Um novo relatório de Inteligência de Ameaças da Microsoft revela que grupos de ameaças estão cada vez mais utilizando ferramentas de inteligência artificial (IA) para potencializar suas operações cibernéticas. A IA está sendo empregada em diversas etapas de ataques, como reconhecimento, phishing, desenvolvimento de infraestrutura e criação de malware. Os atacantes utilizam modelos de linguagem para redigir e-mails de phishing, traduzir conteúdos, resumir dados roubados e até depurar códigos maliciosos. Exemplos incluem grupos da Coreia do Norte, como Jasper Sleet, que criam identidades digitais falsas para se infiltrar em empresas ocidentais. Além disso, a Microsoft observa que a IA está sendo usada para desenvolver malware que pode se adaptar em tempo real. A empresa alerta que, à medida que as técnicas de ataque evoluem, as organizações devem reforçar suas defesas, focando na detecção de usos anômalos de credenciais e na proteção de sistemas de IA que podem ser alvos futuros. O uso crescente de IA por cibercriminosos representa um risco significativo, exigindo atenção especial dos profissionais de segurança da informação.

Recentemente, um caso alarmante de instalação de câmeras escondidas em banheiros de uma empresa em Içara, Santa Catarina, trouxe à tona a preocupação com a privacidade e a segurança no ambiente de trabalho. A descoberta de uma microcâmera sob uma pia, voltada para um vaso sanitário, resultou em uma ação policial que incluiu a apreensão de equipamentos e a aplicação de um termo circunstanciado por violação de intimidade. A legislação brasileira, através do artigo 216-B do Código Penal, considera crime filmar ou registrar conteúdos íntimos sem consentimento, com penas que variam de seis meses a um ano de prisão.

A Motorola anunciou uma parceria com a GrapheneOS Foundation para desenvolver smartphones empresariais com foco em segurança e privacidade. A GrapheneOS é um sistema operacional baseado no Android Open Source Project, projetado para limitar superfícies de ataque e restringir o acesso a dados em segundo plano, tornando-o ideal para organizações que lidam com informações sensíveis. A colaboração visa integrar as proteções ThinkShield da Lenovo com a arquitetura da GrapheneOS, criando dispositivos que resistem a ataques e são práticos para uso corporativo. No entanto, atualmente, apenas dispositivos da linha Google Pixel são oficialmente suportados pela GrapheneOS, e a Motorola ainda não tem um cronograma definido para lançar smartphones com esse sistema. Além disso, a Motorola está ampliando suas ferramentas empresariais com o Moto Analytics, que oferece visibilidade operacional para equipes de TI, e o Moto Secure, que remove automaticamente metadados sensíveis de fotos, reforçando a privacidade dos usuários. Apesar do potencial, a implementação prática dessas inovações pode levar tempo, uma vez que a colaboração se concentra em pesquisa e desenvolvimento.

O escritório do xerife do condado de Warren, Kentucky, confirmou um vazamento de dados ocorrido em dezembro de 2025, que comprometeu informações sensíveis, como números de Seguro Social, números de carteira de motorista e IDs de seguro de saúde. O grupo cibercriminoso RansomHouse reivindicou a responsabilidade pelo ataque, alegando ter roubado 743 GB de dados, incluindo licenças de armas e materiais investigativos que demonstram abuso de autoridade por parte de oficiais. O xerife não confirmou a alegação do grupo e não se sabe se um resgate foi pago. O ataque foi detectado em 20 de dezembro de 2025, quando atividades suspeitas foram identificadas na rede do escritório. O aviso enviado às vítimas não ofereceu monitoramento de crédito ou seguro contra roubo de identidade, práticas comuns após vazamentos desse tipo. RansomHouse, que opera um esquema de ransomware como serviço, já realizou 51 ataques em 2025, afetando entidades governamentais, incluindo o Supremo Tribunal Administrativo da Bulgária e o Conselho de Artes da Suécia. O aumento de ataques de ransomware a entidades governamentais nos EUA, com 85 incidentes confirmados em 2025, destaca a gravidade da situação.

A TriZetto Provider Solutions, uma empresa de tecnologia da informação na área da saúde, anunciou um vazamento de dados que afetou mais de 3,4 milhões de pessoas. A empresa, que opera sob o grupo Cognizant desde 2014, detectou atividades suspeitas em um de seus portais em 2 de outubro de 2025, iniciando uma investigação com especialistas em cibersegurança. A análise revelou que o acesso não autorizado começou em 19 de novembro de 2024. Durante esse período, informações sensíveis, como endereços físicos, datas de nascimento, números de Seguro Social e dados de seguradoras de saúde, foram acessadas. Embora a TriZetto tenha informado que dados financeiros não foram expostos e que não há evidências de uso indevido das informações, a empresa tomou medidas para reforçar a segurança de seus sistemas e notificou as autoridades competentes. Os afetados receberão 12 meses de monitoramento de crédito e serviços de proteção de identidade. A notificação aos clientes começou em fevereiro de 2026, após alertas enviados a provedores em dezembro de 2025. Até o momento, nenhum grupo de ransomware reivindicou a responsabilidade pelo ataque.

Uma investigação dos jornais suecos Svenska Dagbladet e Göteborgs-Posten revelou que os óculos inteligentes Meta Ray-Ban estão gravando vídeos de usuários sem consentimento, incluindo imagens de momentos privados e informações sensíveis. As gravações são enviadas para uma central de análise no Quênia, onde colaboradores revisam o conteúdo, expondo a falta de privacidade e consentimento. Funcionários relataram que as análises incluem cenas de salas de estar e corpos nus, e que o recurso de desfocar rostos falha em algumas situações. O dispositivo pode gravar manualmente ou através de inteligência artificial, mas as gravações são enviadas para análise mesmo quando o modo manual está ativado, levantando preocupações sobre a transparência da coleta de dados. A Meta afirmou que as mídias permanecem no dispositivo a menos que o usuário opte por compartilhá-las, mas a falta de clareza sobre o que é enviado para os servidores é alarmante. Especialistas destacam a necessidade de maior transparência e proteção da privacidade dos usuários, especialmente em relação à LGPD no Brasil.

Um recente artigo da BBC revelou que os funcionários do TikTok têm a capacidade de acessar mensagens privadas dos usuários, uma vez que a plataforma não utiliza criptografia ponta-a-ponta. Diferentemente de aplicativos como WhatsApp e Signal, que protegem as comunicações de forma que nem mesmo a empresa pode acessá-las, o TikTok opta por uma abordagem que permite o acesso a mensagens por parte de sua equipe de segurança. Essa decisão é justificada pela empresa como uma necessidade para cumprir a lei e garantir a segurança dos usuários. No entanto, essa prática levanta preocupações sobre a privacidade dos dados dos usuários, especialmente considerando que muitos usuários podem não estar cientes dessa vulnerabilidade. A falta de criptografia ponta-a-ponta significa que, embora as mensagens sejam criptografadas, elas podem ser acessadas por funcionários treinados, o que contrasta com a abordagem de outras plataformas que priorizam a privacidade do usuário. Essa situação é particularmente relevante em um contexto onde a proteção de dados é uma preocupação crescente, especialmente com a implementação da Lei Geral de Proteção de Dados (LGPD) no Brasil.

A LastPass, renomada empresa de gerenciamento de senhas, emitiu um alerta sobre uma nova campanha de phishing que visa roubar credenciais de usuários. Os criminosos estão se passando por funcionários do suporte técnico, enviando e-mails que alegam haver atividades suspeitas nas contas dos usuários. Com um tom urgente, os golpistas incentivam as vítimas a clicarem em links que prometem alterar o endereço de e-mail da conta para evitar invasões. As mensagens incluem frases como ‘denunciar atividade suspeita’ e ‘desconectar e bloquear o cofre’, criando uma falsa sensação de urgência e segurança. Ao clicar nos links, os usuários são direcionados a páginas falsas de login hospedadas em domínios fraudulentos, como ‘verify-lastpass[.]com’, onde suas credenciais são coletadas. A LastPass garantiu que sua infraestrutura não foi comprometida e que nunca solicitará senhas diretamente aos usuários. A empresa também está trabalhando com parceiros para remover os sites fraudulentos. Este incidente destaca a importância da conscientização sobre segurança cibernética e a necessidade de verificar a autenticidade de comunicações recebidas.

Pesquisadores da Zenity Labs identificaram falhas de segurança em navegadores que utilizam inteligência artificial, permitindo que hackers acessem informações sensíveis de forma discreta. Um exemplo é o navegador Comet, da Perplexity, que apresentava uma vulnerabilidade que permitia a injeção de comandos maliciosos através de convites enviados por aplicativos de calendário, como o Google Calendar. Ao aceitar um convite, o navegador executava ações sem o conhecimento do usuário, como acessar e exfiltrar dados do sistema. Além disso, outra falha permitia que atacantes acessassem o gerenciador de senhas do navegador, possibilitando a alteração de senhas e configurações sem que a vítima percebesse. Essas vulnerabilidades foram corrigidas em fevereiro de 2026, mas ressaltam a preocupação com a segurança em navegadores que incorporam IA, uma vez que a distinção entre comandos legítimos e maliciosos se torna cada vez mais difícil. A OpenAI já alertou que tais vulnerabilidades podem ser desafiadoras de mitigar completamente, dada a natureza permissiva dos assistentes pessoais. A situação destaca a necessidade de vigilância contínua e medidas de segurança robustas para proteger dados sensíveis.

A Cloudflare divulgou seu Relatório Anual de Ameaças de 2026, destacando como hackers estão explorando fraquezas tecnológicas em um cenário onde a interconexão de sistemas é cada vez mais comum. Os cibercriminosos estão utilizando os próprios serviços das vítimas para realizar ataques, aproveitando a facilidade de acesso a dados e sistemas. A pesquisa revela que a barreira de entrada para ataques cibernéticos diminuiu, permitindo que atacantes usem identidades e tokens para explorar brechas em sistemas de nuvem. Blake Darché, diretor de inteligência de ameaças da Cloudflare, alerta que a situação tende a piorar, especialmente com o avanço das ferramentas de inteligência artificial. Os ataques baseados em identidade estão se tornando tão eficazes quanto malwares complexos, mudando a forma como a eficiência dos ataques é medida. A Cloudflare sugere que a eficiência deve ser avaliada pela relação entre o esforço do hacker e o objetivo alcançado, indicando uma nova era de ameaças digitais que requer atenção redobrada das organizações.

Pesquisadores da Push Security identificaram uma nova técnica de engenharia social chamada InstallFix, que está sendo utilizada por cibercriminosos para induzir usuários a executar comandos maliciosos sob a falsa promessa de instalação de ferramentas legítimas de interface de linha de comando (CLI). Essa técnica explora a prática comum entre desenvolvedores de baixar e executar scripts de fontes online sem a devida verificação. O ataque utiliza páginas clonadas de ferramentas populares, como o Claude Code, que imitam o layout e a documentação do site oficial, mas fornecem instruções de instalação que entregam malware. O malware identificado é o Amatera Stealer, projetado para roubar dados sensíveis, como credenciais e carteiras de criptomoedas. Os atacantes promovem essas páginas por meio de campanhas de malvertising no Google Ads, levando usuários a clicar em anúncios maliciosos que aparecem nos resultados de busca. A Push Security alerta que, devido à confiança excessiva em domínios, essa técnica pode se tornar uma ameaça significativa, especialmente para usuários não técnicos. Os pesquisadores recomendam que os usuários sempre busquem instruções de instalação em sites oficiais e evitem resultados patrocinados nas buscas do Google.

O EC-Council, conhecido por suas credenciais em cibersegurança, lançou a Enterprise AI Credential Suite, que inclui quatro novas certificações focadas em Inteligência Artificial (IA) e uma atualização do programa Certified CISO v4. Essa iniciativa surge em um contexto de crescente adoção de IA, onde se estima que o risco global não gerenciado pode atingir US$ 5,5 trilhões e que 700 mil trabalhadores nos EUA necessitam de requalificação. As novas certificações são: Artificial Intelligence Essentials (AIE), Certified AI Program Manager (CAIPM), Certified Offensive AI Security Professional (COASP) e Certified Responsible AI Governance & Ethics (CRAGE). Essas credenciais visam preparar profissionais para adotar, defender e governar sistemas de IA de forma responsável e segura. O lançamento está alinhado com as prioridades de desenvolvimento da força de trabalho e educação em IA dos EUA, conforme delineado em ordens executivas recentes. A pressão por segurança também aumenta, com 87% das organizações relatando ataques impulsionados por IA, destacando a necessidade urgente de capacitação e governança na área.

A Agência de Segurança Cibernética e Infraestrutura dos EUA (CISA) emitiu uma ordem para que agências federais corrijam três vulnerabilidades de segurança no iOS, que estão sendo exploradas em ataques de ciberespionagem e roubo de criptomoedas, utilizando o kit de exploração Coruna. Pesquisadores do Google Threat Intelligence Group (GTIG) identificaram que o Coruna utiliza uma cadeia de exploits que ataca 23 vulnerabilidades do iOS, muitas das quais foram utilizadas em ataques zero-day. As falhas não afetam versões recentes do iOS e são bloqueadas se o usuário estiver em modo de navegação privada ou com o modo de bloqueio ativado. O Coruna permite que atacantes contornem a autenticação de código, escapem de sandbox e executem código remotamente no WebKit, elevando permissões a privilégios de Kernel. O kit foi observado em uso por diversos grupos de ameaças, incluindo um grupo suspeito de estar vinculado ao estado russo e um ator de ameaças da China. A CISA incluiu as vulnerabilidades em seu catálogo de Vulnerabilidades Conhecidas e ordenou que as agências federais protejam seus dispositivos até 26 de março. Embora a ordem se aplique apenas a agências federais, a CISA recomenda que todas as organizações, incluindo empresas do setor privado, priorizem a correção dessas falhas.

Uma nova pesquisa da Symantec e Carbon Black revelou que um grupo de hackers iraniano, conhecido como MuddyWater, está infiltrando-se em redes de várias empresas dos Estados Unidos, incluindo bancos e aeroportos. A campanha, que começou em fevereiro de 2026, coincide com ataques militares dos EUA e de Israel ao Irã. Os hackers estão utilizando uma nova backdoor chamada Dindoor, que opera com o runtime JavaScript Deno, e tentaram exfiltrar dados de uma empresa de software que fornece serviços para a indústria de defesa. Além disso, uma backdoor em Python chamada Fakeset foi encontrada em redes de um aeroporto e de uma organização sem fins lucrativos. O uso de certificados digitais comuns entre diferentes malwares sugere que o mesmo grupo está por trás dessas atividades. A pesquisa destaca a crescente sofisticação dos atores de ameaças iranianos, que têm demonstrado habilidades avançadas em engenharia social e ataques cibernéticos. O contexto de conflito militar no Oriente Médio tem intensificado as operações cibernéticas, com grupos hacktivistas pro-Palestina também realizando ataques. As organizações são aconselhadas a reforçar suas posturas de cibersegurança, implementando autenticação multifator e segmentação de rede.

Pesquisadores de cibersegurança revelaram detalhes sobre uma campanha de malware em múltiplas etapas, chamada VOID#GEIST, que utiliza scripts em lote para entregar trojans de acesso remoto (RATs) como XWorm, AsyncRAT e Xeno RAT. O ataque começa com um script em lote ofuscado que é baixado de um domínio TryCloudflare e distribuído via e-mails de phishing. Este script inicial evita a elevação de privilégios e utiliza os direitos do usuário logado para estabelecer uma presença inicial no sistema, disfarçando suas atividades como operações administrativas comuns.

O grupo de hackers conhecido como Transparent Tribe, alinhado ao Paquistão, adotou ferramentas de codificação assistidas por inteligência artificial (IA) para desenvolver uma variedade de implantes maliciosos. Segundo a Bitdefender, essa nova abordagem resulta em uma produção em massa de malware, utilizando linguagens de programação menos conhecidas como Nim, Zig e Crystal. A estratégia, denominada ‘vibeware’, visa complicar a detecção ao inundar ambientes-alvo com binários descartáveis que utilizam diferentes protocolos de comunicação. Os ataques têm como alvo o governo indiano e suas embaixadas, além de empresas privadas e o governo afegão. Os métodos de infecção incluem e-mails de phishing com atalhos do Windows e iscas em PDFs. Após a execução, scripts PowerShell são utilizados para baixar backdoors e ferramentas de simulação de adversários, como Cobalt Strike. A Bitdefender alerta que essa industrialização de malware assistido por IA permite que os atacantes escalem suas atividades rapidamente, representando um risco crescente para a segurança cibernética.

O Transport for London (TfL) confirmou que um ataque cibernético ocorrido em agosto de 2024 comprometeu dados pessoais de aproximadamente 10 milhões de pessoas. Informações como nomes, endereços de e-mail, números de telefone fixo e celular, além de endereços físicos, foram roubadas por um grupo de hackers conhecido como Scatted Spider. Inicialmente, o TfL havia informado que apenas alguns clientes foram afetados, mas a nova estimativa revela que 7.113.429 usuários com e-mails registrados foram notificados, com uma taxa de abertura de apenas 58%. Isso significa que muitos afetados podem não estar cientes do roubo de dados. O ataque causou uma interrupção significativa nos serviços do TfL e resultou em danos estimados em £39 milhões. Embora o Information Commissioner’s Office (ICO) tenha isentado o TfL de responsabilidade, a empresa teve que gastar cerca de £30 milhões para remediar a situação, incluindo suporte de organizações de cibersegurança. O impacto desse incidente é alarmante, pois os dados roubados podem ser utilizados em fraudes futuras. Especialistas alertam que a transparência imediata sobre a escala de tais ataques é crucial para a segurança dos usuários.

O FBI dos Estados Unidos confirmou na quinta-feira que está investigando uma violação de segurança que afetou sistemas utilizados para gerenciar mandados de vigilância e escuta telefônica. Embora a agência não tenha fornecido detalhes sobre a extensão e o impacto do incidente, afirmou que as atividades suspeitas foram identificadas e tratadas. Fontes anônimas indicam que a violação comprometeu sistemas críticos para a supervisão de escuta e vigilância de inteligência estrangeira. Além disso, há indícios de que hackers chineses, parte de um grupo apoiado pelo Estado chamado Salt Typhoon, também comprometeram sistemas do governo federal dos EUA em 2024, acessando redes de provedores de telecomunicações e as comunicações privadas de alguns oficiais do governo. O FBI já havia enfrentado incidentes anteriores, como o ataque a seus servidores de e-mail em 2021 e investigações sobre atividades cibernéticas maliciosas em 2023. Esses eventos ressaltam a crescente sofisticação das ameaças cibernéticas e a necessidade de vigilância constante.

Derrick Van Yeboah, um cidadão ganense de 40 anos, se declarou culpado por sua participação em um esquema de fraude que roubou mais de US$ 100 milhões de vítimas nos Estados Unidos, utilizando ataques de comprometimento de e-mail comercial e golpes românticos. Ele concordou em pagar mais de US$ 10 milhões em restituição. Van Yeboah era um membro de alto escalão de uma operação de fraude em larga escala baseada em Gana, que visava americanos entre 2016 e maio de 2023. Ele foi extraditado para os EUA em agosto de 2025, junto com outros cúmplices. Os golpistas, conhecidos como “game boys” ou “sakawa boys”, enganaram homens e mulheres vulneráveis, convencendo-os de que estavam em relacionamentos românticos online e induzindo-os a depositar dinheiro em contas bancárias de intermediários nos EUA. Os cúmplices americanos lavavam o dinheiro e enviavam o restante para os membros da quadrilha na África Ocidental. Van Yeboah foi ligado a perdas superiores a US$ 10 milhões e enfrenta até 20 anos de prisão. O caso destaca a necessidade de vigilância online, especialmente em sites de namoro, onde as vítimas são frequentemente exploradas.

A Agência de Segurança Cibernética e Infraestrutura dos EUA (CISA) incluiu duas vulnerabilidades críticas no catálogo de Vulnerabilidades Conhecidas e Exploradas (KEV), afetando produtos da Hikvision e da Rockwell Automation. A primeira, CVE-2017-7921, com uma pontuação CVSS de 9.8, refere-se a uma falha de autenticação inadequada em diversos produtos da Hikvision, permitindo que um usuário malicioso eleve privilégios e acesse informações sensíveis. A segunda, CVE-2021-22681, também com pontuação 9.8, diz respeito a credenciais insuficientemente protegidas em produtos da Rockwell, permitindo que um usuário não autorizado contorne mecanismos de verificação e altere configurações. A CISA recomenda que agências federais atualizem seus softwares até 26 de março de 2026, enfatizando que essas vulnerabilidades são vetores frequentes de ataque e representam riscos significativos. Embora a CVE-2017-7921 tenha sido associada a tentativas de exploração, não há relatos públicos sobre ataques relacionados à CVE-2021-22681. A CISA alerta que todas as organizações devem priorizar a remediação dessas vulnerabilidades como parte de suas práticas de gerenciamento de vulnerabilidades.

A Microsoft revelou detalhes sobre uma nova campanha de engenharia social chamada ClickFix, que utiliza o aplicativo Windows Terminal para ativar uma cadeia de ataques sofisticados e implantar o malware Lumma Stealer. Observada em fevereiro de 2026, a campanha orienta os usuários a abrir o Windows Terminal através do atalho Windows + X → I, criando um ambiente de execução de comandos que parece legítimo e confiável. Essa abordagem contorna detecções que normalmente sinalizariam abusos do diálogo de execução do Windows.

Desde 2024, um ator de ameaça persistente avançada (APT) vinculado à China, identificado como UAT-9244, tem como alvo a infraestrutura crítica de telecomunicações na América do Sul, atacando sistemas Windows e Linux, além de dispositivos de borda. A Cisco Talos, que monitora essa atividade, descreve UAT-9244 como associado ao grupo FamousSparrow, que também possui vínculos com o grupo Salt Typhoon, conhecido por suas ações contra provedores de serviços de telecomunicações.

O Oukitel WP500 Ultra é um smartphone robusto que se destaca por suas funcionalidades inovadoras, incluindo visão térmica, armazenamento extenso e controles de privacidade em nível de hardware. Equipado com um sensor térmico de 640 x 512 pixels e uma lente de fusão de 8MP, o dispositivo utiliza algoritmos de inteligência artificial para criar mapas visuais detalhados a partir de assinaturas de calor. Isso o torna útil para inspeções em ambientes com baixa visibilidade, como a detecção de superaquecimento de aparelhos e a identificação de riscos ocultos.

Recentemente, pesquisadores da Huntress identificaram uma campanha maliciosa que utiliza instaladores falsos do OpenClaw, um agente de IA de código aberto, para disseminar malware. Os atacantes criaram repositórios no GitHub que se apresentavam como instaladores legítimos do OpenClaw, sendo promovidos pelo recurso de busca aprimorada da IA do Microsoft Bing. Esses repositórios, embora parecessem autênticos à primeira vista, continham instruções que levavam os usuários a executar comandos que implantavam malware, como infostealers e proxies. Para usuários de macOS, as instruções incluíam um comando bash que direcionava para um repositório malicioso, enquanto usuários do Windows eram levados a baixar executáveis que continham loaders de malware. Entre os malwares identificados estavam o Vidar, que coleta dados de usuários, e o GhostSocks, que transforma máquinas em nós de proxy. A Huntress reportou os repositórios maliciosos ao GitHub, mas ainda não está claro se foram removidos. Este incidente destaca a importância de verificar a autenticidade de fontes de download e a necessidade de cautela ao buscar software online.

Um grupo de ameaça persistente avançada, identificado como UAT-9244 e vinculado à China, tem como alvo provedores de serviços de telecomunicações na América do Sul desde 2024. Pesquisadores da Cisco Talos relataram que o grupo utiliza três novas famílias de malware: TernDoor, um backdoor para Windows; PeerTime, um backdoor para Linux que utiliza o protocolo BitTorrent; e BruteEntry, um scanner de força bruta que transforma dispositivos comprometidos em nós de escaneamento.

O artigo destaca que, apesar da implementação de autenticação multifator (MFA) em ambientes Windows, muitas organizações ainda enfrentam riscos significativos devido a caminhos de autenticação que não acionam MFA. Os atacantes continuam a comprometer redes usando credenciais válidas, especialmente em logons interativos e acessos diretos via RDP, que não são protegidos por controles de MFA. O uso de protocolos legados como NTLM e Kerberos também é explorado, permitindo ataques como ‘pass-the-hash’ e ‘pass-the-ticket’. Para mitigar esses riscos, o artigo sugere a adoção de políticas de senhas mais rigorosas, bloqueio de senhas comprometidas e auditoria de contas de serviço. Ferramentas como Specops Secure Access são mencionadas como soluções para reforçar a segurança em logons do Windows, VPN e RDP, dificultando o acesso não autorizado. A análise enfatiza a necessidade de uma abordagem proativa para proteger a autenticação no Windows, considerando a crescente sofisticação dos ataques cibernéticos.

Pesquisadores da Check Point Research alertaram sobre uma campanha de ciberespionagem, denominada ‘Silver Dragon’, que visa instituições governamentais na Europa e no Sudeste Asiático. O grupo hacker APT41, associado à China, utiliza um backdoor chamado GearDoor, que explora a API do Google Drive para roubar dados. Os atacantes empregam táticas de phishing, enviando documentos maliciosos que simulam comunicações oficiais. Após a instalação do malware, ele cria uma pasta na nuvem para ocultar suas atividades, enviando arquivos comuns para não levantar suspeitas. Além disso, o malware utiliza um sistema de monitoramento chamado SilverScreen para capturar imagens da tela das vítimas sem sobrecarregar o sistema. A operação se aproveita de recursos legítimos do Windows para garantir sua permanência e dificultar a detecção por redes governamentais. Essa situação representa um risco significativo para a segurança de dados sensíveis, especialmente considerando a crescente dependência de plataformas de armazenamento em nuvem por entidades governamentais.

Um novo exploit, denominado Coruna, foi identificado pelo Grupo de Inteligência de Ameaças da Google, visando iPhones. Este kit hacker, que contém 23 exploits, foi desenvolvido a partir de um framework do governo dos Estados Unidos e acabou sendo utilizado por cibercriminosos da China e Rússia. O Coruna é notável por sua complexidade, permitindo ataques em massa a dispositivos iOS, algo inédito até então. A vulnerabilidade abrange iPhones com iOS desde a versão 13.0 até a 17.2.1. A descoberta ocorreu após um hacker chinês utilizar o kit em sites de apostas e criptomoedas, levando à sua análise pela iVerify, que destacou que a documentação do malware foi redigida em inglês nativo. Para mitigar os riscos, usuários são aconselhados a atualizar seus dispositivos ou ativar o Modo Isolamento. O caso levanta preocupações sobre a segurança de dados pessoais e financeiros, especialmente em um contexto onde o uso de spyware por governos é comum, mas sua exposição a cibercriminosos é alarmante.

John Daghita, filho de um contratante do governo dos EUA, foi preso na ilha de Saint Martin, acusado de roubar mais de 46 milhões de dólares em criptomoedas do Serviço de Marshals dos EUA. A prisão foi resultado de uma operação conjunta entre o FBI e a elite da Gendarmerie Nacional da França. Daghita, que usava o pseudônimo ‘Lick’, é filho de Dean Daghita, CEO da Command Services & Support, empresa que gerencia ativos digitais apreendidos pelo governo. As investigações revelaram que Daghita teria movimentado grandes quantias de criptomoedas, ligadas a um dos maiores roubos de criptomoedas da história, o hack da Bitfinex em 2016, que resultou no roubo de 120.000 bitcoins. O investigador ZachXBT foi crucial para a descoberta, rastreando os movimentos de carteiras digitais e expondo Daghita em um chat privado no Telegram. Após a divulgação, Daghita teria zombado do investigador, enviando pequenas quantias das criptomoedas roubadas como forma de provocação. A operação destaca a importância da cooperação internacional no combate a crimes cibernéticos.

Uma vulnerabilidade crítica no plugin User Registration & Membership, desenvolvido pela WPEverest e instalado em mais de 60.000 sites WordPress, está sendo explorada por hackers. A falha, identificada como CVE-2026-1492, possui uma gravidade de 9.8, permitindo que atacantes criem contas de administrador sem autenticação, o que lhes confere acesso total ao site. Isso possibilita o roubo de dados, como informações de usuários registrados, e a inserção de códigos maliciosos para disseminar malware. A empresa de segurança WordPress Defiant bloqueou mais de 200 tentativas de exploração dessa vulnerabilidade em apenas 24 horas. A falha afeta todas as versões do plugin até a 5.1.2, e a correção foi disponibilizada na versão 5.1.3. Administradores de sites são aconselhados a atualizar para a versão mais recente, 5.1.4, ou desativar temporariamente o plugin se a atualização não for viável. A exploração de vulnerabilidades em plugins do WordPress é uma prática comum entre hackers, visando atividades maliciosas como distribuição de malware e phishing.

A Wikimedia Foundation enfrentou um incidente de segurança significativo quando um worm JavaScript auto-propagante começou a vandalizar páginas e modificar scripts de usuários em várias wikis. O ataque foi inicialmente relatado no Village Pump da Wikipedia, onde editores notaram uma quantidade anormal de edições automatizadas que inseriam scripts ocultos e vandalismos em páginas aleatórias. Os engenheiros da Wikimedia restringiram temporariamente a edição em todos os projetos enquanto investigavam o ataque e revertiam as alterações. O worm JavaScript parece ter sido ativado por um script malicioso hospedado na Wikipedia em russo, que foi executado por uma conta de funcionário da Wikimedia durante testes. O script injetava carregadores JavaScript maliciosos nos arquivos common.js de usuários logados e no MediaWiki:Common.js global, afetando todos os editores. Aproximadamente 3.996 páginas foram modificadas e cerca de 85 usuários tiveram seus arquivos common.js substituídos. Embora a injeção de código tenha sido removida e a edição tenha sido restaurada, a Wikimedia ainda não divulgou um relatório detalhado sobre a execução do script ou a extensão da propagação do worm antes de ser contido.

A Google confirmou a exploração da vulnerabilidade de segurança CVE-2026-21385, que afeta dispositivos Android devido a uma falha em um componente da Qualcomm. Essa vulnerabilidade, classificada como de alta severidade, permite que hackers acessem dados sensíveis da memória dos aparelhos. A Qualcomm foi notificada sobre o problema em dezembro de 2025 e, embora tenha alertado os consumidores em fevereiro de 2026, a Google não forneceu detalhes técnicos sobre como a falha foi explorada. A vulnerabilidade se refere a uma leitura excessiva (over-read) no componente gráfico, que pode levar à corrupção de memória e, consequentemente, comprometer a segurança dos usuários. Apesar de a Google ter mencionado que a exploração foi limitada e direcionada, a falta de informações detalhadas gera preocupações sobre a segurança dos dispositivos Android. A última atualização do Android, lançada em março de 2026, abordou 120 vulnerabilidades, mas não incluiu um patch específico para a falha da Qualcomm, deixando os usuários em uma situação de incerteza até que novas atualizações sejam disponibilizadas.

Um estudo da VulnCheck revelou que, embora milhares de falhas de segurança sejam registradas anualmente, apenas 1% delas é explorado por hackers, resultando em danos significativos. Em 2025, foram identificadas 48 mil vulnerabilidades, mas apenas algumas foram alvo de ciberataques, com destaque para o React2Shell, que permitiu a violação de sistemas de segurança em plataformas online. Além disso, vulnerabilidades no Microsoft SharePoint e no SAP NetWeaver também foram frequentemente exploradas. A pesquisa indicou que 56,4% das falhas estão relacionadas a ataques de ransomware, um dado alarmante para a segurança digital. O uso crescente de inteligência artificial (IA) para gerar códigos maliciosos tem contribuído para um aumento de 16,5% nos exploits em comparação ao ano anterior, tornando os ataques mais rápidos e eficazes. A situação exige atenção redobrada das empresas, especialmente em um cenário onde a maioria das falhas ainda é considerada de dia zero, aumentando o risco antes que correções sejam implementadas.

O aplicativo de mensagens Telegram tem se tornado um ponto central para atividades criminosas, com hackers utilizando a plataforma para vender acessos corporativos, dados roubados e serviços de malware. Pesquisadores da CYFIRMA identificaram um aumento na utilização do Telegram para operações ilegais, que antes eram realizadas principalmente em fóruns da dark web. Essa mudança se deve à facilidade de uso e à resistência da plataforma a desativações frequentes por parte das autoridades. Os grupos criminosos no Telegram operam como um ‘shopping center automatizado’, utilizando bots para encontrar senhas roubadas e processar pagamentos rapidamente. Além disso, o Telegram serve como um canal de suporte para esses criminosos, oferecendo ferramentas e recursos para facilitar suas atividades. Apesar de o Telegram ter colaborado com autoridades, atendendo a 900 solicitações de dados nos EUA, essa ação não tem sido suficiente para conter o crescimento desses grupos. A situação exige uma resposta mais robusta, já que a simples vigilância após incidentes não tem se mostrado eficaz para mitigar os danos causados por essas comunidades criminosas.

A Epic Games emitiu um alerta sobre um golpe que está afetando jogadores de Fortnite, onde bots de terceiros estão manipulando contas para roubar V-bucks, a moeda do jogo. Desde que a empresa permitiu transações em Ilhas Criativas, surgiram problemas, incluindo um mapa polêmico que facilitava jogos de azar. Jogadores relataram perdas significativas de V-bucks, mesmo sem terem jogado na ilha envolvida. Tim Sweeney, CEO da Epic, mencionou que bots de Discord estão por trás do problema, realizando compras automáticas e ações em nome dos usuários. Apesar das recomendações da Epic para desconectar contas e habilitar autenticação em duas etapas, alguns jogadores ainda enfrentam dificuldades para se livrar dos bots. O suporte do Fortnite ainda não se manifestou sobre a restituição das moedas perdidas, mas orienta os afetados a reportar as compras indevidas. Este incidente destaca a vulnerabilidade das contas de jogos online e a necessidade de medidas de segurança mais robustas.

A AdGuard lançou recentemente duas extensões focadas em privacidade para o navegador do Meta Quest: o AdGuard Ad Blocker e o AdGuard VPN. Essas ferramentas visam melhorar a experiência de navegação em realidade virtual, que frequentemente é vulnerável a rastreamento e anúncios intrusivos. O bloqueador de anúncios remove anúncios, rastreadores e pop-ups, enquanto a extensão VPN oferece anonimato e acesso a conteúdos geograficamente restritos, criptografando o tráfego do navegador e mascarando o endereço IP do usuário. Essa iniciativa é significativa, pois marca um avanço na personalização e controle do usuário dentro do metaverso, onde a navegação pode ser tão suscetível a ameaças quanto em dispositivos tradicionais. As extensões são compatíveis com os headsets Quest 2, Quest Pro, Quest 3 e Quest 3S, e a instalação é feita diretamente no navegador do dispositivo. A AdGuard se posiciona como uma das primeiras a oferecer essas soluções no ecossistema ainda em desenvolvimento do Meta Quest, destacando a importância de uma navegação segura e sem distrações em ambientes imersivos.

A Cisco identificou duas falhas de segurança no Catalyst SD-WAN Manager, software de gerenciamento de rede, que estão sendo ativamente exploradas. As vulnerabilidades, identificadas como CVE-2026-20128 e CVE-2026-20122, exigem que os administradores atualizem seus dispositivos vulneráveis. A CVE-2026-20122 é uma falha de alta severidade que permite a sobrescrita arbitrária de arquivos, acessível apenas a atacantes remotos com credenciais de leitura e acesso à API. Já a CVE-2026-20128 é uma falha de severidade média que requer credenciais válidas no sistema alvo. Além disso, a Cisco também destacou uma vulnerabilidade crítica (CVE-2026-20127) que permite a bypass de autenticação, permitindo que atacantes sofisticados comprometam controladores e adicionem dispositivos maliciosos às redes desde 2023. A CISA emitiu uma diretiva de emergência, exigindo que agências federais realizem inventários e apliquem atualizações. Recentemente, a Cisco lançou atualizações de segurança para corrigir falhas em seu software Secure Firewall Management Center, que também podem ser exploradas remotamente. É crucial que as organizações que utilizam esses sistemas realizem as atualizações necessárias para evitar compromissos de segurança.

Autoridades de segurança da Espanha e da Ucrânia desmantelaram uma rede criminosa que explorava mulheres ucranianas deslocadas pela guerra para operar um esquema de apostas online que lavou cerca de €4,75 milhões em lucros ilícitos. O grupo recrutava jovens mulheres de áreas em conflito, financiando sua viagem para a Espanha, onde as mantinham sob controle rigoroso. Após a chegada, as vítimas eram orientadas a abrir contas bancárias e cartões de crédito, que eram imediatamente controlados pelos criminosos. As contas eram utilizadas em uma operação de fraude automatizada, que realizava milhares de apostas simultâneas em plataformas de jogos online, utilizando identidades roubadas de mais de 5.000 cidadãos de 17 nacionalidades. A investigação conjunta resultou na prisão de 12 suspeitos e na apreensão de diversos equipamentos e propriedades, além do bloqueio de contas em 11 países. Este caso destaca a vulnerabilidade das mulheres em situações de conflito e a utilização de tecnologia para fraudes financeiras.

O Relatório de Segurança dos Navegadores 2026 revela que os navegadores se tornaram o ponto de controle mais crítico e menos protegido nas empresas. Com a evolução dos navegadores nativos de IA, que passaram de ferramentas experimentais para plataformas de negócios, a forma como os usuários interagem com dados e aplicações mudou drasticamente. Em 2025, 41% dos usuários finais utilizaram pelo menos uma ferramenta de IA, mas a governança não acompanhou essa adoção, resultando em um uso fragmentado e inseguro. O relatório destaca que 54% das entradas sensíveis em aplicativos web foram enviadas para contas corporativas, enquanto 46% foram para contas pessoais, evidenciando a vulnerabilidade na proteção de dados. Além disso, ataques baseados em navegadores, como phishing e extensões maliciosas, estão se tornando mais comuns, enquanto as soluções tradicionais de segurança falham em detectar essas ameaças. O uso de extensões de navegador, muitas vezes consideradas inofensivas, representa um risco significativo, com 13% delas classificadas como de alto ou crítico risco. O relatório conclui que as estratégias de segurança precisam evoluir para incluir visibilidade e controle nativos dos navegadores, a fim de mitigar esses riscos emergentes.

O Google Threat Intelligence Group (GTIG) identificou 90 vulnerabilidades zero-day ativamente exploradas em 2025, um aumento de 15% em relação a 2024, mas abaixo do recorde de 100 em 2023. Quase metade dessas falhas afetou software e dispositivos empresariais. As vulnerabilidades zero-day são falhas de segurança em produtos de software que são exploradas por atacantes antes que o fornecedor tome conhecimento e desenvolva um patch. Em 2025, 47 zero-days visaram plataformas de usuários finais e 43, produtos empresariais. Os tipos de falhas exploradas incluem execução remota de código, escalonamento de privilégios e corrupção de memória, com problemas de segurança de memória representando 35% das vulnerabilidades exploradas. O relatório destaca que a Microsoft foi o fornecedor mais visado, com 25 zero-days explorados. Além disso, pela primeira vez, fornecedores de spyware comerciais superaram grupos de espionagem patrocinados pelo estado em termos de uso de falhas não documentadas. O uso de ferramentas de IA para automatizar a descoberta de vulnerabilidades pode manter a exploração de zero-days alta em 2026. O GTIG recomenda a redução da superfície de ataque e a monitorização contínua para detectar e conter essas explorações.

Um grupo de ameaças ligado ao Irã, identificado como Dust Specter, está sendo responsabilizado por uma campanha de ciberataques direcionada a autoridades governamentais do Iraque. A campanha, observada pela Zscaler ThreatLabz em janeiro de 2026, utiliza técnicas de engenharia social para se passar pelo Ministério das Relações Exteriores do Iraque e distribuir um conjunto de malwares inéditos, incluindo SPLITDROP, TWINTASK, TWINTALK e GHOSTFORM.

Os ataques começam com um arquivo RAR protegido por senha, que contém um dropper .NET chamado SPLITDROP. Este dropper carrega o módulo TWINTASK, que é um DLL malicioso que se infiltra em um processo legítimo do VLC Media Player para executar comandos a partir de um arquivo de texto. O módulo TWINTALK, por sua vez, atua como um orquestrador de comando e controle (C2), permitindo a comunicação com o servidor C2.

Recentes desenvolvimentos em cibersegurança revelam uma rápida evolução no cenário de ameaças. A equipe de resposta a emergências cibernéticas da Ucrânia (CERT-UA) alertou sobre uma campanha de phishing que visa instituições governamentais, utilizando e-mails maliciosos para disseminar malwares como SHADOWSNIFF e SALATSTEALER. Além disso, um novo serviço de malware como serviço (MaaS) chamado TrustConnect está sendo utilizado para distribuir um RAT (Remote Access Trojan) disfarçado de ferramenta legítima de gerenciamento remoto.

A Cisco divulgou que duas vulnerabilidades críticas no Catalyst SD-WAN Manager estão sendo ativamente exploradas. As falhas, identificadas como CVE-2026-20122 e CVE-2026-20128, têm pontuações CVSS de 7.1 e 5.5, respectivamente. A primeira permite que um atacante remoto autenticado sobrescreva arquivos arbitrários no sistema, enquanto a segunda possibilita que um atacante local obtenha privilégios de usuário do Data Collection Agent (DCA). Para mitigar os riscos, a Cisco lançou patches para diversas versões do software, recomendando que os usuários atualizem imediatamente para versões corrigidas e adotem medidas de segurança adicionais, como restringir o acesso a redes não seguras e monitorar o tráfego de logs. A empresa também alertou sobre uma falha crítica anterior (CVE-2026-20127) que foi explorada por um ator de ameaças sofisticado, destacando a necessidade urgente de atenção à segurança em ambientes corporativos. As vulnerabilidades afetam um produto amplamente utilizado, o que aumenta a relevância para empresas que dependem da tecnologia da Cisco.

Organizações frequentemente acreditam que dados criptografados estão seguros, mas a realidade é que muitos atacantes estão se preparando para um futuro em que a criptografia atual poderá ser quebrada, especialmente com o advento da computação quântica. A técnica conhecida como ‘colher agora, decifrar depois’ implica que dados sensíveis transmitidos hoje podem ser acessíveis anos depois, quando a capacidade quântica se tornar mais avançada. Para mitigar esse risco, é essencial que as empresas adotem práticas de criptografia pós-quântica, como a criptografia híbrida, que combina algoritmos tradicionais com algoritmos resistentes a quânticos, como o ML-KEM. O webinar ‘Segurança Preparada para o Futuro’ abordará como implementar essas estratégias e a importância de manter a visibilidade sobre os algoritmos criptográficos utilizados. As organizações devem identificar dados sensíveis, entender onde a criptografia é aplicada e começar a adotar essas novas estratégias de proteção. Além disso, a arquitetura de Zero Trust é fundamental para garantir o controle sobre o tráfego criptografado. Preparar-se para a era quântica é crucial para proteger informações críticas, especialmente em setores que exigem confidencialidade a longo prazo.

A Europol, em colaboração com forças policiais de vários países, incluindo Portugal e o Reino Unido, desmantelou a Tycoon 2FA, uma das maiores plataformas de phishing como serviço (PhaaS) do mundo. Essa operação, que ocorreu em agosto de 2023, conseguiu desativar 330 domínios que formavam a infraestrutura central da plataforma, que permitia a cibercriminosos contornar a autenticação de dois fatores (2FA) com facilidade. A Tycoon 2FA operava como um ataque de adversário no meio (AiTM), interceptando credenciais de login e cookies de sessão, permitindo acesso não autorizado a contas de usuários, mesmo aquelas protegidas por múltiplas camadas de segurança. A plataforma era bastante popular no submundo digital, gerando cerca de 400 mil dólares em criptomoedas em menos de um ano e enviando milhões de e-mails de phishing mensalmente, afetando quase 100 mil organizações globalmente, incluindo instituições educacionais e de saúde. A operação contou com o apoio de empresas como Microsoft e Cloudflare, que ajudaram a identificar e desativar os domínios utilizados pelos atacantes.

Evgenii Ptitsyn, um cidadão russo de 43 anos, se declarou culpado por um esquema de fraude eletrônica relacionado à operação de ransomware Phobos, que afetou centenas de vítimas em todo o mundo. O Phobos, uma operação de ransomware como serviço (RaaS) ligada à família Crysis, foi responsável por mais de 39 milhões de dólares em pagamentos de resgate de mais de 1.000 entidades públicas e privadas. Ptitsyn foi extraditado da Coreia do Sul em novembro de 2024 e acusado de supervisionar a venda e distribuição do ransomware. Os afiliados do Phobos invadiam redes de alvos, incluindo escolas e hospitais, utilizando credenciais roubadas, criptografando dados sensíveis e exigindo pagamento sob ameaça de vazamento. A operação Aether, coordenada pela Europol, resultou em detenções e apreensões de equipamentos relacionados ao Phobos, destacando a colaboração internacional no combate a esse tipo de crime cibernético. Ptitsyn enfrenta até 20 anos de prisão e sua sentença está marcada para 15 de julho de 2025.

Uma operação conjunta de agências de segurança desmantelou o LeakBase, um dos maiores fóruns online para cibercriminosos, que contava com mais de 142 mil membros e 215 mil mensagens. O fórum, que estava ativo desde junho de 2021, era um mercado para a compra e venda de dados roubados e ferramentas de cibercrime, incluindo credenciais de contas e informações financeiras. O FBI e a Europol lideraram a operação, que ocorreu nos dias 3 e 4 de março de 2026, resultando em buscas, prisões e a apreensão de dados dos usuários, como contas, mensagens privadas e logs de IP. O LeakBase tinha uma política que proibia a venda de bancos de dados russos, possivelmente para evitar a atenção das autoridades. A operação foi parte de um esforço internacional para combater o cibercrime, com ações em vários países, incluindo EUA, Austrália e Reino Unido. O impacto da operação é significativo, pois o LeakBase era uma plataforma central para a troca de informações que poderiam ser usadas em fraudes e invasões de contas.

O Tycoon 2FA, um dos principais kits de phishing como serviço (PhaaS), foi desmantelado por uma coalizão de agências de segurança e polícia. Lançado em agosto de 2023, o kit permitiu que cibercriminosos realizassem ataques de coleta de credenciais em larga escala, afetando quase 100 mil organizações globalmente, incluindo escolas e hospitais. O kit, que era vendido por meio de plataformas como Telegram e Signal, oferecia um painel de administração web para configurar e monitorar campanhas de phishing, permitindo o acesso a informações sensíveis, como credenciais e códigos de autenticação multifatorial (MFA). O desmantelamento resultou na remoção de 330 domínios associados ao serviço criminoso, que gerava dezenas de milhões de e-mails de phishing mensalmente. A Europol e a Microsoft relataram que o Tycoon 2FA foi responsável por 62% de todas as tentativas de phishing bloqueadas pela Microsoft até meados de 2025. A análise geográfica revelou que os EUA tinham a maior concentração de vítimas, seguidos pelo Reino Unido e Canadá. O impacto desses ataques é significativo, pois pode levar a sequestros de contas e perda de dados sensíveis.

Um estudo recente da King’s College London revelou que modelos de IA, como GPT-5.2, Claude Sonnet 4 e Gemini 3 Flash, tratam ameaças nucleares como uma ferramenta estratégica comum em 95% dos jogos de guerra simulados. Os pesquisadores analisaram como essas IAs, atuando como líderes de estados, lidavam com crises geopolíticas, onde frequentemente recorriam a ameaças de aniquilação nuclear. Embora a guerra nuclear em larga escala tenha sido rara nas simulações, as ameaças táticas de uso nuclear foram predominantes. Os modelos de IA mostraram uma tendência a não recuar em confrontos, optando por escalonamento em vez de acomodação, o que sugere que eles veem as armas nucleares mais como instrumentos de coerção do que como um tabu. Essa abordagem pode ser atribuída à grande quantidade de dados de treinamento que refletem a estratégia nuclear, um tema amplamente discutido nas últimas oito décadas. A pesquisa levanta preocupações sobre a segurança da integração de IA em sistemas de defesa governamentais, uma vez que esses modelos não possuem a mesma cautela ética que os líderes humanos ao considerar o uso de armamentos nucleares.

A Bitwarden anunciou uma nova funcionalidade que permite o login em dispositivos com Windows 11 utilizando passkeys armazenadas em seu cofre, oferecendo uma autenticação resistente a phishing. Essa nova opção está disponível para todos os planos, incluindo o gratuito, e funciona ao selecionar a opção de chave de segurança e escanear um código QR com um dispositivo móvel para confirmar o acesso à passkey. Para utilizar essa funcionalidade, é necessário que os dispositivos estejam conectados ao Entra ID, que a autenticação via chave de segurança FIDO2 esteja habilitada e que a passkey esteja registrada no cofre da Bitwarden. A Bitwarden atua como provedora de passkeys no fluxo de autenticação do Windows, permitindo que as credenciais sejam armazenadas em um cofre sincronizado, ao invés de estarem vinculadas a um único dispositivo. Essa abordagem reduz significativamente o risco de exposição de credenciais a ataques de phishing, uma vez que elimina a necessidade de inserir senhas durante o processo de login. A Microsoft planeja implementar essa funcionalidade ainda este mês, dependendo da configuração do Entra ID. Essa inovação representa um avanço significativo na segurança de autenticação em sistemas operacionais.