibercrime estrangeiras. O memorando, que faz parte da estratégia de segurança nacional, visa aproveitar as capacidades do setor privado dos EUA para realizar operações cibernéticas contra organizações criminosas transnacionais. O programa será supervisionado por diretores executivos designados pelos departamentos de Justiça e Segurança Interna, e as empresas participantes passarão por um processo de verificação antes de firmar contratos. As operações devem seguir rigorosamente a Constituição dos EUA e as leis federais, além de acordos internacionais aplicáveis. As empresas também devem manter um depósito de pelo menos US$ 1 milhão, que será perdido em caso de não conformidade. O objetivo é combater organizações criminosas envolvidas em ataques de ransomware, fraudes financeiras e outras atividades ilícitas, que causaram perdas de mais de US$ 20,8 bilhões a consumidores americanos em 2025. Especialistas consideram essa iniciativa uma mudança significativa na política cibernética dos EUA, ampliando o papel do setor privado em operações ofensivas.

O artigo de Jonny Rivera, da ActiveState, destaca a crescente adoção de ferramentas de codificação baseadas em IA e os riscos associados à geração de código não verificado. Durante o evento Black Hat, a preocupação central discutida foi a falta de validação das dependências sugeridas por assistentes de codificação de IA, que podem introduzir vulnerabilidades na cadeia de suprimentos de software, como o slopsquatting. Essa prática ocorre quando um modelo de IA sugere nomes de pacotes que não existem em repositórios públicos, permitindo que atacantes registrem esses nomes e insiram códigos maliciosos. O estudo mencionado revela que uma porcentagem significativa de nomes sugeridos não corresponde a pacotes reais e que muitos dos pacotes válidos contêm vulnerabilidades conhecidas. Para mitigar esses riscos, o artigo sugere que as equipes de segurança implementem controles de ingestão proativos, garantindo que todas as dependências recomendadas sejam verificadas antes de serem integradas ao código. A ActiveState oferece uma solução que permite a validação de pacotes de código aberto, reduzindo a exposição a vulnerabilidades em até 95%.

A fabricante de carteiras de hardware Trezor anunciou um vazamento de dados que afetou cerca de 14 mil clientes, após um ataque ao seu fornecedor de logística, ShipMonk. Os atacantes conseguiram acessar informações de pedidos, incluindo nomes completos, endereços de entrega, e-mails e números de telefone. O incidente impactou clientes dos Estados Unidos, Reino Unido, Suécia, Colômbia, Brasil, Itália e Portugal, que realizaram pedidos entre 10 de maio e 8 de agosto de 2026. A Trezor garantiu que seus sistemas não foram comprometidos e que todos os dispositivos permanecem seguros. No entanto, alertou os clientes afetados sobre um possível aumento em tentativas de phishing, já que os dados vazados podem ser utilizados para fraudes. O ataque foi atribuído a uma vulnerabilidade explorada na plataforma de análise Metabase, que permitiu o acesso não autorizado aos dados. A Trezor já havia enfrentado um incidente semelhante em janeiro de 2024, quando 66 mil usuários tiveram suas informações expostas em um ataque ao portal de suporte da empresa.

O artigo da TechRadar destaca que, em 2026, o maior risco para as organizações não virá de ameaças externas, mas sim de seus próprios funcionários. Com a crescente adoção de ferramentas de inteligência artificial generativa, como ChatGPT, muitos colaboradores estão compartilhando dados sensíveis sem a devida supervisão. Embora a maioria não tenha intenções maliciosas, a falta de controle sobre o uso dessas ferramentas pode levar a vazamentos de informações críticas e a violações de conformidade, como as exigências do GDPR. A pesquisa revela que 93% dos CEOs globais adotaram IA generativa, mas muitas organizações ainda não têm visibilidade sobre como seus dados estão sendo utilizados. Para mitigar esses riscos, é essencial que as empresas implementem ferramentas que ofereçam controle e visibilidade sobre o uso de IA, além de desenvolver soluções que integrem facilmente com plataformas existentes. A falta de incentivos para usar ferramentas seguras e a preferência por alternativas mais rápidas e eficientes podem levar a um aumento do uso de IA não autorizada, criando um cenário de riscos ocultos que podem causar danos significativos.

Uma nova vulnerabilidade no Microsoft SharePoint, identificada como CVE-2026-55040, está sendo ativamente explorada por agentes maliciosos após a divulgação de um código de prova de conceito (PoC). Com uma pontuação CVSS de 9.1, essa falha permite a bypass de uma funcionalidade crítica de autenticação, possibilitando que atacantes não autenticados realizem operações arbitrárias como usuários ou administradores de um site SharePoint vulnerável. A Microsoft lançou um patch para essa vulnerabilidade em julho de 2026, mas a exploração começou a aumentar após a liberação do PoC pela Rapid7. O ataque se aproveita de fraquezas na validação de tokens JWT, permitindo que um invasor forje um token válido e se passe por qualquer usuário do SharePoint. Desde 19 de julho, foram registradas 12 tentativas de exploração, com um aumento significativo nos dias 12 e 13 de agosto, originadas de endereços IP de cinco países, incluindo os EUA e Japão. Os usuários do SharePoint são aconselhados a manter suas instâncias atualizadas para garantir a proteção adequada.

Uma campanha de roubo de dados, chamada City-Forum, está em andamento e utiliza ferramentas personalizadas para acessar informações expostas a usuários anônimos em portais da Salesforce Experience Cloud e ServiceNow. A empresa de segurança SaaS Reco identificou que os ataques se originam de um único servidor, localizado na Alemanha, e têm como alvo diversas organizações globais, incluindo empresas de telecomunicações, bancos e fornecedores de software. Os ataques não exploram vulnerabilidades nas plataformas, mas sim dados que foram inadvertidamente expostos a usuários convidados devido a regras de compartilhamento excessivamente permissivas. A atividade maliciosa tem aumentado, com um IP específico sendo responsável por mais de 560 mil eventos relacionados à enumeração de dados. Os atacantes utilizam tanto o framework Aura quanto o novo Lightning Web Runtime (LWR) da Salesforce, além de explorar endpoints do ServiceNow que permitem buscas anônimas. A Reco recomenda que administradores revisem as configurações de acesso e permissões para mitigar esses riscos.

Um estudo da empresa de segurança Socket revelou que mais de 737 extensões publicadas na Chrome Web Store se passavam por serviços de VPN e proxy conhecidos, como Proton VPN e NordVPN. Essas extensões, que foram baixadas cerca de 75 mil vezes, principalmente por usuários russos, redirecionavam o tráfego dos navegadores através de proxies SOCKS5 operados por um único provedor. Os pesquisadores identificaram comportamentos de ameaça, incluindo a configuração de 520 extensões para direcionar todo o tráfego do Chrome através dos proxies do operador e a resolução de nomes de host de proxy por meio do Cloudflare ou Google DNS-over-HTTPS, visando proteger o domínio do operador. Além disso, algumas extensões promoviam servidores premium inexistentes em locais como Japão e Canadá, indicando uma tentativa de fraude de assinatura. Embora mais de 200 extensões tenham sido removidas, mais de 500 ainda estão disponíveis. A Socket recomenda que os usuários verifiquem seus navegadores e removam qualquer extensão suspeita, além de restaurar a configuração de proxy do Chrome para o normal.

Foi detectada uma tentativa de exploração de uma vulnerabilidade crítica (CVE-2026-71362) nas plataformas de e-commerce Adobe Commerce e Magento, que pode permitir que atacantes sequestram contas de clientes. Essa falha é classificada como uma vulnerabilidade de autorização incorreta, possibilitando o acesso elevado a recursos sensíveis sem necessidade de autenticação. A empresa Adobe, em um comunicado, afirmou que não tem conhecimento de explorações ativas, mas a empresa de segurança Sansec já está bloqueando tentativas de exploração através de seu firewall de aplicação web (WAF).

Um novo malware para Android, chamado WindRelay, está sendo utilizado em conjunto com a ferramenta de administração remota SpyNote para roubar dados de cartões de pagamento e enviá-los aos atacantes em tempo real. Em um incidente investigado pela empresa de cibersegurança Group-IB, um golpista se passou por um funcionário de banco e convenceu a vítima a instalar o SpyNote disfarçado como um aplicativo legítimo, concedendo permissões de Acessibilidade que permitiram acesso remoto ao dispositivo Android. Após obter o controle, o atacante instalou o WindRelay sem interação adicional da vítima e instruiu-a a aproximar seu cartão de pagamento do telefone, que se tornou um leitor de NFC fraudulento. Isso permitiu que os dados do cartão fossem transmitidos ao dispositivo do atacante, possibilitando transações fraudulentas. O ataque foi realizado em apenas 13 minutos, com a vítima fornecendo seu PIN. A combinação de SpyNote e WindRelay representa uma nova abordagem de fraudes, utilizando engenharia social em vez de técnicas de malware mais complexas. O aumento de malwares NFC, como WindRelay, destaca a necessidade de cautela ao instalar aplicativos e ao compartilhar informações sensíveis.

O grupo de cibercriminosos norte-coreano conhecido como Lazarus Group está explorando uma falha de segurança recém-patchada no Microsoft Windows para implantar um backdoor inédito, visando empresas de defesa e aeroespacial na França, Alemanha, Brasil e Índia. Essa atividade faz parte da Operação Dream Job, uma campanha de ciberespionagem e engenharia social que utiliza ofertas de emprego falsas para enganar profissionais e roubar dados sensíveis. A vulnerabilidade explorada, CVE-2026-68820, permite a escalada de privilégios e foi corrigida pela Microsoft em agosto de 2026. Os ataques envolvem o uso de mensagens fraudulentas de recrutadores e a instalação de um visualizador de PDF trojanizado, que carrega um backdoor chamado Troy. O grupo também utiliza técnicas como DLL side-loading e sites falsos que imitam empresas legítimas para distribuir seu malware. A complexidade e a sofisticação da campanha tornam difícil a detecção, pois os atacantes se escondem em infraestruturas legítimas comprometidas, dificultando a identificação do tráfego malicioso. Especialistas alertam que a confiança pode ser falsificada, recomendando que as empresas adotem uma abordagem de segurança de confiança zero e realizem atualizações imediatas.

Uma vulnerabilidade crítica no Microsoft SharePoint, identificada como CVE-2026-55040, está sendo explorada ativamente por atacantes. Essa falha de segurança, que permite a bypass de autenticação no pipeline de validação de tokens JWT, possibilita que invasores sem privilégios realizem operações como usuários ou administradores de um site SharePoint. A Microsoft lançou um patch para essa vulnerabilidade em julho de 2026, alertando os clientes sobre a necessidade de atualizar seus sistemas, especialmente aqueles que utilizam o SharePoint Enterprise Server 2016 e o SharePoint Server 2019. A empresa destacou que a exploração dessa falha pode permitir a divulgação de arquivos e a modificação de dados, embora não impacte a disponibilidade do sistema. A Rapid7, que publicou um código de prova de conceito (PoC) para a vulnerabilidade, informou que o código já foi utilizado em ataques direcionados a honeypots. A CISA (Agência de Segurança Cibernética e Infraestrutura dos EUA) também emitiu um alerta, recomendando que as equipes de segurança evitem expor diretamente os servidores SharePoint na internet e sigam as diretrizes de segurança da Microsoft. Com mais de 8.500 servidores SharePoint expostos online, a situação requer atenção urgente das organizações para mitigar riscos potenciais.

Um alerta recente do Departamento de Estado dos EUA revelou que trabalhadores de TI da Coreia do Norte estão se passando por cidadãos de outros países para obter empregos legítimos, enviando seus salários de volta para agências parentais na Coreia do Norte. O FBI também alertou sobre o risco de que esses trabalhadores fraudulentos possam acessar repositórios de código-fonte, exfiltrar informações proprietárias e realizar atividades cibernéticas criminosas. As operações de recrutamento fraudulentas expõem uma lacuna entre a verificação de identidade e a prova de quem realmente está usando uma conta. Táticas como alteração de nacionalidade, criação de perfis falsos com o uso de IA e métodos de pagamento não convencionais são comuns entre esses trabalhadores. Para mitigar esses riscos, as organizações precisam implementar processos de verificação robustos, como a validação de documentos de identidade e detecção biométrica de presença, para garantir que a identidade aprovada pertença à pessoa que realmente está recebendo acesso. A solução Specops Secure Onboarding é uma ferramenta que pode ajudar nesse processo, oferecendo verificações de identidade em momentos críticos.

O FBI emitiu um alerta sobre cibercriminosos que estão atacando contas de redes sociais de adultos e crianças para roubar imagens ou vídeos sexualmente explícitos. Os criminosos podem usar esse conteúdo para chantagear as vítimas ou vendê-lo em mercados criminosos. Além disso, eles podem compartilhar informações pessoais das vítimas, como nomes e e-mails, com outros criminosos, que podem pressioná-las a fornecer mais conteúdo privado através de sextorsão. A sextorsão é uma forma de extorsão online onde os atacantes ameaçam divulgar imagens íntimas que obtiveram por meio de hacking ou coerção. O FBI também destacou que atletas estudantes estão sendo alvo de esquemas semelhantes e recomendou que as instituições de ensino aumentem a conscientização sobre o tema. Para se proteger, o FBI aconselha não responder a mensagens suspeitas, não armazenar fotos explícitas em contas de redes sociais e usar senhas complexas, além de habilitar a autenticação de dois fatores sempre que possível. O alerta surge em um contexto de aumento significativo de queixas de sextorsão, com um caso recente envolvendo um homem canadense condenado a 33 anos de prisão por extorquir mais de 145 crianças nos EUA.

Hackers da Coreia do Norte, associados ao grupo Lazarus, estão explorando uma vulnerabilidade zero-day do Windows (CVE-2026-68820) para atacar empresas do setor de defesa, como parte da campanha chamada Operation Dream Job. A Microsoft corrigiu essa falha em suas atualizações de segurança deste mês, destacando que ela está sendo ativamente explorada. A vulnerabilidade permite que um usuário autenticado local execute um aplicativo malicioso, elevando seus privilégios a nível de sistema sem interação do usuário. A campanha tem como alvo organizações na Europa e na Índia, utilizando ofertas de emprego fraudulentas para comprometer as vítimas. Além disso, os hackers implementaram um novo backdoor chamado Troy, que permite uma série de comandos maliciosos, como execução de processos remotos e injeção de DLLs na memória. A Check Point, empresa de cibersegurança, identificou que a campanha também se estendeu para a América do Sul, incluindo o Brasil, e que os hackers têm se tornado mais furtivos, utilizando infraestrutura web legítima para ocultar suas comunicações maliciosas. A análise sugere que a evolução das táticas do Lazarus representa uma ameaça crescente para o setor de defesa e outras indústrias críticas.

Pesquisadores de segurança revelaram novos ataques conhecidos como “Plug and Pwn”, que exploram a funcionalidade Plug and Play do Windows para instalar software vulnerável ou inseguro de fornecedores, obtendo privilégios de SYSTEM. Apresentado na DEF CON 34 por Alejandro Hernando e Borja Martínez, o ataque se aproveita do modo como o Windows identifica automaticamente novos dispositivos de hardware conectados, localiza pacotes de drivers correspondentes e instala software de fornecedor com privilégios elevados. Os pesquisadores demonstraram que, utilizando dispositivos USB emulados, é possível forçar o Windows a instalar pacotes de drivers assinados que contêm componentes exploráveis. Alguns ataques não requerem interação do usuário, enquanto outros podem ser realizados remotamente via RDP, sem a necessidade de hardware USB físico. A pesquisa destaca que a instalação automática de co-instaladores e serviços pode ocorrer sem qualquer aviso do Controle de Conta de Usuário (UAC), representando um risco significativo. Para mitigar esses ataques, recomenda-se desabilitar co-instaladores no registro do Windows, embora isso não elimine completamente a superfície de ataque. O estudo ressalta a necessidade de atenção redobrada por parte dos administradores de sistemas e CISOs, especialmente em ambientes onde a redireção USB via RDP é comum.

A Adobe lançou atualizações para corrigir várias vulnerabilidades críticas em suas plataformas ColdFusion, Commerce e Campaign Classic. As falhas mais severas incluem a CVE-2026-48362 e CVE-2026-48398, ambas com pontuação CVSS de 10.0, que permitem a execução de código arbitrário. Outras vulnerabilidades, como a CVE-2026-48273 (9.9) e CVE-2026-71384 (9.6), também apresentam riscos significativos, incluindo injeções de comandos e problemas de autorização que podem resultar em negação de serviço e escalonamento de privilégios. As atualizações são classificadas como prioridade 1, indicando um alto risco de exploração por ataques cibernéticos. Embora não haja evidências de que essas falhas tenham sido exploradas ativamente, a Adobe recomenda que os administradores apliquem as correções em até 72 horas. As atualizações são aplicáveis apenas a implantações locais do Campaign Classic, enquanto as instâncias hospedadas pela Adobe já foram corrigidas. Este alerta surge logo após a divulgação de outra vulnerabilidade crítica na mesma plataforma, reforçando a necessidade de vigilância constante em relação à segurança das aplicações.

O relatório Blue Report 2026 da Picus Labs revela que, apesar de um aumento na eficácia das defesas cibernéticas, com uma taxa de prevenção subindo de 62% para 69%, as vulnerabilidades internas permanecem alarmantes. A taxa de prevenção pós-compromisso é de apenas 37%, indicando que, uma vez que um invasor ultrapassa o perímetro, as defesas internas falham em proteger a rede. A pesquisa destacou que ações silenciosas, como reconhecimento e roubo de credenciais, são as menos detectadas, com apenas 10% de eficácia na prevenção de reconhecimento e 22% na leitura de credenciais da memória. Isso sugere que os atacantes estão adotando táticas mais furtivas, explorando brechas que não são monitoradas adequadamente. Além disso, a taxa de alertas gerados por tentativas de ataque caiu para 14%, evidenciando uma falha na detecção. O relatório conclui que a validação contínua das defesas é crucial, e recomenda que as organizações testem rigorosamente suas defesas internas e tratem as regras de detecção como engenharia, adaptando-as às novas ameaças.

Uma nova vulnerabilidade descoberta nas APIs de raciocínio da OpenAI, Anthropic e Google permite que pesquisadores recuperem informações internas e segredos de logs de sessão, incluindo chaves de API e senhas. A falha afeta objetos de raciocínio criptografados, que podem ser reproduzidos em diferentes sessões, permitindo que modelos mais fracos revelem conteúdos ocultos. O estudo, intitulado ‘Stealing Reasoning Traces from Proprietary LLM APIs’, demonstrou quatro caminhos de abuso, como a extração de dados privados de outros usuários e a recuperação de conteúdo prejudicial. A equipe analisou 6.708 trajetórias públicas e decodificou 315.320 blocos de raciocínio, recuperando 704 artefatos de privacidade, incluindo 62 chaves de API e 33 senhas. Embora os pesquisadores tenham notificado os provedores sobre a vulnerabilidade e afirmem que as medidas de mitigação foram eficazes, a falta de reconhecimento público da falha levanta preocupações. O problema reside no design das APIs, que preserva o raciocínio entre chamadas, mas pode expor dados sensíveis se não forem tratados adequadamente. O estudo destaca a necessidade de os desenvolvedores removerem blocos de raciocínio de logs compartilhados para evitar vazamentos de informações.

Um conjunto massivo de 737 extensões gratuitas de VPN e proxy foi descoberto, principalmente direcionado a usuários de língua russa que buscam acessar serviços bloqueados. Essas extensões, publicadas em pelo menos 40 contas de desenvolvedores na Chrome Web Store, acumulam 75.486 instalações. Dentre elas, 274 imitam 66 marcas estabelecidas de VPN e privacidade, como Proton VPN e NordVPN. As extensões interceptam o tráfego do navegador, redirecionando-o através de uma infraestrutura de proxy controlada por um único provedor. A maioria das extensões configura o ‘chrome.proxy.settings’ para um servidor SOCKS5 fixo, permitindo que o ator da ameaça observe destinos do navegador e endereços IP de origem. Além disso, 221 extensões foram removidas da loja, mas 516 permanecem ativas. O ator da ameaça parece operar um negócio de VPN por assinatura na Rússia, utilizando um número de contribuinte de 12 dígitos. As extensões também apresentam sinais de fraude, como a promoção de servidores premium inexistentes e tentativas de enganar o processo de revisão da Chrome Web Store. Este incidente destaca a importância da vigilância e da verificação de extensões de navegador, especialmente para usuários que buscam serviços de privacidade.

Em junho, Keir Starmer anunciou um plano que exige que empresas de tecnologia implementem controles em dispositivos para impedir que crianças enviem e recebam imagens sexualmente explícitas. Essa proposta, que envolve escaneamento em dispositivos, levanta preocupações significativas para a segurança cibernética nas empresas. O escaneamento de conteúdo antes da criptografia ou transmissão pode criar novas superfícies de ataque e comprometer a privacidade e a integridade das informações sensíveis. Organizações como Signal e a British Computer Society alertaram que esse tipo de escaneamento pode gerar vulnerabilidades sistêmicas, que poderiam ser exploradas por cibercriminosos, alterando a confiança digital. Além disso, a introdução de um agente de escaneamento governamental pode desestabilizar a arquitetura de segurança das empresas, que se baseia na confiança no sistema operacional. Isso pode resultar em falhas de conformidade, especialmente em setores altamente regulamentados, onde o controle sobre o processamento de dados sensíveis é crucial. As equipes de segurança precisam se preparar para avaliar os riscos associados a essa mudança, adaptando suas estratégias de segurança para mitigar possíveis impactos negativos.

A integração da inteligência artificial (IA) no cotidiano tem gerado preocupações sobre novos riscos cibernéticos. No entanto, especialistas apontam que as vulnerabilidades enfrentadas pelas organizações permanecem as mesmas de anos atrás, como sistemas não atualizados e controles de identidade fracos. A IA não introduz novas ameaças, mas acelera a identificação e exploração das falhas existentes, tornando-as mais acessíveis a atacantes menos sofisticados. Por exemplo, a automação de tarefas como reconhecimento e movimentação lateral permite que atores maliciosos operem com maior eficiência. Além disso, técnicas conhecidas, como engenharia social, estão sendo aprimoradas com o uso de deepfakes e campanhas de phishing mais escaláveis. A crescente atenção sobre a IA pode desviar o foco das questões fundamentais de segurança, como a gestão de patches e a compreensão das exposições de terceiros. Para mitigar esses riscos, as organizações devem priorizar a remediação de vulnerabilidades conhecidas e adaptar suas práticas de segurança para incluir cenários habilitados por IA. A resposta deve ser disciplinada e focada em uma compreensão clara dos dados críticos e controles de acesso, evitando a tentação de se concentrar apenas em novas ferramentas sem resolver as fraquezas fundamentais.

Os Sistemas de Gerenciamento de Conteúdo (CMSs) são fundamentais para a publicação online, mas muitos usuários carecem de expertise em cibersegurança. Um estudo recente avaliou quatro CMSs populares: WordPress, Drupal, Joomla e Ghost, focando em suas configurações de segurança padrão. O WordPress obteve a menor pontuação, com 8 de 100, enquanto o Drupal se destacou com 27,1, embora nenhum dos sistemas oferecesse uma postura de segurança robusta logo após a instalação. A análise considerou controles de segurança do navegador, divulgação de informações, segurança de autenticação e exposição de APIs. Embora o Drupal e o Joomla tenham se destacado em controles de segurança, todos os CMSs carecem de proteções essenciais, como autenticação multifatorial. O WordPress, apesar de sua vasta gama de plugins, apresenta riscos adicionais devido à sua grande extensão de ecossistema, aumentando a exposição a vulnerabilidades. A pesquisa revela que, embora as plataformas não ofereçam segurança forte por padrão, a configuração adequada e o uso de extensões podem mitigar riscos significativos.

O pesquisador de segurança conhecido como Nightmare Eclipse divulgou um novo exploit zero-day do Microsoft Defender, denominado ‘ShieldBreak’, após a liberação das atualizações de segurança de agosto de 2026 pela Microsoft. Esta vulnerabilidade é considerada um bypass da falha RoguePlanet, que foi corrigida em julho de 2026. O exploit permite que atacantes obtenham privilégios de SYSTEM em sistemas Windows 10, Windows 11 e Windows Server totalmente atualizados. Nightmare Eclipse afirmou que a falha RoguePlanet (CVE-2026-50656) não foi adequadamente corrigida, e o PoC (Proof of Concept) demonstrou uma taxa de sucesso de 100% em testes realizados nas versões mais recentes do Windows 11 e Windows Server 2025. A Microsoft respondeu com advertências legais contra atividades maliciosas, levando especialistas em cibersegurança a acreditar que a empresa estava ameaçando o pesquisador. Desde abril de 2026, Nightmare Eclipse já divulgou várias outras falhas zero-day relacionadas ao Microsoft Defender e componentes do Windows, algumas das quais ainda aguardam correções oficiais. A situação destaca a necessidade urgente de atenção à segurança cibernética, especialmente para organizações que utilizam as tecnologias da Microsoft.

A Cisco emitiu um alerta sobre uma vulnerabilidade crítica, identificada como CVE-2026-20349, que afeta o software Secure Firewall Adaptive Security Appliance (ASA) e o Secure Firewall Threat Defense (FTD). Com uma pontuação CVSS de 8.6, a falha se deve a uma verificação insuficiente de erros ao processar requisições HTTP, permitindo que um atacante remoto não autenticado cause uma condição de negação de serviço (DoS). O ataque pode ser realizado enviando uma requisição HTTP manipulada ao serviço de VPN SSL de acesso remoto em dispositivos afetados. As versões vulneráveis incluem várias do ASA e FTD, com patches já disponibilizados pela Cisco. A empresa não identificou alternativas para mitigar a falha e alertou que a exploração ativa foi detectada recentemente. A CISA (Agência de Segurança Cibernética e Infraestrutura dos EUA) incluiu a vulnerabilidade em seu catálogo de vulnerabilidades conhecidas, exigindo que agências federais apliquem as correções até 14 de agosto de 2026.

O pesquisador de segurança conhecido como Chaotic Eclipse divulgou uma prova de conceito (PoC) para uma nova vulnerabilidade zero-day chamada ShieldBreak, que afeta o Microsoft Defender para Windows. Esta falha é um bypass de patch para a vulnerabilidade CVE-2026-50656, também conhecida como RoguePlanet, que permite a um atacante obter privilégios de nível SYSTEM, possibilitando a execução de código arbitrário. A vulnerabilidade foi inicialmente divulgada em junho de 2026, mas a Microsoft só lançou um patch quase um mês depois. Chaotic Eclipse afirmou que as atualizações de defesa implementadas pela Microsoft não corrigiram adequadamente a falha, resultando em vazamento de dados em determinadas situações no Windows 11 e Windows Server 2025. A PoC foi testada com uma taxa de sucesso de 100%. Além disso, a Microsoft lançou patches para 421 falhas de segurança, incluindo outras vulnerabilidades críticas. A CISA dos EUA adicionou uma das vulnerabilidades a seu catálogo de vulnerabilidades exploradas conhecidas, exigindo que agências federais apliquem as correções até 25 de agosto de 2026.

A SAP divulgou patches para uma vulnerabilidade de alta severidade no Commerce Cloud, identificada como CVE-2026-58231, que pode permitir a execução de código arbitrário. Avaliada com a pontuação máxima de 10.0 no sistema CVSS, a falha resulta de verificações de autorização insuficientes e falta de validação de entrada. Um atacante não autenticado pode explorar essa vulnerabilidade ao abusar de um cliente de autenticação padrão, enviando entradas especialmente elaboradas para funções que não possuem validação adequada. A exploração bem-sucedida pode comprometer a confidencialidade, integridade e disponibilidade da aplicação. Além dessa vulnerabilidade, a SAP também corrigiu outras três falhas críticas em sua atualização de agosto de 2026, incluindo vulnerabilidades de injeção de código e escrita fora dos limites, que podem resultar em execução de comandos arbitrários e corrupção de memória. A empresa de segurança Onapsis recomenda que os clientes apliquem os patches e reimplantem a versão atualizada do SAP Commerce Cloud. Como solução temporária, é sugerido configurar um conjunto de filtros de IP para restringir o acesso ao endpoint vulnerável.

Em março de 2026, duas versões maliciosas do pacote LiteLLM foram disponibilizadas no repositório PyPI por cerca de 40 minutos, contendo código projetado para roubar credenciais de sistemas que as instalassem. A empresa de inteligência de ameaças CloudSEK revelou que um conjunto de dados obtido, composto por aproximadamente 434.000 arquivos capturados, mapeia a exposição potencial de mais de 2.500 organizações. Embora esses números não representem o total de vítimas, eles indicam um risco significativo. As versões comprometidas, identificadas como 1.82.7 e 1.82.8, foram retiradas do PyPI após a detecção, mas a recomendação é que as organizações afetadas realizem a rotação de suas credenciais imediatamente. O FBI também alertou que as credenciais exfiltradas podem ser exploradas a longo prazo, enfatizando a necessidade de rotacionar segredos de CI/CD e credenciais de nuvem. O ataque está ligado a uma campanha maior, conhecida como TeamPCP, que comprometeu o scanner Trivy da Aqua Security. O incidente destaca a vulnerabilidade das cadeias de suprimento de software e a importância de práticas de segurança robustas para evitar a exploração de credenciais expostas.

Recentemente, a empresa de cibersegurança QUIRSO identificou que atores maliciosos estão explorando ativamente uma vulnerabilidade crítica no VMware vCenter, classificada como CVE-2026-59310, com um alto índice de severidade (CVSS 9.8). Essa falha de segurança, que permite a execução de código arbitrário através de um ataque de ‘directory traversal’, foi corrigida pela Broadcom no mês passado. A atividade maliciosa foi detectada após um engajamento de resposta a incidentes, onde foram encontrados 361 endereços IP comprometidos em 47 países, com a maioria localizada na Alemanha, EUA, Turquia, Irã e França. Os atacantes utilizaram um cron job malicioso para manter a persistência no sistema comprometido, utilizando a ferramenta open-source reverse_ssh para estabelecer conexões com a infraestrutura controlada pelos atacantes. A correlação entre a divulgação da vulnerabilidade e a exploração sugere que os atacantes podem ter agido rapidamente após a divulgação pública. Embora a identidade dos responsáveis pela campanha de exploração não esteja clara, acredita-se que se trate de um ator de ameaça persistente avançada (APT). A situação é preocupante, especialmente considerando que o VMware é uma tecnologia amplamente utilizada em ambientes corporativos.

No primeiro trimestre de 2026, o Google anunciou que os sistemas antiabuso do Chrome diminuíram em mais de 7 bilhões por dia as notificações indesejadas no Android. A empresa destacou que o abuso de notificações tem sido uma ferramenta crescente para a distribuição de fraudes, malware e tentativas de phishing. Para combater esse problema, o Google implementou um modelo de defesa chamado “queijo suíço”, que utiliza múltiplas camadas de proteção para interceptar abusos em diferentes estágios. O Chrome agora revoga automaticamente permissões de notificações de sites inativos ou que geram alertas suspeitos, permitindo que os usuários revisem essas permissões no Safety Hub. Além disso, o navegador analisa comportamentos em redes de sites relacionados para identificar grupos que distribuem notificações enganosas. O volume de notificações e o tempo gasto pelos usuários em um site são alguns dos fatores considerados para limitar a atividade de sites considerados disruptivos. Essa abordagem não apenas melhora a segurança, mas também reduz o consumo de bateria dos dispositivos dos usuários, garantindo que apenas conteúdos relevantes sejam entregues. O Google também revisou a interface de permissões de notificações para torná-la menos intrusiva, ajudando os usuários a decidir se desejam receber notificações sem interromper sua navegação.

O Conselho Metropolitano de Nashville aprovou, por 27 votos a 5, a aquisição de um terreno de 23,49 acres ao lado do Zoológico de Nashville, onde a empresa DC BLOX planeja construir um centro de dados. Essa decisão surge após uma intensa luta local que se transformou em uma campanha nacional, com uma petição que coletou mais de 500 mil assinaturas e o apoio de celebridades como Brad Paisley e Sheryl Crow. Embora a votação autorize a cidade a negociar ou condenar o terreno, não representa um compromisso imediato para a compra. O prefeito deixou claro que as negociações ainda não começaram e que a cidade deve demonstrar a necessidade pública do terreno em um tribunal. As preocupações incluem o impacto do ruído contínuo sobre os animais do zoológico e a deterioração da infraestrutura hídrica local. Nashville não é a única cidade a considerar restrições a centros de dados, com mais de 70 moratórias ativas em todo o país. O caso é significativo, pois pode estabelecer um precedente sobre como as cidades podem usar o domínio eminente para proteger interesses públicos contra projetos de infraestrutura.

A Microsoft lançou a atualização KB5120249 para Windows 10, abrangendo as versões 22H2 e 21H2, com foco na correção de vulnerabilidades de segurança e bugs. Esta atualização é obrigatória, pois inclui as correções do Patch Tuesday de agosto de 2026. Os usuários podem instalá-la acessando as configurações de atualização do Windows ou baixando manualmente do Catálogo de Atualizações da Microsoft. Após a instalação, as versões do sistema operacional serão atualizadas para 19045.7663 e 19044.7663.

A Delta Air Lines está investigando um incidente de segurança cibernética que ocorreu no voo 591 de Las Vegas para Atlanta, onde uma rede Wi-Fi não autorizada foi detectada. O evento, que aconteceu durante o retorno de passageiros da conferência DEF CON 34, não comprometeu a segurança dos passageiros ou dos sistemas operacionais da aeronave, segundo a companhia. A equipe de cabine desativou a funcionalidade de Wi-Fi por cerca de 30 minutos após a descoberta da rede. Relatos indicam que alguns passageiros realizaram um ataque de desautenticação Wi-Fi, desconectando outros usuários da rede legítima da Delta. Esse tipo de ataque envolve o envio de pacotes forjados que fazem com que dispositivos conectados se desconectem da rede original, podendo redirecioná-los para uma rede maliciosa. A rede não autorizada, nomeada ‘Delta WiFi Fast’, supostamente exibia uma página de phishing para coletar dados pessoais dos usuários. Após o pouso, autoridades federais e policiais do aeroporto interrogaram os suspeitos e apreenderam o hardware de Wi-Fi utilizado. O incidente levanta preocupações sobre a segurança em voos comerciais e a necessidade de medidas preventivas mais rigorosas.

A Cisco emitiu um alerta sobre uma vulnerabilidade de alta severidade, classificada como CVE-2026-20349, que afeta o software Secure Firewall ASA e Threat Defense (FTD). Com uma pontuação de severidade de 8.6, a falha permite que atacantes remotos provoquem a reinicialização de dispositivos afetados ao enviar requisições HTTP maliciosas para o serviço de VPN SSL de Acesso Remoto. A vulnerabilidade pode ser explorada sem necessidade de autenticação ou interação do usuário, especialmente em configurações que utilizam sockets de escuta SSL. A Cisco recomenda que os clientes atualizem para versões corrigidas do software, já que não há soluções alternativas disponíveis. A empresa também informou que a exploração ativa dessa vulnerabilidade foi detectada em agosto de 2026, embora não tenha fornecido detalhes sobre os alvos ou os atacantes envolvidos. Além disso, a Cisco revelou que o Secure Endpoint Connector para Windows, Mac e Linux também possui vulnerabilidades relacionadas ao ClamAV, mas os patches ainda não estão disponíveis. A situação exige atenção imediata dos profissionais de segurança, especialmente considerando a possibilidade de impacto em conformidade com a LGPD.

Hackers associados ao grupo de ameaças russo Sandworm estão atacando administradores de sistemas e profissionais de TI por meio de ofertas de emprego falsas desde pelo menos maio. Um relatório da Equipe de Resposta a Emergências de Computador da Ucrânia (CERT-UA) detalha uma campanha de engenharia social atribuída ao UAC-0145, considerado um subgrupo do Sandworm. Os atacantes se passam por empresas de TI e recrutadores, estudando currículos em sites de emprego e contatando as vítimas diretamente. As conversas são transferidas para o Telegram para agendar entrevistas por vídeo no Zoom, onde os candidatos recebem tarefas técnicas fictícias que exigem conexão a uma VPN corporativa. Em um caso, os atacantes se fizeram passar pela empresa internacional Sopra Steria, utilizando endereços de e-mail semelhantes aos da empresa na Bulgária. Durante a entrevista, instruções adicionais são enviadas por e-mail, incluindo arquivos de configuração para conectar-se a uma VPN ‘corporativa’. O arquivo baixado gera um erro falso, levando a vítima a baixar um cliente modificado chamado ‘SopraVPN’, que contém um código PowerShell malicioso. A CERT-UA recomenda que provedores de telecomunicações e empresas de TI restrinjam o acesso a recursos corporativos a dispositivos gerenciados e monitorados continuamente. O grupo APT44 é conhecido por atacar infraestrutura crítica e entidades governamentais, o que representa um risco significativo para a segurança cibernética.

A operação de ransomware DeadLock, que surgiu em meados de 2025, adota uma infraestrutura descentralizada baseada em serviços de blockchain para proteger suas comunicações com as vítimas e suas atividades de vazamento de dados. Utilizando táticas de dupla extorsão, que incluem roubo e criptografia de dados, a DeadLock já listou 80 organizações, principalmente na Europa, como vítimas, abrangendo setores como TI, mineração, transporte e manufatura. A operação se destaca por empregar a blockchain Polygon para armazenar dados de configuração e endereços de comunicação, substituindo URLs tradicionais do Tor. Além disso, utiliza a rede descentralizada Session para criptografar as comunicações com as vítimas e armazena arquivos roubados no serviço de nuvem Wasabi. O esquema de criptografia do DeadLock evita países da ex-União Soviética e do Oriente Médio, utilizando chaves XChaCha20 únicas para cada arquivo. Os atacantes exigem pagamentos em Bitcoin ou Monero em troca de um descriptografador e promessas de exclusão de dados roubados. Para se proteger contra esses ataques, a Microsoft recomenda fortalecer as defesas de endpoint e restringir alterações não autorizadas em arquivos.

Pesquisadores de segurança descobriram uma vulnerabilidade crítica no Microsoft SharePoint que permite a um atacante remoto não autenticado assumir a identidade de qualquer usuário, incluindo administradores, sem a necessidade de uma conta válida. A falha, identificada como CVE-2026-55040, possui uma pontuação CVSS de 9.1 e afeta as edições on-premises do SharePoint Server Subscription Edition, 2019 e 2016. Para explorar essa vulnerabilidade, o invasor precisa conhecer o identificador de segurança (SID) ou o nome principal do usuário (UPN) da conta alvo.

O Computer Emergency Response Team da Ucrânia (CERT-UA) revelou uma nova campanha de engenharia social realizada por atores de ameaças associados ao Estado russo, visando trabalhadores de TI no país. Os atacantes se disfarçam como recrutadores para induzir as vítimas a instalar malware. A atividade, atribuída ao grupo Sandworm, está em andamento desde maio de 2026. Os atacantes utilizam sites de busca de emprego para contatar candidatos, geralmente administradores de sistemas ou especialistas em TI, em nome de empresas legítimas. Após uma conversa inicial via chat online, a comunicação é transferida para aplicativos de mensagens como o Telegram, onde um suposto gerente de RH realiza uma entrevista. Durante o processo, os candidatos recebem instruções para uma entrevista técnica, que envolve a conexão a uma VPN corporativa através de um cliente VPN modificado, chamado SopraVPN. Este cliente, ao ser instalado, permite que os atacantes executem comandos arbitrários no dispositivo da vítima. O CERT-UA alerta os profissionais de TI sobre a importância de estar atentos a técnicas de engenharia social e recomenda que as organizações permitam acesso a recursos corporativos apenas de dispositivos gerenciados com software de segurança apropriado.

Um novo conjunto de vulnerabilidades no Zoom permite que participantes de uma reunião assumam o controle dos computadores uns dos outros sem qualquer interação, como cliques ou downloads. O problema reside na ferramenta de anotação, que permite que os usuários desenhem e escrevam em uma tela compartilhada. As falhas foram identificadas pela startup israelense ‘A Security’, que afirma ter desenvolvido um exploit funcional em menos de um dia, utilizando modelos de IA disponíveis publicamente. As vulnerabilidades foram classificadas como CVE-2026-53413 e CVE-2026-53414, com pontuações CVSS de 8.3 e 6.5, respectivamente. Embora a Zoom tenha lançado patches em junho e julho de 2026, a empresa não divulgou detalhes técnicos sobre as falhas, e a exploração ativa ainda não foi relatada. A falta de interação do usuário necessária para a exploração torna a situação ainda mais crítica, pois qualquer participante em uma chamada pode ser afetado. A startup ‘A Security’ destaca que a barreira para a criação desse tipo de exploit foi drasticamente reduzida, levantando preocupações sobre a segurança em plataformas de videoconferência.