Um estudo recente revelou que agentes de inteligência artificial (IA), como o OpenClaw, estão sendo implantados com permissões excessivas, tornando-se alvos fáceis para hackers. A pesquisa identificou mais de 40 mil instâncias do OpenClaw expostas diretamente à internet, com 63% delas vulneráveis a execuções remotas de código. Isso significa que atacantes podem assumir o controle de máquinas sem interação do usuário. As permissões concedidas a esses agentes, que podem acessar e gerenciar e-mails, arquivos e outras funções, são frequentemente configuradas sem as devidas precauções de segurança. Além disso, três vulnerabilidades de alta severidade foram identificadas, com códigos de exploração já disponíveis, facilitando o ataque. A falta de práticas de segurança adequadas durante o desenvolvimento desses sistemas de IA é alarmante, pois muitos usuários não percebem os riscos ao integrar esses agentes em suas rotinas diárias. As autoridades chinesas já restringiram o uso do OpenClaw em ambientes de escritório devido a esses riscos. Especialistas alertam que é crucial que os usuários avaliem cuidadosamente as permissões concedidas a esses sistemas antes de utilizá-los.

Uma nova campanha de fraude digital, chamada Pushpaganda, está utilizando inteligência artificial para enganar usuários do Google Discover, inundando dispositivos com alertas falsos e notificações enganosas. Segundo a equipe de inteligência de ameaças Satori da HUMAN, essa operação é um exemplo de engenharia social em grande escala. Os golpistas criaram 113 domínios e usaram ferramentas de IA para gerar artigos e imagens sensacionalistas que atraem cliques. Uma vez que o usuário acessa um dos sites manipulados, é incentivado a ativar notificações push, que posteriormente enviam alertas ameaçadores sem relação com o site original. Os tipos de notificações incluem avisos falsos de mandados de prisão, depósitos bancários inexistentes e promessas de smartphones com câmeras de 300MP. A campanha, que inicialmente visava usuários na Índia, se espalhou para países como Estados Unidos, Austrália e Reino Unido, gerando cerca de 240 milhões de solicitações de anúncios em uma semana. A Google afirmou que está combatendo a maioria do spam no Discover, mas recomenda que os usuários não ativem notificações de sites desconhecidos e que revisem suas configurações de notificações para bloquear domínios suspeitos.

A Agência de Segurança Cibernética e Infraestrutura dos EUA (CISA) alertou as agências governamentais sobre uma vulnerabilidade no Catalyst SD-WAN Manager, que está sendo ativamente explorada em ataques. A falha, identificada como CVE-2026-20133, permite que atacantes remotos não autenticados acessem informações sensíveis em dispositivos não corrigidos. A Cisco já havia lançado um patch para essa vulnerabilidade em fevereiro, mas a CISA agora exige que as agências federais apliquem as correções até 24 de abril. A vulnerabilidade é resultado de restrições insuficientes de acesso ao sistema de arquivos, permitindo que um invasor acesse a API do sistema afetado. Além disso, a CISA incluiu essa falha em seu Catálogo de Vulnerabilidades Conhecidas (KEV) devido a evidências de exploração ativa. A Cisco ainda não confirmou a exploração da falha, mas já havia identificado outras vulnerabilidades críticas em seus produtos. A situação destaca a importância de uma resposta rápida a vulnerabilidades em sistemas amplamente utilizados, como os da Cisco, que são comuns em diversas organizações.

A Ofcom, reguladora independente de comunicações do Reino Unido, iniciou uma investigação sobre o Telegram devido a evidências de que a plataforma está sendo utilizada para compartilhar material de abuso sexual infantil (CSAM). A investigação foi motivada por informações recebidas do Canadian Centre for Child Protection e pela própria avaliação da Ofcom sobre a plataforma. A Ofcom está avaliando se o Telegram está cumprindo suas obrigações de segurança em relação a conteúdos ilegais, conforme estipulado pela Lei de Segurança Online do Reino Unido. Em resposta, o Telegram negou as acusações, afirmando que desde 2018 eliminou praticamente a disseminação pública de CSAM em sua plataforma. Além disso, a Ofcom também está investigando outros sites de bate-papo voltados para adolescentes e a plataforma X, em relação a conteúdos sexualmente explícitos não consensuais. Caso a Ofcom identifique falhas de conformidade, poderá impor multas de até £18 milhões ou 10% da receita mundial qualificada, além de solicitar ordens judiciais que podem resultar na proibição da plataforma no Reino Unido.

A prevenção de fraudes e a experiência do usuário historicamente foram vistas como forças opostas. Aumentar a segurança pode afastar clientes legítimos, enquanto afrouxá-la abre portas para fraudes como roubo de contas e identidades sintéticas. No entanto, plataformas modernas de inteligência contra fraudes estão mudando essa dinâmica. As estratégias mais eficazes operam em segundo plano, combinando sinais de risco em tempo real para bloquear ações maliciosas sem criar obstáculos para usuários legítimos. O artigo destaca que cada fricção desnecessária, como CAPTCHAs ou autenticações adicionais, pode resultar em custos significativos, como aumento nas taxas de abandono de carrinhos e queda nas inscrições de novos usuários. Além disso, a subdetecção de fraudes pode custar até 5% da receita anual das organizações. O processo de inscrição é um ponto crítico, onde a análise de e-mails e números de telefone deve ser rápida e precisa. A fraude no login, especialmente o roubo de contas, é outro vetor de ataque significativo, exigindo detecções de anomalias que não penalizem usuários legítimos. O artigo conclui apresentando a IPQS, uma plataforma que oferece soluções de prevenção de fraudes em tempo real, utilizando uma abordagem de múltiplos sinais para otimizar a tomada de decisões.

Um novo malware de destruição de dados, chamado Lotus, foi utilizado em ataques direcionados a organizações de energia e serviços públicos na Venezuela no ano passado. O malware, que foi analisado pela Kaspersky, foi carregado em uma plataforma pública em dezembro e é projetado para eliminar completamente sistemas comprometidos, sobrescrevendo drives físicos e eliminando opções de recuperação. Os ataques começam com scripts em lote que desativam serviços do Windows e preparam o sistema para a fase final de destruição. O Lotus opera em um nível mais baixo, interagindo diretamente com os discos, apagando pontos de restauração e sobrescrevendo setores físicos. A atividade observada coincide com tensões geopolíticas na região, especialmente após a captura do ex-presidente Nicolás Maduro. Embora a empresa estatal Petróleos de Venezuela (PDVSA) tenha sofrido um ataque cibernético que desativou seus sistemas de entrega, não há evidências públicas de que seus sistemas tenham sido apagados. A Kaspersky recomenda que administradores de sistemas monitorem mudanças em compartilhamentos NETLOGON e o uso inesperado de comandos como ‘diskpart’ e ‘robocopy’. Manter backups offline regulares é uma medida preventiva contra esse tipo de malware.

A Agência Nacional de Documentos Seguros da França (ANTS) anunciou um vazamento de dados após um ataque cibernético que comprometeu informações de cidadãos. O incidente, detectado em 15 de abril de 2026, pode ter exposto dados como endereços de e-mail, datas de nascimento, identificadores de conta, endereços postais, locais de nascimento e números de telefone de um número não divulgado de indivíduos. Embora a ANTS tenha afirmado que as informações expostas não permitem acesso não autorizado aos seus portais eletrônicos, os dados podem ser utilizados em ataques de phishing e engenharia social. A agência está notificando os afetados e alertou para a necessidade de vigilância em relação a comunicações suspeitas. Um ator de ameaças, conhecido como ‘breach3d’, reivindicou a responsabilidade pelo ataque, alegando ter em sua posse até 19 milhões de registros, que incluem nomes completos, detalhes de contato e informações pessoais. A ANTS notificou as autoridades de proteção de dados e a agência nacional de cibersegurança da França, ressaltando que a venda ou disseminação dos dados é ilegal.

As equipes de segurança frequentemente utilizam o MTTR (Mean Time to Recovery) como um KPI interno, mas a liderança vê isso de forma diferente: cada hora em que uma ameaça permanece no ambiente é uma hora de potencial exfiltração de dados, interrupção de serviços e danos à marca. O artigo destaca que a causa raiz do MTTR lento não é a falta de analistas, mas sim a inteligência sobre ameaças que existe fora do fluxo de trabalho. Para melhorar a eficiência, os Centros de Operações de Segurança (SOCs) maduros integram a inteligência diretamente em seus processos.

O grupo de ransomware conhecido como The Gentlemen, que opera sob o modelo de ransomware-as-a-service (RaaS), está utilizando um malware proxy chamado SystemBC para expandir suas operações. De acordo com a pesquisa da Check Point, o servidor de comando e controle (C2) associado ao SystemBC revelou uma botnet com mais de 1.570 vítimas em todo o mundo. O SystemBC estabelece túneis de rede SOCKS5 e pode baixar e executar malware adicional, complicando a defesa das vítimas. Desde sua aparição em julho de 2025, The Gentlemen já reivindicou mais de 320 vítimas em seu site de vazamento de dados, utilizando um modelo de dupla extorsão. As táticas do grupo incluem o uso de objetos de política de grupo (GPOs) para comprometer domínios inteiros e a desativação de ferramentas de segurança como o Windows Defender. A pesquisa também destaca que a velocidade dos ataques está aumentando, com a maioria das tentativas ocorrendo durante a noite e nos fins de semana, visando maximizar o impacto antes que as defesas possam reagir. O cenário atual de ransomware é caracterizado por uma evolução para operações mais disciplinadas e especializadas, com um aumento significativo nos ataques a pequenas e médias empresas e setores críticos.

O Hospital Caribbean Medical Center, localizado em Porto Rico, registrou uma violação de dados que afetou 92.000 registros no portal de violações do Departamento de Saúde e Serviços Humanos dos EUA. O ataque, reivindicado pelo grupo de ransomware The Gentlemen, ocorreu em fevereiro de 2026. Em março, o hospital confirmou que conseguiu conter o ataque, que impactou parte de seus sistemas de informação. A detecção precoce permitiu a implementação de medidas de contenção com o apoio de especialistas em cibersegurança. Embora o hospital tenha notificado as autoridades competentes e esteja colaborando na análise técnica do incidente, não confirmou se um resgate foi exigido ou pago. Este ataque é o quarto confirmado contra provedores de saúde, destacando a crescente ameaça de ransomware no setor. Em 2026, já foram registrados 27 ataques confirmados a instituições de saúde em todo o mundo, com o Hospital Caribbean Medical Center sendo o segundo maior em termos de registros afetados. A situação ressalta a necessidade urgente de medidas de segurança robustas para proteger dados sensíveis na área da saúde.

A Southern Illinois Dermatology confirmou que notificou 160.312 pessoas sobre uma violação de dados ocorrida em novembro de 2025, que comprometeu informações sensíveis, incluindo números de Seguro Social, números de telefone, endereços de e-mail e registros médicos. O incidente foi classificado como um ‘incidente de cibersegurança’, onde um grupo criminoso chamado Insomnia reivindicou a responsabilidade pelo ataque, alegando ter acessado e roubado dados dos pacientes. O grupo publicou amostras de documentos supostamente roubados em seu site de vazamento de dados, e notificou a clínica sobre o ataque em 28 de novembro de 2025, possivelmente exigindo um resgate. A clínica não confirmou a reivindicação do grupo e não se sabe como a violação ocorreu, nem se um resgate foi pago. Este ataque é um dos maiores registrados, com 135 ataques de ransomware em provedores de saúde dos EUA em 2025, comprometendo mais de 11,9 milhões de registros pessoais e médicos. A Southern Illinois Dermatology opera 13 clínicas em várias cidades do estado, e a situação destaca a crescente ameaça de ataques cibernéticos no setor de saúde.

O setor de cibersegurança enfrenta um desafio crescente com ataques baseados em identidade, que continuam a ser a principal porta de entrada para invasores. Apesar do foco em ameaças sofisticadas, como exploits de zero-day e compromissos de cadeia de suprimentos, as credenciais roubadas permanecem a forma mais comum de acesso inicial. Os atacantes utilizam técnicas como credential stuffing, password spraying e phishing para obter credenciais válidas, permitindo que se infiltrar nas redes sem levantar suspeitas. Uma vez dentro, eles podem se mover lateralmente e expandir seu controle rapidamente, levando a incidentes graves, como ataques de ransomware.

Pesquisadores de cibersegurança descobriram uma nova versão do malware NGate, que agora abusa de um aplicativo legítimo chamado HandyPay. O malware, que permite a transferência de dados NFC de cartões de pagamento para dispositivos dos atacantes, foi identificado como uma ameaça crescente, especialmente no Brasil. O ataque ocorre quando os usuários são enganados a baixar uma versão comprometida do HandyPay, disfarçada como um aplicativo de proteção de cartão ou um site de loteria. Após a instalação, o aplicativo solicita que o usuário defina o HandyPay como o aplicativo de pagamento padrão e insira o PIN do cartão, permitindo que o malware capture e retransmita os dados do cartão para os criminosos. Essa campanha, que começou em novembro de 2025, destaca a crescente utilização de inteligência artificial por cibercriminosos para desenvolver malware, mesmo sem experiência técnica avançada. A ESET, empresa de segurança que identificou a ameaça, alerta que a fraude NFC está em ascensão, e a escolha do HandyPay pelos atacantes pode estar relacionada ao seu custo mais baixo e à ausência de permissões suspeitas.

Angelo Martino, um negociador de ransomware de 41 anos, se declarou culpado por realizar ataques de ransomware contra empresas nos Estados Unidos em 2023. Ele colaborou com o grupo criminoso BlackCat, fornecendo informações confidenciais sobre as posições de negociação de cinco vítimas, sem o conhecimento ou consentimento delas. Essas informações incluíam limites de apólices de seguro e estratégias internas, o que resultou em resgates mais altos. Martino foi compensado financeiramente por essas informações. Além disso, ele admitiu ter trabalhado com outros dois respondentes a incidentes para implantar o ransomware BlackCat em várias vítimas entre abril e novembro de 2023, extorquindo uma delas em aproximadamente 1,2 milhão de dólares em Bitcoin. As autoridades confiscam 10 milhões de dólares em ativos de Martino, incluindo criptomoedas e veículos. Ele enfrenta uma pena máxima de 20 anos de prisão e está programado para ser sentenciado em julho de 2026. O caso destaca a traição de confiança em um setor que deveria proteger as vítimas de ataques cibernéticos.

Pesquisadores de cibersegurança identificaram 22 novas vulnerabilidades em conversores serial-IP populares da Lantronix e Silex, que podem ser exploradas para sequestrar dispositivos vulneráveis e adulterar dados trocados por eles. As falhas, coletivamente chamadas de BRIDGE:BREAK, foram descobertas pela Forescout Research Vedere Labs, que encontrou quase 20.000 conversores Serial-to-Ethernet expostos online em todo o mundo. Entre as vulnerabilidades, destacam-se a execução remota de código, a execução de código do lado do cliente, negação de serviço, bypass de autenticação e a possibilidade de assumir o controle dos dispositivos. A exploração bem-sucedida dessas falhas pode permitir que atacantes interrompam comunicações seriais com ativos de campo e alterem valores de sensores. A Lantronix e a Silex já disponibilizaram atualizações de segurança para corrigir as falhas identificadas. Além de aplicar patches, os usuários são aconselhados a substituir credenciais padrão, evitar senhas fracas e segmentar redes para proteger os conversores de IP serial. Este cenário destaca a importância da segurança em ambientes críticos, onde esses dispositivos são cada vez mais utilizados para conectar equipamentos legados a redes IP.

A Microsoft emitiu um alerta sobre fraudes no Microsoft Teams, onde hackers estão se passando por funcionários de TI para obter acesso remoto a sistemas corporativos. Os atacantes utilizam a funcionalidade de chat entre locatários para se comunicar com as vítimas, mesmo não pertencendo à organização. Eles convencem os usuários a conceder acesso remoto por meio de ferramentas legítimas, como o Quick Assist, que permite suporte técnico remoto. Após obter acesso, os criminosos podem executar códigos maliciosos disfarçados de programas confiáveis, movendo-se lateralmente pela rede da empresa e coletando dados sensíveis. Essa técnica é eficaz porque se disfarça de atividades normais de suporte de TI, não acionando alarmes de segurança. A Microsoft observou que os atacantes também instalam ferramentas de gerenciamento remoto, como o Rclone, para exfiltrar dados para armazenamento em nuvem. O alerta destaca a importância de conscientizar os usuários sobre esses tipos de ataques, que podem passar despercebidos devido à sua natureza camuflada.

Uma nova variante do malware NGate, que rouba dados de pagamentos NFC, está atacando usuários de Android ao se esconder em uma versão trojanizada do aplicativo HandyPay, uma ferramenta legítima de processamento de pagamentos móveis. Originalmente documentado em meados de 2024, o NGate utiliza o chip de comunicação de campo próximo (NFC) dos dispositivos móveis para capturar informações de cartões de pagamento, que são enviadas ao atacante para criar cartões virtuais usados em compras não autorizadas ou saques em caixas eletrônicos. A nova variante, descoberta pela ESET, foi injetada com código malicioso e contém emojis, sugerindo o uso de ferramentas de IA generativa em seu desenvolvimento. O HandyPay, disponível no Google Play desde 2021, permite transmissões de dados baseadas em NFC, que o NGate explora para exfiltrar informações de cartões. A campanha, ativa desde novembro de 2025, utiliza dois métodos de distribuição: um aplicativo falso chamado “Proteção Cartão” e um site de loteria falso que redireciona os usuários para o WhatsApp, onde são levados a baixar o APK malicioso. Após a instalação, o aplicativo solicita que o usuário o defina como o aplicativo de pagamento NFC padrão e pede o PIN do cartão, além de instruções para ler o cartão no telefone. As informações coletadas são enviadas para um e-mail do atacante codificado no aplicativo.

Angelo Martino, ex-funcionário da DigitalMint, admitiu sua culpa em ataques de ransomware BlackCat (ALPHV) direcionados a empresas dos EUA em 2023. Juntamente com outros dois negociadores de resgates, Martino foi acusado de conspiração para interferir no comércio interestadual por extorsão e danos intencionais a computadores protegidos. Durante seu trabalho como negociador, ele compartilhou informações confidenciais sobre as vítimas com os operadores do ransomware, facilitando a extorsão de valores elevados. Entre abril de 2023 e abril de 2025, Martino e seus cúmplices exigiram pagamentos de resgate, ameaçando vazar dados antes de criptografar os sistemas das vítimas. O impacto financeiro foi significativo, com uma empresa de serviços financeiros pagando mais de 25 milhões de dólares e uma organização sem fins lucrativos mais de 26 milhões. A operação BlackCat, associada a mais de 60 violações, arrecadou pelo menos 300 milhões de dólares em pagamentos de resgate até setembro de 2023. A DigitalMint condenou as ações de seus ex-funcionários e os demitiu assim que as irregularidades foram descobertas.

A Agência de Segurança Cibernética e Infraestrutura dos EUA (CISA) incluiu recentemente oito novas vulnerabilidades em seu catálogo de Vulnerabilidades Conhecidas e Exploradas (KEV), destacando três falhas críticas que afetam o Cisco Catalyst SD-WAN Manager. Entre as vulnerabilidades, a CVE-2025-32975 se destaca com um escore CVSS de 10.0, permitindo que atacantes se façam passar por usuários legítimos sem credenciais válidas. Outras falhas incluem a CVE-2023-27351, que permite a bypass de autenticação no PaperCut NG/MF, e a CVE-2024-27199, que possibilita ações administrativas limitadas no JetBrains TeamCity. A CISA recomenda que as agências do governo federal dos EUA abordem as vulnerabilidades da Cisco até 23 de abril de 2026, e as demais até 4 de maio de 2026. A exploração ativa dessas falhas foi observada, com grupos de ameaças conhecidos, como Lace Tempest, utilizando-as em ataques de ransomware. A situação é crítica, pois as falhas podem comprometer a segurança de sistemas amplamente utilizados, exigindo atenção imediata das organizações para evitar possíveis incidentes de segurança.

A Interconnection Academy e a Global Cyber Alliance disponibilizaram um treinamento gratuito focado em capacitar profissionais de TI para enfrentar crimes cibernéticos em infraestruturas de rede. A iniciativa surge em resposta ao aumento de ataques como DDoS, spoofing e man-in-the-middle, que têm se tornado cada vez mais comuns. O curso enfatiza a aplicação prática de protocolos de segurança, com destaque para o padrão MANRS (Mutually Agreed Norms for Routing Security), que visa garantir a integridade do roteamento na internet.

Uma nova campanha de phishing tem afetado usuários de iPhone, conforme reportado pelo BleepingComputer. O golpe inicia com o envio de um e-mail que simula um alerta de segurança da Apple, informando sobre uma suposta alteração na conta do usuário. Os criminosos utilizam servidores da Apple para enviar mensagens que parecem legítimas, contornando filtros de spam e aumentando a confiança das vítimas. O e-mail menciona uma compra de iPhone no valor de US$ 899, feita via PayPal, e orienta o usuário a entrar em contato com um número de telefone para cancelar a transação. Ao ligar, a vítima é submetida a um ataque de vishing, onde os golpistas tentam convencê-la a instalar um software de acesso remoto, alegando que a conta foi comprometida. Para dar credibilidade ao golpe, os hackers criam um ID Apple e manipulam as informações de envio do e-mail. Especialistas recomendam cautela com alertas inesperados e nunca permitir acesso remoto a desconhecidos.

O site da Seiko USA foi alvo de um ataque cibernético no último fim de semana, resultando em uma deface que exibia uma mensagem de extorsão. Os atacantes alegam ter acessado o banco de dados de clientes da plataforma Shopify da empresa e ameaçam divulgar as informações a menos que um resgate seja pago. A página comprometida, localizada na seção ‘Press Lounge’, substituiu o conteúdo normal por um aviso de violação de dados e uma demanda de resgate. Os hackers afirmam ter obtido dados sensíveis, incluindo nomes, e-mails, números de telefone, histórico de pedidos e detalhes de envio. A mensagem de extorsão também especificava um prazo de 72 horas para que a Seiko USA iniciasse negociações, utilizando um e-mail associado a uma conta de cliente identificada. Até o momento, a Seiko não confirmou publicamente o incidente, mas removeu a mensagem de extorsão do site. A situação levanta preocupações sobre a segurança dos dados de clientes e a eficácia das medidas de proteção em plataformas de e-commerce como o Shopify.

Uma botnet de malware proxy chamada SystemBC, composta por mais de 1.570 hosts, foi descoberta após investigações relacionadas a um ataque de ransomware conhecido como Gentlemen. Este ransomware, que surgiu em meados de 2025, utiliza um serviço de ransomware como serviço (RaaS) e é capaz de criptografar sistemas Windows, Linux, NAS e BSD, além de hipervisores ESXi. A Check Point, responsável pela investigação, identificou que a maioria das vítimas está localizada nos Estados Unidos, Reino Unido, Alemanha, Austrália e Romênia, com um foco claro em ambientes corporativos.

Um conjunto de 26 aplicativos maliciosos foi identificado na Apple App Store, disfarçando-se como carteiras populares como Metamask, Coinbase, Trust Wallet e OneKey. Esses aplicativos têm como objetivo roubar frases de recuperação ou seed phrases, drenando os ativos em criptomoedas dos usuários. Os atacantes utilizaram métodos como typosquatting e branding falso para enganar usuários na China, publicando os aplicativos como jogos ou calculadoras, na tentativa de contornar as restrições do país. Os pesquisadores da Kaspersky nomearam essa campanha de FakeWallet, associando-a à operação SparkKitty. Ao serem abertos, os aplicativos redirecionam os usuários para páginas de phishing que imitam portais legítimos de serviços de criptomoedas. Essas páginas convencem as vítimas a baixar aplicativos de carteira trojanizados, que interceptam as frases mnemônicas durante a configuração ou recuperação da carteira, criptografando-as e enviando-as para os atacantes. Embora a campanha tenha como alvo principal usuários na China, o malware não possui restrições geográficas, podendo afetar usuários globalmente. A Kaspersky recomenda que os detentores de criptomoedas verifiquem sempre o editor dos aplicativos que baixam, mesmo em lojas oficiais. Após a divulgação responsável da Kaspersky, a Apple removeu todos os 26 aplicativos da App Store.

Hackers patrocinados pelo Estado da Coreia do Norte são suspeitos de estarem por trás de um roubo de criptomoedas que afetou o projeto KelpDAO, resultando em perdas de aproximadamente US$ 290 milhões. O ataque também impactou protocolos de empréstimo como Compound, Euler e Aave, levando a Aave a congelar novos depósitos e empréstimos utilizando o token rsETH como colateral. O KelpDAO, um projeto de finanças descentralizadas (DeFi) na rede Ethereum, permite que os usuários depositem ETH, que são então restaked para gerar um token líquido chamado rsETH. No dia 18 de abril, o KelpDAO detectou atividades suspeitas relacionadas ao rsETH, o que levou à suspensão dos contratos. A investigação revelou que cerca de 116.500 rsETH foram roubados e enviados através do Tornado Cash para ocultar a trilha. Os atacantes comprometeram nós RPC usados para validar mensagens cross-chain, injetando dados falsificados e realizando ataques DDoS em nós saudáveis. A LayerZero, que está ajudando na investigação, acredita que o grupo Lazarus, conhecido por suas operações sofisticadas, é o responsável pelo ataque. Embora o incidente tenha causado uma perda significativa, a LayerZero afirma que não houve contágio em outros aplicativos ou ativos.

Uma vulnerabilidade crítica foi identificada no SGLang, um framework open-source para modelos de linguagem, que pode permitir a execução remota de código (RCE) em sistemas vulneráveis. A falha, registrada como CVE-2026-5760, possui um alto índice de severidade, com uma pontuação CVSS de 9.8. O problema reside no endpoint de reranking ‘/v1/rerank’, onde um atacante pode explorar a vulnerabilidade ao criar um arquivo de modelo GGUF malicioso. Esse arquivo contém um parâmetro ’tokenizer.chat_template’ que inclui um payload de injeção de template do lado do servidor (SSTI) utilizando Jinja2. Quando o modelo é carregado pelo usuário no SGLang, o código malicioso é executado no servidor, permitindo ao atacante controlar o sistema. A recomendação para mitigar essa vulnerabilidade é substituir o uso de jinja2.Environment() por ImmutableSandboxedEnvironment, evitando assim a execução de código Python arbitrário. Essa vulnerabilidade é semelhante a outras falhas críticas já corrigidas em pacotes populares, destacando a necessidade urgente de atenção e ação por parte dos administradores de sistemas que utilizam SGLang.

O Google anunciou a ampliação do uso da ferramenta de inteligência artificial Gemini para combater anúncios maliciosos em suas plataformas. A IA já foi responsável por interromper e remover aproximadamente 8,3 bilhões de anúncios fraudulentos e suspender 24,9 milhões de contas de anunciantes em 2025. A prática de hackers que compram anúncios para se passar por marcas legítimas é um problema recorrente no Google Ads, e a nova abordagem do Gemini visa detectar e bloquear essas fraudes em tempo real. A tecnologia agora analisa bilhões de sinais, como o comportamento do anunciante e o histórico da conta, permitindo uma identificação mais precisa de anúncios legítimos versus fraudulentos. O Google planeja expandir ainda mais o uso do Gemini para outros formatos de anúncios, visando bloquear anunciantes fraudulentos já no momento do envio. Essa iniciativa é crucial para proteger os usuários de golpes digitais e melhorar a segurança do ecossistema publicitário.

O uso do Proton VPN na Turquia disparou após o governo local anunciar propostas de regulamentação que visam restringir o acesso a serviços de VPN não autorizados. A Autoridade de Tecnologias da Informação e Comunicação (BTK) está desenvolvendo um sistema de licenciamento para VPNs e uma linha direta móvel para monitorar o acesso de menores a conteúdos violentos. A demanda por VPNs aumentou significativamente, com o número de inscrições diárias do Proton VPN dobrando. A empresa, que opera sob uma política de ’não registro’, afirmou que nunca irá monitorar os dados dos usuários, mesmo que solicitado pelas autoridades. A proposta de regulamentação, que visa proteger crianças de conteúdos digitais nocivos, levanta preocupações entre defensores da privacidade, que temem que isso criminalize a navegação segura na internet para todos os cidadãos. Além disso, a BTK planeja implementar um sistema de ’linha direta’ para usuários menores de 18 anos, permitindo um controle parental mais rigoroso sobre o uso da internet. Essa situação destaca um dilema entre a proteção da infância e a preservação da privacidade digital.

O grupo de cibercriminosos Blackwater reivindicou a responsabilidade por um incidente de cibersegurança ocorrido no Minidoka Memorial Hospital, em Rupert, Idaho, durante o fim de semana da Páscoa de 2026. O ataque, que ocorreu no dia 17 de abril, resultou na interrupção de diversos serviços hospitalares, incluindo a imagem médica. Blackwater afirmou ter roubado 577 GB de dados do hospital e exigiu um pagamento de resgate em uma semana, embora o hospital não tenha confirmado publicamente a reivindicação. Em uma postagem no Facebook, o Minidoka Memorial Hospital reconheceu a ocorrência de um incidente cibernético que afetou temporariamente alguns sistemas, mas garantiu que os serviços de emergência seriam restaurados até a meia-noite do dia 19 de abril. Este ataque é parte de uma tendência crescente de ataques de ransomware a instituições de saúde nos EUA, com nove incidentes confirmados em 2026 até o momento. Blackwater, que surgiu em março de 2026, é um novo grupo de ransomware que combina a criptografia de sistemas com o roubo de dados, exigindo resgates para a devolução das informações. O aumento desses ataques levanta preocupações sobre a segurança cibernética em hospitais e a proteção de dados sensíveis dos pacientes.

A Microsoft está implementando diversas melhorias no File Explorer para usuários do Windows 11 que fazem parte do programa Insider. Entre as atualizações, destacam-se melhorias na velocidade de inicialização e no desempenho do aplicativo. Embora a empresa não tenha detalhado os métodos utilizados para essas melhorias, foi testada uma nova funcionalidade em novembro que pré-carrega o File Explorer em segundo plano, visando otimizar os tempos de lançamento. Essa funcionalidade é opcional e pode ser desativada nas opções de pasta do File Explorer. Além disso, a Microsoft está trabalhando para aumentar a confiabilidade do processo explorer.exe após o fechamento das janelas do File Explorer e corrigir flashes brancos que ocorrem ao abrir o aplicativo em modo escuro. Essas correções são relevantes, pois foram associadas a uma atualização anterior e ainda estão sendo abordadas. Outra novidade é o modo Xbox, que oferece uma interface de jogo em tela cheia, minimizando distrações. As melhorias estão sendo disponibilizadas para Insiders que utilizam as versões mais recentes do Windows 11.

Tyler Robert Buchanan, um britânico de 24 anos, se declarou culpado nos Estados Unidos por fraudes eletrônicas e roubo de identidade agravado. Ele é considerado o líder do coletivo de cibercrime Scattered Spider, que, entre setembro de 2021 e abril de 2023, teria roubado pelo menos 8 milhões de dólares em criptomoedas ao realizar ataques de phishing via SMS em diversas empresas. As organizações afetadas abrangem setores como entretenimento, telecomunicações e tecnologia. Os ataques consistiam no envio de mensagens de texto que se passavam por comunicações legítimas das empresas, levando os funcionários a fornecer informações confidenciais. Com esses dados, os criminosos conseguiram sequestrar contas de e-mail e realizar ataques de troca de SIM, transferindo milhões para carteiras que controlavam. Buchanan foi preso em junho de 2024 na Espanha e enfrenta uma pena máxima de 22 anos de prisão. Outros três cúmplices também foram acusados e podem enfrentar até 20 anos de prisão. O grupo Scattered Spider é conhecido por suas táticas de engenharia social e parcerias com gangues de ransomware, aumentando a preocupação sobre a segurança cibernética em nível global.

A Microsoft emitiu um alerta sobre um aumento nos ataques cibernéticos que abusam da colaboração externa no Microsoft Teams. Os invasores se fazem passar por funcionários de TI ou suporte técnico, contatando os colaboradores por meio de chats interorganizacionais e convencendo-os a conceder acesso remoto, o que facilita o roubo de dados. A empresa observou uma cadeia de ataque em nove etapas, começando com a comunicação inicial e culminando na exfiltração de dados sensíveis utilizando ferramentas legítimas, como o Quick Assist e o Rclone. Essa abordagem torna difícil a detecção de atividades maliciosas, pois se misturam com operações normais de suporte de TI. A Microsoft recomenda que os usuários tratem contatos externos no Teams como não confiáveis e sugere que administradores restrinjam o uso de ferramentas de assistência remota e monitorem o uso do Windows Remote Management (WinRM). O alerta destaca a necessidade de vigilância constante e a implementação de medidas de segurança para proteger as redes corporativas contra essas ameaças.

O artigo analisa uma série de incidentes de cibersegurança que revelam um padrão preocupante de ataques, onde ferramentas de terceiros são exploradas para obter acesso interno a sistemas. Um exemplo notável é a violação de dados da Vercel, que ocorreu após a comprometimento do Context.ai, uma ferramenta de inteligência artificial utilizada por um funcionário. Os atacantes conseguiram acessar ambientes internos da Vercel, expondo variáveis não sensíveis. Além disso, a operação de DDoS-for-hire foi desmantelada por autoridades, mas a resiliência desse tipo de crime continua a ser um desafio. Outro incidente envolve a botnet PowMix, que ataca trabalhadores na República Tcheca, utilizando técnicas sofisticadas para evitar detecções. O uso de extensões maliciosas do Chrome e a exploração de plugins como o Obsidian para distribuir malware também foram destacados. A crescente utilização de inteligência artificial em campanhas de fraude publicitária e a descoberta de trojans como o STX RAT e o PHANTOMPULSE ressaltam a evolução das ameaças. O artigo conclui que a confiança nas ferramentas digitais está sendo manipulada, exigindo uma vigilância constante e atualizações de segurança.

O armazenamento em nuvem, como o iCloud, pode conter uma quantidade significativa de dados que muitos usuários desconhecem. Em entrevista ao Podcast Canaltech, o perito em crimes digitais Wanderson Castilho destacou que, mesmo com o backup desativado, as informações podem ser acessadas por autoridades mediante ordem judicial. O recente caso da Polícia Federal (PF), que resultou na prisão de funkeiros e um influenciador digital, exemplifica essa realidade. A investigação se baseou em dados obtidos do iCloud de um contador, permitindo à PF mapear a estrutura de uma organização criminosa. Castilho ressalta que a Apple extrai todos os dados vinculados ao Apple ID investigado e os entrega às autoridades, levantando questões sobre a cadeia de custódia das informações. Além disso, ele alerta que o usuário tem menos controle sobre os dados na nuvem do que imagina, já que arquivos podem ser duplicados e mantidos mesmo após a exclusão. Para informações sensíveis, o especialista recomenda o uso de armazenamento offline em HDs externos criptografados, em vez de confiar na nuvem.

A Microsoft lançou atualizações fora do ciclo regular para corrigir problemas em sistemas Windows Server após a instalação das atualizações de segurança de abril de 2026. Administradores relataram falhas ao instalar a atualização de segurança KB5082063 em dispositivos Windows Server 2025. Além disso, as atualizações cumulativas deste mês estão fazendo com que alguns servidores com funções de controlador de domínio entrem em um loop de reinicialização devido a falhas no Serviço de Subsistema de Segurança Local (LSASS). A Microsoft alertou que esse problema pode ocorrer ao configurar novos controladores de domínio ou em existentes, se o servidor processar solicitações de autenticação muito cedo durante a inicialização. Para resolver esses problemas, foram disponibilizadas atualizações de emergência para várias versões do Windows Server, incluindo a KB5091157 para o Windows Server 2025, que aborda tanto a falha de instalação quanto o problema de reinicialização do controlador de domínio. Além disso, a instalação da atualização KB5082063 pode fazer com que alguns dispositivos sejam iniciados no modo de recuperação do BitLocker, solicitando a chave do BitLocker. A Microsoft também corrigiu um bug que causava atualizações inesperadas para o Windows Server 2025 em dispositivos que executam o Windows Server 2019 e 2022. Essas questões destacam a importância de monitorar e aplicar atualizações de segurança de forma eficaz para evitar interrupções nos serviços.

A Microsoft reverteu uma atualização de serviço que estava impedindo alguns usuários de iniciar o cliente desktop do Microsoft Teams. Os afetados enfrentavam dificuldades ao carregarem a aplicação, recebendo a mensagem de erro “Estamos tendo problemas para carregar sua mensagem. Tente atualizar.” A empresa identificou que as falhas de lançamento eram causadas por um problema transitório na infraestrutura do serviço, que fez com que algumas versões mais antigas do Teams entrassem em um estado não saudável. Após a reversão da atualização problemática, a Microsoft orientou os usuários a fecharem completamente e reiniciarem seus clientes do Teams para garantir que a correção fosse aplicada. Embora a empresa não tenha divulgado quantos usuários foram afetados ou quais regiões, classificou a interrupção como um incidente, indicando um impacto significativo. Este não é o primeiro problema recente com o Teams; no mês passado, a Microsoft já havia resolvido outra falha que afetava o lançamento de versões mais antigas do Outlook Classic. Além disso, a empresa também lançou atualizações de emergência para resolver problemas conhecidos em servidores Windows, que causavam loops de reinicialização e problemas na instalação de atualizações de segurança.

Pesquisadores de cibersegurança identificaram um novo malware chamado ZionSiphon, projetado para atacar sistemas de tratamento e dessalinização de água em Israel. O malware, que foi detectado pela primeira vez em 29 de junho de 2025, logo após a Guerra de Doze Dias entre Irã e Israel, é capaz de estabelecer persistência, modificar arquivos de configuração locais e escanear serviços relevantes de tecnologia operacional (OT) na rede local. O ZionSiphon se destaca por sua capacidade de escalonamento de privilégios e propagação via dispositivos USB, além de suas funções de sabotagem voltadas para o controle de cloro e pressão. O código do malware ainda está em desenvolvimento, apresentando funcionalidades incompletas e um comportamento que sugere que ele pode não estar totalmente operacional. Além disso, o malware contém mensagens políticas que expressam apoio ao Irã, Palestina e Iémen, e é programado para ativar apenas em condições geográficas e ambientais específicas. A descoberta do ZionSiphon coincide com a identificação de outras ameaças, como o implante RoadK1ll, que permite acesso remoto a redes comprometidas. Este cenário destaca a crescente experimentação com ataques a infraestruturas críticas motivados politicamente em todo o mundo.

Pesquisadores de cibersegurança identificaram uma vulnerabilidade crítica no Protocolo de Contexto de Modelo (MCP) que pode permitir a execução remota de código (RCE) em sistemas vulneráveis. Essa falha, presente no kit de desenvolvimento de software (SDK) da Anthropic, afeta mais de 7.000 servidores acessíveis publicamente e mais de 150 milhões de downloads. A vulnerabilidade se origina de configurações inseguras no transporte STDIO, resultando em injeções de comandos não autenticadas. Os pesquisadores destacam que essa falha não foi corrigida na implementação de referência do MCP, o que perpetua os riscos de execução de código. Para mitigar a ameaça, recomenda-se bloquear o acesso público a serviços sensíveis, monitorar invocações de ferramentas MCP e tratar entradas de configuração como não confiáveis. A situação é alarmante, pois uma única decisão arquitetônica comprometeu a segurança de diversas bibliotecas e projetos que confiam no protocolo. A Anthropic, por sua vez, não pretende modificar a arquitetura do protocolo, o que levanta preocupações sobre a segurança na cadeia de suprimentos de IA.

A Vercel, provedora de infraestrutura web, anunciou uma violação de segurança que permitiu o acesso não autorizado a certos sistemas internos. O incidente ocorreu devido à comprometimento do Context.ai, uma ferramenta de inteligência artificial de terceiros utilizada por um funcionário da empresa. O atacante conseguiu assumir a conta do Google Workspace do colaborador, o que possibilitou o acesso a ambientes e variáveis de ambiente da Vercel que não estavam marcadas como ‘sensíveis’. A empresa assegurou que as variáveis sensíveis são armazenadas de forma criptografada e não há evidências de que esses dados tenham sido acessados. A Vercel está colaborando com a Mandiant, empresa de cibersegurança, e notificou as autoridades policiais, além de contatar diretamente um número limitado de clientes cujas credenciais foram comprometidas. A empresa recomendou que administradores do Google Workspace verifiquem uma aplicação OAuth específica e adotem práticas recomendadas, como a auditoria de logs de atividade e a rotação de variáveis de ambiente. O CEO da Vercel, Guillermo Rauch, afirmou que medidas de proteção extensivas foram implementadas e novas funcionalidades foram adicionadas ao painel de controle para melhorar a segurança dos clientes.

A Vercel, plataforma de desenvolvimento em nuvem, revelou um incidente de segurança após a alegação de um grupo de hackers de que havia invadido seus sistemas e estava vendendo dados roubados. A empresa, conhecida pelo desenvolvimento do Next.js, informou que um número limitado de clientes foi afetado por um acesso não autorizado a sistemas internos. Embora os serviços da Vercel não tenham sido impactados, a empresa está colaborando com os clientes afetados e recomenda que revisem variáveis de ambiente e utilizem recursos de segurança disponíveis. A investigação revelou que a violação se originou de uma ferramenta de IA de terceiros, especificamente uma aplicação OAuth do Google Workspace. A Vercel alertou administradores do Google Workspace para verificar a aplicação identificada. O hacker, que se autodenomina ‘ShinyHunters’, afirmou estar vendendo chaves de acesso, código-fonte e dados de banco de dados, além de informações de funcionários da Vercel. A situação destaca a importância da segurança em plataformas amplamente utilizadas por desenvolvedores e a necessidade de vigilância constante contra ameaças cibernéticas.

O Instituto Nacional de Padrões e Tecnologia (NIST) dos EUA anunciou que, a partir de 15 de abril, deixará de atribuir pontuações de severidade a vulnerabilidades de baixa prioridade devido ao aumento significativo no volume de submissões. O NIST continuará a analisar e fornecer detalhes adicionais apenas para vulnerabilidades que atendam a critérios específicos, como aquelas listadas no catálogo de Vulnerabilidades Conhecidas Exploradas (KEV) da CISA ou que afetem software do governo federal dos EUA. Embora todas as vulnerabilidades submetidas sejam listadas na Base de Dados Nacional de Vulnerabilidades (NVD), as de baixa prioridade terão apenas a classificação de severidade fornecida pela Autoridade de Numeração CVE (CNA) que as avaliou. O NIST justificou essa mudança pelo crescimento de 263% nas submissões, o que tornou insustentável a manutenção do nível anterior de detalhamento. A nova abordagem permitirá que o NIST concentre seus esforços nas vulnerabilidades com maior potencial de impacto, embora reconheça que algumas vulnerabilidades de alto impacto possam não ser priorizadas. O NIST também aceita solicitações de enriquecimento para vulnerabilidades de menor prioridade por meio de e-mail.

Recentemente, notificações de mudança de conta da Apple estão sendo exploradas por golpistas para enviar e-mails de phishing que simulam compras fraudulentas de iPhones. Um leitor compartilhou um e-mail que parecia uma notificação de segurança legítima da Apple, informando sobre uma atualização de informações da conta. No entanto, o e-mail continha um alerta falso sobre a compra de um iPhone de $899 via PayPal, acompanhado de um número de telefone para cancelar a transação. Esses e-mails são projetados para enganar os destinatários, fazendo-os acreditar que suas contas foram comprometidas, levando-os a ligar para o número do golpista. Ao fazer isso, os golpistas tentam convencer as vítimas a instalar software de acesso remoto ou fornecer informações financeiras. A campanha destaca como os criminosos cibernéticos estão evoluindo suas táticas, utilizando recursos legítimos de sites para realizar ataques. Os e-mails são enviados a partir da infraestrutura da Apple, passando por verificações de autenticação, o que aumenta sua legitimidade. Os usuários devem ser cautelosos com alertas inesperados sobre compras e números de suporte, especialmente se não tiverem realizado alterações recentes em suas contas.

O Surfshark, um dos principais serviços de VPN, está oferecendo uma promoção exclusiva para leitores do TechRadar, com descontos de até 88% e 4 meses adicionais de proteção. Os preços começam a partir de apenas $1,78 por mês, totalizando menos de $50 por 28 meses de serviço. Essa oferta torna o Surfshark uma opção acessível, especialmente em comparação com concorrentes como o NordVPN, que é mais caro. O plano One, que custa $61,04, inclui recursos como proteção contra vírus, alertas de vazamento de dados e um mecanismo de busca seguro. Embora o Surfshark seja classificado como o segundo melhor VPN em geral, ele se destaca por oferecer conexões simultâneas ilimitadas, o que é ideal para famílias. Recentemente, a empresa anunciou um novo protocolo chamado Dausos, que promete melhorar a segurança e a velocidade, posicionando-se como um forte concorrente no mercado de cibersegurança. Todos os planos vêm com uma garantia de devolução do dinheiro em 30 dias, permitindo que os usuários testem o serviço sem riscos.

A Microsoft alertou sobre um bug introduzido em uma atualização recente do navegador Microsoft Edge, que afeta a funcionalidade de colar no cliente desktop do Microsoft Teams. Usuários têm relatado que a opção ‘Colar’ aparece desativada ao tentar colar URLs, textos ou imagens em chats, utilizando o menu de contexto do botão direito. Para contornar o problema, a empresa recomenda o uso de atalhos de teclado: Ctrl + C e Ctrl + V no Windows, ou Cmd + C e Cmd + V no macOS. O erro é resultado de uma regressão de código na atualização do Edge, que o Teams utiliza para algumas funcionalidades. A Microsoft está ciente do problema e está implementando uma correção em etapas, mas ainda não forneceu um cronograma exato para a resolução completa. O bug tem afetado tanto usuários corporativos quanto individuais, com relatos de que reinstalar o Teams ou limpar o cache não resolveu a questão. A situação é monitorada pela Microsoft, que busca garantir a recuperação dos sistemas afetados.

Um código de exploração de prova de conceito foi publicado para uma falha crítica de execução remota de código (RCE) no protobuf.js, uma implementação JavaScript amplamente utilizada dos Protocol Buffers do Google. Essa biblioteca, que é popular no registro do Node Package Manager (npm) com cerca de 50 milhões de downloads semanais, é utilizada para comunicação entre serviços e armazenamento eficiente de dados estruturados. A vulnerabilidade, identificada como GHSA-xq3m-2v4x-88gg, resulta de uma geração de código dinâmico insegura, onde a biblioteca constrói funções JavaScript a partir de esquemas protobuf sem validar adequadamente os identificadores derivados do esquema. Isso permite que um atacante forneça um esquema malicioso que injete código arbitrário na função gerada, possibilitando a execução desse código quando a aplicação processa uma mensagem usando o esquema comprometido. A falha afeta as versões 8.0.0/7.5.4 e anteriores do protobuf.js, e a Endor Labs recomenda a atualização para as versões 8.0.1 e 7.5.5, que corrigem o problema. Embora a exploração seja considerada simples, até o momento não foram observadas explorações ativas na natureza.

Pesquisas recentes da Fortinet e Palo Alto Networks revelam que atores de ameaças estão explorando falhas de segurança em dispositivos TBK DVR e roteadores TP-Link fora de suporte para implantar variantes da botnet Mirai. A vulnerabilidade CVE-2024-3721, que afeta modelos de DVR, permite a injeção de comandos e a instalação de um malware chamado Nexcorium. Este malware é projetado para persistir e realizar ataques de negação de serviço (DDoS). Além disso, a CVE-2023-33538, que impacta roteadores TP-Link, também está sendo alvo de tentativas de exploração, embora com abordagens falhas. Os dispositivos afetados, como o TL-WR940N e TL-WR841N, não recebem mais suporte, o que aumenta o risco para os usuários. Especialistas alertam que a combinação de credenciais padrão e vulnerabilidades conhecidas torna os dispositivos IoT alvos fáceis para ataques. A recomendação é que os usuários substituam esses dispositivos por modelos mais novos e seguros.

A exchange de criptomoedas Grinex, incorporada no Quirguistão e sancionada pelo Reino Unido e pelos EUA, anunciou a suspensão de suas operações após um ataque cibernético que resultou no roubo de 13,74 milhões de dólares. A empresa afirmou que o ataque, ocorrido em 15 de abril de 2026, possui características que sugerem a participação de agências de inteligência estrangeiras, visando desestabilizar a soberania financeira da Rússia. O ataque resultou na perda de mais de 1 bilhão de rublos em fundos de usuários. Grinex é considerada uma rebranding da Garantex, que já havia sido sancionada por lavagem de dinheiro. O roubo foi realizado através de uma série de transações que evitaram a detecção e o congelamento dos ativos. A análise de blockchain revelou que os fundos roubados foram rapidamente convertidos em tokens não congeláveis, uma tática comum entre criminosos para lavar dinheiro. A situação levanta questões sobre a segurança das exchanges de criptomoedas e a possibilidade de operações de bandeira falsa, dada a natureza do ataque e o histórico da Grinex.

A Agência de Segurança Cibernética e de Infraestrutura dos EUA (CISA) alertou sobre uma vulnerabilidade crítica em versões antigas do Microsoft Excel, identificada como CVE-2009-0238. Essa falha, detectada em 2009, permite a execução remota de código (RCE), possibilitando que cibercriminosos comprometam sistemas ao enviar documentos Excel maliciosos. Os ataques podem resultar no roubo de informações sensíveis, implantação de ransomware e corrupção da memória do dispositivo. A vulnerabilidade afeta versões do Microsoft Office Excel 2000 SP3 até 2004 e 2008 para Mac, enquanto versões mais recentes já receberam correções. A CISA não detalhou como os documentos maliciosos são enviados, mas a ameaça permanece ativa, com a possibilidade de exploração por hackers. Especialistas associaram a falha à distribuição de um malware conhecido como “Trojan.Mdropper.AC”. É crucial que usuários e empresas que ainda utilizam essas versões antigas do Excel tomem medidas imediatas para mitigar os riscos associados a essa vulnerabilidade.

O ransomware Payouts King tem utilizado o emulador QEMU como uma backdoor reversa SSH para executar máquinas virtuais ocultas em sistemas comprometidos, contornando a segurança de endpoints. O QEMU, uma ferramenta de virtualização de código aberto, permite que atacantes executem cargas maliciosas e armazenem arquivos dentro de máquinas virtuais, que não são escaneadas pelas soluções de segurança do host. Pesquisadores da Sophos documentaram duas campanhas, uma delas associada ao grupo de ameaças GOLD ENCOUNTER, que utiliza tarefas agendadas para lançar VMs QEMU disfarçadas. A primeira campanha, STAC4713, foi observada em novembro de 2025, enquanto a segunda, STAC3725, explora a vulnerabilidade CitrixBleed 2 (CVE-2025-5777) para obter acesso inicial. Os atacantes têm usado VPNs expostas e engenharia social para infiltrar-se em redes, além de empregar técnicas de ofuscação e mecanismos anti-análise para evitar detecções. O esquema de criptografia do Payouts King combina AES-256 e RSA-4096, e as notas de resgate direcionam as vítimas a sites de vazamento na dark web. A Sophos recomenda que as organizações verifiquem instalações não autorizadas do QEMU e monitorem atividades suspeitas relacionadas a SSH.

O recente caso envolvendo os funkeiros MC Ryan SP e MC Poze do Rodo, que foram presos sob suspeita de lavagem de dinheiro, destaca a importância dos backups na nuvem, especialmente no iCloud. A investigação da Polícia Federal revelou que arquivos armazenados na nuvem do contador do grupo foram cruciais para desvendar um esquema de R$ 1,6 bilhão. Os dados, que incluíam extratos financeiros e conversas, foram acessados por meio de autorização judicial, evidenciando como informações pessoais podem ser utilizadas em investigações criminais. O perito em crimes digitais Wanderson Castilho alerta que muitos usuários não têm plena consciência do que está armazenado na nuvem, já que o iCloud sincroniza automaticamente diversos tipos de dados, mesmo aqueles que foram excluídos. Além disso, ele ressalta que a privacidade e a segurança são conceitos distintos; enquanto a nuvem oferece um nível de privacidade, a segurança dos dados depende da ação do usuário. Para informações sensíveis, Castilho recomenda o armazenamento offline, como em HDs externos criptografados, para evitar riscos de exposição. O caso serve como um alerta sobre a necessidade de maior controle e conscientização sobre o que se armazena na nuvem.