A autenticação multifatorial (MFA) é considerada uma das principais defesas contra o comprometimento de contas, mas os atacantes estão cada vez mais utilizando técnicas de phishing que não dependem do roubo de senhas ou da violação da MFA. Um exemplo alarmante é o phishing por código de dispositivo, onde os atacantes induzem os usuários a autorizar o acesso através de páginas de autenticação legítimas da Microsoft. Isso permite que os invasores obtenham acesso contínuo sem precisar roubar credenciais. O webinar ‘Stop chasing alerts: Automating email security with behavioral AI’, que ocorrerá em 8 de julho de 2026, abordará como campanhas modernas de phishing, comprometimento de e-mails empresariais (BEC) e ataques de tomada de conta (ATO) exploram serviços confiáveis e fluxos de autenticação para acessar contas corporativas. A solução proposta envolve o uso de inteligência artificial comportamental para identificar atividades incomuns e automatizar a detecção e resposta a esses ataques. O evento promete fornecer abordagens práticas para detectar compromissos de conta mais cedo, reduzir a carga de investigação e melhorar os tempos de resposta.

A Salesforce anunciou a desativação da integração do aplicativo Klue Battlecards em sua plataforma após um incidente de segurança que ocorreu em 11 de junho de 2026. A medida foi tomada após a detecção de atividades incomuns que poderiam ter resultado em acesso não autorizado a dados de clientes. O ataque foi atribuído ao grupo de extorsão Icarus, que comprometeu dados de clientes da Klue, incluindo a empresa de cibersegurança Huntress. Embora dados sensíveis como senhas e informações de pagamento não tenham sido afetados, informações comerciais e de vendas foram copiadas. A Klue identificou que os atacantes acessaram sua infraestrutura por meio de credenciais legadas comprometidas, permitindo a coleta de tokens OAuth utilizados para conectar a Klue a plataformas de terceiros, como a Salesforce. A Klue já tomou medidas para revogar credenciais afetadas e desativar integrações potencialmente impactadas. A situação destaca a vulnerabilidade das integrações de terceiros e a necessidade de monitoramento rigoroso dessas conexões, que muitas vezes têm acesso amplo a dados sensíveis.

A Agência de Segurança Cibernética e Infraestrutura dos EUA (CISA) emitiu um alerta para clientes da Fortinet após a exposição de quase 74 mil credenciais de firewalls e VPNs em um vazamento de dados conhecido como ‘FortiBleed’. O incidente envolve credenciais comprometidas que foram utilizadas por atores maliciosos para atacar dispositivos Fortinet acessíveis pela internet em organizações governamentais e do setor privado ao redor do mundo. A CISA recomenda que os proprietários de dispositivos FortiGate encerrem todas as sessões de VPN e administrativas, redefinam senhas e implementem autenticação multifator resistente a phishing. O vazamento foi descoberto pelo pesquisador de segurança Volodymyr Diachenko, que encontrou um servidor contendo credenciais válidas, incluindo nomes de usuário e senhas em texto claro. A análise da empresa de inteligência em segurança Hudson Rock revelou que o vazamento abrange 21.632 domínios únicos em 194 países, afetando grandes organizações como Samsung, Mercedes-Benz e Toyota. A operação está ligada a um grupo de ameaças de língua russa, que realizou mais de 1,16 bilhão de tentativas de credenciais contra alvos FortiGate. A CISA monitora 26 falhas de segurança da Fortinet que foram exploradas em ataques recentes, incluindo 13 relacionadas a ransomware.

Anthony Belford, um homem de 21 anos de Nova York, foi indiciado por ciberstalking após supostamente compartilhar imagens nuas geradas por IA e mensagens racistas fabricadas para assediar uma estudante universitária da Geórgia. Belford e a vítima frequentaram a mesma faculdade durante o ano acadêmico de 2023-2024. Após a transferência da vítima para uma instituição na Geórgia em agosto de 2024, Belford começou a persegui-la online. Entre janeiro e março de 2025, ele criou perfis falsos em diversas redes sociais, como Instagram e LinkedIn, para se passar pela vítima e disseminar imagens nuas geradas por IA, além de alegações falsas sobre comentários racistas atribuídos à estudante. O Departamento de Justiça dos EUA enfatizou que a lei federal proíbe a divulgação de imagens íntimas sem consentimento, incluindo aquelas geradas por IA, e encorajou as vítimas a reportarem tais violações ao FBI. Este caso destaca a crescente preocupação com o uso de tecnologias de IA para facilitar o assédio online e a importância de medidas de proteção e denúncia para as vítimas.

A Apple lançou uma atualização de firmware para os fones de ouvido Beats Studio Buds, corrigindo uma vulnerabilidade de alta severidade identificada como CVE-2025-20701, com uma pontuação CVSS de 8.8. Essa falha, relacionada a uma autorização incorreta no SDK de áudio Bluetooth Airoha, permite que hackers próximos se conectem aos dispositivos sem o consentimento do usuário, possibilitando a escuta através do microfone. A exploração bem-sucedida da vulnerabilidade não requer privilégios adicionais ou interação do usuário. A falha foi inicialmente destacada em junho de 2025 por pesquisadores da ERNW GmbH e é parte de um conjunto de vulnerabilidades que afetam dispositivos Bluetooth. Além disso, foi revelada uma nova exploração no BootROM dos chips A12 e A13 da Apple, que pode permitir a execução de código malicioso devido a um erro de hardware no controlador USB. Essa situação ressalta a importância da segurança em dispositivos móveis e a necessidade de atualizações regulares para mitigar riscos.

A Nintendo of America confirmou que dados de pesquisa interna foram roubados por um grupo de cibercriminosos conhecido como Shadowbyt3$. A empresa esclareceu que seus sistemas não foram comprometidos e que nenhuma informação pessoal de clientes ou dados financeiros foi acessada. O incidente envolve dados de uma plataforma de terceiros, TinyPulse, utilizada para pesquisas anônimas com funcionários. A Nintendo informou que está colaborando com o provedor do serviço para resolver a questão. O grupo Shadowbyt3$ reivindica ter exfiltrado cerca de 1GB de dados, incluindo nomes completos, endereços de e-mail e informações de funcionários, e exige um resgate de 2 milhões de dólares. Embora a Nintendo tenha afirmado que o vazamento não afeta seus jogos, o grupo ameaçou divulgar mais informações se não houver negociação. A situação destaca a importância de proteger dados sensíveis, especialmente em plataformas de terceiros, e levanta preocupações sobre a segurança de informações internas em empresas de grande porte.

O ransomware Gentlemen, operando como um serviço (RaaS), está aprimorando suas capacidades com um conjunto de ferramentas projetadas para desativar sistemas de detecção e resposta de endpoint (EDR). A principal ferramenta, chamada GentleKiller, possui pelo menos oito variantes que se disfarçam como produtos de segurança legítimos, como Kaspersky e Valorant. Essas ferramentas são utilizadas para neutralizar defesas durante os ataques, permitindo que processos de roubo ou criptografia de dados ocorram sem obstáculos. A técnica ‘bring your own vulnerable driver’ (BYOVD) é empregada para elevar privilégios e desativar motores de segurança, com cada variante do GentleKiller utilizando drivers vulneráveis diferentes para alcançar privilégios de nível kernel. A análise indica que o grupo também utiliza ferramentas externas, como HexKiller e ThrottleBlood, para aumentar a eficácia de seus ataques. O Gentlemen RaaS já comprometeu a fornecedora de energia romena Oltenia e está associado a uma botnet de malware proxy chamada SystemBC. Dada a complexidade e a sofisticação das ferramentas utilizadas, a ameaça representa um risco significativo para empresas que utilizam as tecnologias afetadas.

A F5 Networks anunciou atualizações de segurança para corrigir duas vulnerabilidades críticas no NGINX Open Source, que podem permitir a execução remota de código em sistemas afetados. As falhas, identificadas como CVE-2026-42530 e CVE-2026-42055, possuem uma pontuação CVSS de 9.2, indicando seu alto nível de gravidade. A primeira vulnerabilidade, CVE-2026-42530, é uma falha de uso após a liberação no módulo ngx_http_v3_module, que pode ser explorada por atacantes remotos não autenticados ao manipular sessões HTTP/3. A segunda, CVE-2026-42055, é um estouro de buffer baseado em heap nos módulos ngx_http_proxy_v2_module e ngx_http_grpc_module, que também pode ser ativada por atacantes remotos sob condições específicas. Ambas as falhas podem ser exploradas em sistemas onde a Randomização do Layout do Espaço de Endereços (ASLR) está desativada ou quando o atacante consegue contorná-la. A F5 recomenda desabilitar o HTTP/3 e ajustar as configurações de buffer para mitigar os riscos. Embora não haja relatos de exploração ativa, a história de vulnerabilidades em produtos da F5 sugere que as organizações devem agir rapidamente para aplicar os patches disponíveis.

Um estudo da Serasa Experian revelou que tentativas de fraudes com identidade digital poderiam causar prejuízos de até R$ 1,98 bilhão no Brasil no primeiro trimestre de 2026, caso não fossem bloqueadas. O levantamento identificou quase 1,5 milhão de tentativas de fraudes em cadastros e validações de identidade, um aumento de 36,6% em relação ao mesmo período do ano anterior. Os meios de pagamento foram os mais afetados, com 644,5 mil ocorrências, seguidos por telefonia e serviços bancários. A região Sudeste concentrou a maior parte das tentativas, com São Paulo liderando com mais de 230 mil casos. A pesquisa também destacou o uso crescente de inteligência artificial por golpistas, que torna as fraudes mais convincentes, utilizando técnicas como deepfakes e manipulação de buscas. No comércio eletrônico, quase 1% das transações foi classificado como tentativa de fraude, resultando em R$ 337,9 milhões preservados por soluções antifraude. O estudo alerta para a necessidade de uma resposta estruturada e coordenada para combater esse ecossistema de fraudes digitais.

Golpes por telefone permanecem uma preocupação significativa no Brasil, especialmente com o avanço da inteligência artificial (IA), que torna essas fraudes mais difíceis de identificar. Rodrigo Sanchez, diretor da Serasa Experian, destacou que a IA permite que criminosos criem abordagens mais convincentes, simulando centrais de atendimento e utilizando informações reais sobre as vítimas, como nome e compras recentes. Isso representa um desafio crescente para a segurança cibernética, pois as ligações fraudulentas podem parecer cada vez mais legítimas. A pesquisa ‘Mapa da Fraude’ da Serasa revelou que tentativas de fraudes com identidade digital poderiam causar prejuízos de até R$ 1,98 bilhão no primeiro trimestre de 2026, caso não fossem bloqueadas. Além disso, foram registradas quase 1,5 milhão de tentativas de fraudes em cadastros e validações de identidade, um aumento de 36,6% em relação ao ano anterior. A recomendação é que os consumidores desconfiem de ligações que solicitem dados pessoais e confirmem a veracidade do contato através de canais oficiais.

A Intego, conhecida por suas soluções de segurança para Mac, lançou uma promoção significativa de 50% em todos os planos do Intego One, coincidentemente durante a Copa do Mundo. Essa oferta torna o antivírus acessível a partir de £2,50 por mês nos primeiros dois anos, mesmo para o pacote mais completo. O Intego One é destacado como uma das melhores opções de proteção para Macs, ocupando a segunda posição em avaliações de antivírus para esse sistema. Os planos variam desde proteção básica contra vírus e malware até soluções mais avançadas que incluem tecnologia de limpeza inteligente e uma VPN ilimitada para proteger o tráfego de internet. A Intego recebeu notas altas em testes de desempenho e usabilidade, com a AV-Test atribuindo 6 de 6 em suas avaliações mais recentes. A promoção é válida até 2 de julho de 2026, oferecendo uma oportunidade para usuários que buscam segurança durante a visualização de eventos esportivos ou que necessitam de uma nova solução de proteção.

Um relatório da Nisos revelou uma operação de fraude de emprego em larga escala, patrocinada pelo governo da Coreia do Norte, que visa infiltrar agentes em empresas de tecnologia dos Estados Unidos. Entre dezembro de 2024 e setembro de 2025, 22 operativos submeteram mais de 166 mil candidaturas, resultando em mais de 21 mil entrevistas e 76 ofertas de emprego. A operação utilizou identidades roubadas, ferramentas de inteligência artificial (IA) e até mesmo representantes locais para aumentar a legitimidade das candidaturas. Os fraudadores focaram principalmente em cargos de engenharia de software e dados, com salários variando de US$ 55 mil a US$ 230 mil. A Nisos destacou que essa abordagem combina engano humano com táticas técnicas e recursos de IA, permitindo que esses agentes não apenas recebam salários, mas também acessem sistemas e dados, gerando receita para o regime norte-coreano. O uso de IA para criar currículos, treinar para entrevistas e gerar respostas em tempo real foi fundamental para o sucesso da operação, que representa uma evolução significativa nas táticas de cibercrime.

A ExpressVPN lançou a versão 14.2.0 de seus aplicativos para desktop, incluindo Mac, Windows e Linux, com um design renovado e melhorias funcionais. A atualização, disponibilizada em 17 de junho de 2026, traz uma interface mais limpa, que abre em modo compacto por padrão, facilitando a navegação e a leitura. Além disso, a seção de complementos foi aprimorada, tornando mais fácil encontrar e utilizar as opções disponíveis. Uma das adições mais significativas é o servidor MCP (Model Context Protocol), que permite que ferramentas de codificação baseadas em IA controlem a conexão VPN diretamente do ambiente de desenvolvimento. Essa funcionalidade é especialmente útil para desenvolvedores que utilizam assistentes de IA, pois elimina a necessidade de alternar entre diferentes interfaces para gerenciar a conexão. A atualização também inclui melhorias na acessibilidade, como melhor suporte para leitores de tela e foco no teclado. Embora as mudanças sejam principalmente visuais, a nova funcionalidade de controle de latência em segundo plano e a integração com ferramentas de IA representam um avanço significativo para a experiência do usuário.

Um ataque de supply chain comprometeu múltiplos plugins pagos da ShapedPlugin, um fornecedor de plugins para WordPress, que afeta mais de 400 mil instalações ativas. O malware, distribuído através do sistema oficial de atualizações da empresa, instala um plugin falso que se passa por componentes do WooCommerce, permitindo o roubo de credenciais e acesso remoto a arquivos. O incidente afetou três plugins: Product Slider Pro, Real Testimonials Pro e Smart Post Show Pro, com a injeção do backdoor ocorrendo em 21 de maio e os primeiros relatos de clientes surgindo em 10 de junho. A ShapedPlugin reconheceu a violação em 16 de junho e iniciou uma investigação, implementando medidas corretivas. O malware, uma vez ativado, se comunica com um servidor de comando e controle, baixa um segundo estágio e se autodeleta para apagar rastros. O WordPress está monitorando o incidente sob os CVEs CVE-2026-10735 e CVE-2026-49777. Administradores de sites afetados são aconselhados a redefinir senhas e revisar listas de usuários.

Agências internacionais de segurança, incluindo Europol e Eurojust, realizaram uma operação conjunta chamada Operation Endgame, que resultou na limpeza de quase 15.000 sites WordPress infectados por malware e na desativação de mais de 100 servidores associados ao grupo de cibercrime russo Evil Corp. A operação, que envolveu autoridades da Holanda, Canadá, Estados Unidos e Alemanha, focou na interrupção da cadeia de infecção ligada ao malware SocGholish. Este malware, que atua como um downloader de JavaScript, tem sido utilizado em ataques desde 2017, enganando usuários a baixarem atualizações falsas de navegadores que, na verdade, são cargas maliciosas. O malware permite que os atacantes acessem sistemas infectados e é conhecido por implantar outras famílias de malware, como Dridex e Doppelpaymer. As autoridades também recomendaram que os proprietários dos sites afetados alterassem suas credenciais, ativassem a autenticação multifatorial e mantivessem seus sites atualizados para evitar novas infecções. A operação representa um esforço significativo para mitigar os riscos de ataques cibernéticos em infraestruturas críticas e proteger a segurança digital de cidadãos e organizações em todo o mundo.

O artigo de Andy Kerr, da Acronis, destaca que muitas organizações acreditam que o Microsoft 365 oferece proteção automática para seus dados, mas isso não é verdade. O modelo de responsabilidade compartilhada da Microsoft implica que a segurança dos dados, incluindo backup e recuperação, é responsabilidade do cliente. Essa lacuna se torna crítica em cenários reais, como ataques de ransomware, exclusões acidentais e ameaças internas. O autor apresenta cinco razões principais pelas quais o backup nativo do Microsoft 365 não é suficiente: 1) Falta de proteção contra ransomware e perda de dados maliciosos; 2) Políticas de retenção nativas inadequadas para conformidade; 3) Recuperação granular limitada; 4) Exposição a phishing e ameaças internas; 5) Escalabilidade de custo ineficiente. Para mitigar esses riscos, a adoção de soluções de terceiros, como a Acronis Cyber Platform, é recomendada, pois oferece armazenamento imutável, detecção de ransomware baseada em IA e recuperação rápida. Assim, as organizações podem garantir a integridade e a segurança de seus dados no Microsoft 365.

A plataforma de inteligência de mercado Klue sofreu uma violação de segurança relacionada ao OAuth, permitindo que o grupo de ameaças conhecido como ‘Icarus’ roubasse dados do Salesforce CRM de várias organizações. O ataque foi confirmado por empresas de cibersegurança, como ReliaQuest e Huntress, que relataram que seus dados do Salesforce foram comprometidos. Em resposta, a Salesforce desativou a integração do Klue Battlecards com sua plataforma. Os atacantes acessaram contas de serviço da integração do Klue e utilizaram tokens OAuth para realizar consultas na API REST do Salesforce, resultando em um roubo de dados que incluiu informações críticas como contatos comerciais e comunicações de vendas. O grupo Icarus, que começou a operar em abril de 2026, já começou a enviar e-mails de extorsão para as vítimas do ataque. A Klue desativou as integrações com várias plataformas enquanto investiga o incidente. As organizações afetadas são aconselhadas a revisar logs e revogar tokens OAuth para mitigar riscos futuros.

Atacantes estão direcionando suas ações a carteiras de criptomoedas, utilizando um malware que rouba dados do clipboard e possui capacidades de auto-propagação. A campanha, que está ativa desde fevereiro, utiliza arquivos LNK em drives USB para disseminar o malware, que monitora o conteúdo do clipboard e substitui endereços de carteiras de criptomoedas por aqueles controlados pelos atacantes. Além disso, o malware é capaz de capturar frases-semente e chaves privadas, enviando essas informações através da rede Tor. O processo de infecção se inicia quando a vítima abre o arquivo LNK, ativando o malware. Este realiza uma varredura local em busca de arquivos de documentos, ocultando os originais e substituindo-os por atalhos maliciosos. O malware também captura capturas de tela a cada dez segundos e estabelece comunicação com um servidor de comando e controle (C2) via um executável Tor. A Microsoft alerta que os indicadores mais fortes de infecção são comportamentais, recomendando monitorar atividades de processos como wscript.exe e conexões com o localhost:9050. Essa ameaça representa um risco significativo para usuários de criptomoedas, especialmente em um cenário onde a segurança digital é cada vez mais crucial.

Pesquisadores em cibersegurança observaram a evolução do grupo de ransomware INC, que se tornou um dos mais ativos em 2026, com pelo menos 830 vítimas desde agosto de 2023. A interrupção de operações como LockBit e BlackCat permitiu que o INC expandisse suas atividades, com 65% das vítimas localizadas nos Estados Unidos, abrangendo setores como serviços jurídicos, manufatura, construção, tecnologia e saúde. O ransomware do INC, desenvolvido em Rust, visa facilitar o desenvolvimento multiplataforma e resistir a esforços de engenharia reversa. Os ataques são caracterizados pelo uso de um dumper de credenciais atualizado, capaz de atingir novas implementações de backup da Veeam. A cadeia de ataque do INC inclui acesso inicial por meio de phishing, compra de credenciais e exploração de vulnerabilidades em aplicações públicas. O grupo utiliza uma variedade de ferramentas para movimentação lateral e exfiltração de dados, culminando na criptografia de informações. A análise indica que o INC se destaca por sua capacidade de escalar operações sem depender de técnicas avançadas, resultando em um fluxo constante de vítimas em diversos setores e geografias.

A Microsoft revelou uma campanha de malware clippers que tem afetado usuários do Windows desde fevereiro de 2026. Este tipo de malware é projetado para monitorar e roubar informações sensíveis copiadas para a área de transferência, especialmente endereços de carteiras de criptomoedas. A análise da Microsoft Defender Security Research Team destaca que o clippers utiliza lógica baseada no Windows Script Host e ActiveX para lançar um proxy Tor e se conectar a um servidor de comando e controle (C2) oculto. O malware realiza roubo de clipboard em alta frequência, exfiltra capturas de tela e substitui endereços de carteiras.

Recentemente, a cibersegurança enfrentou uma série de incidentes alarmantes que demonstram a vulnerabilidade da infraestrutura digital. Entre os problemas destacados, extensões de navegador enganosas foram identificadas, redirecionando buscas de usuários para intermediários de monetização, comprometendo a privacidade e segurança. Além disso, um ataque sofisticado no macOS, denominado ClickFix, utiliza um método sem arquivos para roubar informações, deixando poucos rastros. Os criminosos cibernéticos também abusaram de plataformas de chat, como a Claude, para disseminar malware que rouba credenciais. Outra preocupação é a fraude via WhatsApp, onde golpistas se passam por hotéis para obter dados de pagamento de viajantes. Em resposta a essas ameaças, a Amazon lançou o AWS Continuum, um agente de segurança baseado em IA para gerenciar vulnerabilidades de código. O cenário é preocupante, com um aumento significativo de ataques direcionados e técnicas de engenharia social, exigindo atenção redobrada das organizações para proteger seus dados e sistemas.

Um novo incidente de segurança cibernética, denominado ‘FortiBleed’, foi descoberto pelo pesquisador Bob Diachenko, revelando um vazamento de credenciais de VPN da Fortinet que pode afetar cerca de 75 mil usuários. O arquivo encontrado contém nomes de usuários, endereços de e-mail e senhas em texto claro de grandes empresas, como Chevron, Samsung e Toyota. O ataque foi realizado por um ator de ameaças de língua russa, que utilizou técnicas de força bruta e exploração ativa, realizando mais de 1,1 bilhão de tentativas de credenciais contra mais de 320 mil instâncias do FortiGate. Apesar de a Fortinet afirmar que os dados vazados são uma reedição de incidentes anteriores e não de uma nova violação, recomenda-se que as organizações afetadas realizem a rotação de senhas e implementem autenticação multifator (MFA) para mitigar riscos. O incidente destaca a vulnerabilidade de sistemas amplamente utilizados e a necessidade de práticas de segurança robustas.

A Microsoft anunciou a correção de um problema que impedia a instalação das atualizações de segurança de junho de 2026 em sistemas Windows Server 2016 que não estavam atualizados. O erro, identificado como 0x80070002 ou FILE_NOT_FOUND, afetava principalmente os clientes que tentavam instalar a atualização KB5094122 sem ter previamente instalado a atualização de segurança KB5087537 do mês anterior. A empresa confirmou que a instalação da atualização de segurança agora foi resolvida e que os dispositivos afetados não devem mais enfrentar falhas ao implantar a atualização KB5094122. Além disso, a Microsoft também abordou problemas semelhantes em outras atualizações, como a de maio de 2026 para Windows 11, que resultou em erros devido à falta de espaço no EFI System Partition. A empresa continua a investigar outros problemas relacionados a atualizações que podem impactar a funcionalidade de aplicativos do Office após a instalação das atualizações de junho de 2026.

A empresa de cibersegurança F5 divulgou atualizações de segurança para corrigir várias vulnerabilidades no servidor web NGINX, incluindo duas falhas de gravidade crítica. As vulnerabilidades, identificadas como CVE-2026-42530 e CVE-2026-42055, podem ser exploradas por atacantes remotos não autenticados, permitindo a execução de código ou ataques de negação de serviço (DoS) em sistemas NGINX com configurações não padrão. A exploração bem-sucedida resulta em problemas como uso após liberação e estouro de buffer, levando à reinicialização do processo do NGINX. A F5 também lançou correções para outros produtos NGINX afetados, como NGINX Plus e NGINX Open Source. Para administradores que não podem aplicar as atualizações imediatamente, foram sugeridas medidas de mitigação, como desabilitar o HTTP/3 e ajustar configurações específicas. Embora a F5 não tenha indicado que essas vulnerabilidades estejam sendo ativamente exploradas, a empresa tem um histórico de ser alvo de grupos de cibercrime e ameaças de estado. A Agência de Segurança Cibernética e Infraestrutura dos EUA (CISA) já sinalizou várias vulnerabilidades da F5 como exploradas ativamente, com implicações significativas para a segurança das redes corporativas.

O governo indiano informou ao Tribunal Superior de Delhi que o Telegram foi alertado cerca de duas semanas antes de ser bloqueado, devido à sua incapacidade de detectar proativamente canais que vendiam provas vazadas do exame NEET-UG 2026, um importante teste de admissão médica no país. O bloqueio, que ocorreu antes do exame nacional, afetou usuários do Telegram não apenas na Índia, mas também em outros países, como os Emirados Árabes Unidos, devido a um vazamento de rota BGP. O Telegram contestou a legalidade do bloqueio, afirmando que cooperou com as autoridades. O governo, por sua vez, alegou que não bloqueou o aplicativo de forma total, mas tomou medidas restritivas após receber várias reclamações sobre o uso da plataforma para fraudes relacionadas ao exame. A situação se agravou com a declaração do CEO do Telegram, Pavel Durov, que culpou a operadora de telecomunicações Reliance por um suposto sabotagem, o que foi negado pela empresa. O bloqueio deve ser revisto pelo tribunal, enquanto os usuários ainda podem acessar o Telegram através de um proxy MTProto.

A Apple lançou atualizações de segurança para corrigir uma vulnerabilidade de alta severidade nos fones de ouvido Beats Studio Buds, que poderia permitir que atacantes dentro do alcance do Bluetooth espionassem conversas dos usuários. Segundo a empresa, um invasor próximo poderia acessar o microfone de um dispositivo que ainda não está pareado e que está buscando solicitações de pareamento. Essa falha, identificada como CVE-2025-20701, foi descoberta por pesquisadores da ERNW GmbH e está relacionada a uma fraqueza de autenticação no sistema Bluetooth BR/EDR. A Apple lançou o patch na atualização de firmware 1B211, que será instalada automaticamente quando os fones vulneráveis estiverem pareados e dentro do alcance de um iPhone, iPad ou Mac. Além disso, os pesquisadores demonstraram que, ao combinar essa vulnerabilidade com outras duas, os atacantes poderiam assumir o controle total dos fones via Bluetooth, sem necessidade de autenticação. Embora os ataques reais sejam complexos e exijam proximidade física, a possibilidade de espionagem levanta preocupações significativas sobre a privacidade dos usuários.

Um avaliador independente de PCI testou a plataforma Reflectiz em relação às novas regras do PCI DSS, revelando que a ferramenta pode apoiar efetivamente a conformidade. O artigo destaca a vulnerabilidade das páginas de checkout, que frequentemente carregam scripts de terceiros que podem ser comprometidos por atacantes, como demonstrado pelo grupo Magecart. O PCI DSS v4.0.1 introduziu requisitos que exigem um inventário de scripts de pagamento e a detecção de adulterações em tempo real. A Reflectiz se destaca por monitorar o comportamento dos scripts, não apenas suas assinaturas, e por ser implementada sem a necessidade de alterações de código. Além disso, fornece evidências prontas para auditoria. O artigo também menciona que, desde janeiro de 2025, comerciantes que utilizam redirecionamento completo para processadores podem não precisar cumprir certos requisitos, mas aqueles que incorporam iframes de pagamento devem demonstrar que não são suscetíveis a ataques de script. A análise completa está disponível em um white paper da Integrity360 Europe.

O artigo da Hacker News destaca os riscos de segurança associados ao uso de ferramentas de inteligência artificial (IA) nas empresas, especialmente em relação a agentes autônomos que interagem com a propriedade intelectual. Muitas organizações enfrentam um problema de ‘dívida administrativa’, onde ferramentas de IA permanecem ativas mesmo após a saída de seus criadores, mantendo acesso irrestrito a dados sensíveis. Isso ocorre porque as ferramentas de segurança tradicionais tratam a IA como software comum, sem considerar que essas ferramentas podem operar de forma autônoma e continuar acessando informações após a revogação das credenciais do usuário original. O artigo enfatiza a necessidade de um controle mais rigoroso sobre as identidades humanas e de máquina, propondo um webinar que abordará como identificar e gerenciar essas ferramentas não documentadas, além de discutir a importância de revogar acessos antes que possam ser explorados por atacantes. O evento promete fornecer uma visão prática sobre como as empresas podem melhorar sua segurança em um cenário cada vez mais dominado pela IA.

Uma campanha de phishing em larga escala, orquestrada por hackers romenos, afetou quase 9 milhões de endereços de e-mail no Reino Unido, oferecendo amostras de beleza falsas da Boots. Os atacantes utilizaram um site governamental boliviano comprometido para hospedar uma página de checkout fraudulenta, coletando informações pessoais e de pagamento dos usuários. Os e-mails, que pareciam legítimos, incentivavam os destinatários a preencher uma pesquisa em troca de um pacote de amostras de beleza. A operação foi facilitada por um servidor de uma empresa britânica que havia sido comprometido, permitindo que os hackers enviassem mensagens diretamente da conexão de internet da organização, ocultando sua infraestrutura. A Huntress, empresa de segurança cibernética, identificou que a campanha não apenas visava a Boots, mas também incluía temas relacionados a impostos e criptomoedas, sugerindo uma operação mais ampla. O uso de um aplicativo legítimo de envio em massa, o Gammadyne Mailer, e a configuração para maximizar a velocidade de envio, foram aspectos críticos dessa operação de phishing.

A OpenAI está testando uma nova assinatura chamada ‘ChatGPT para Ciência’, voltada para casos de uso científico. Embora ainda não esteja claro se essa funcionalidade será acessível a todos, é provável que tenha restrições semelhantes às já existentes para outras versões do ChatGPT, como a versão Teams e a versão Business, que exigem que os usuários pertençam a entidades verificadas, como universidades ou instituições de pesquisa.

Além disso, a OpenAI já havia introduzido o GPT-Rosalind, um modelo especializado para pesquisa em ciências da vida, que está disponível apenas para organizações elegíveis, como grandes empresas farmacêuticas e instituições de pesquisa. O ‘ChatGPT para Ciência’ pode trazer capacidades semelhantes a um público mais amplo, permitindo um foco maior em descobertas e pesquisas científicas.

O Google notificou anunciantes sobre uma mudança significativa que ocorrerá em 3 de agosto de 2026, quando começará a utilizar endereços IP para medição e personalização de anúncios na Área Econômica Europeia (EEE), no Reino Unido e na Suíça. Essa prática, que já é comum em outras partes do mundo, é nova na EEE e no Reino Unido, onde o endereço IP é considerado dado pessoal sob o Regulamento Geral sobre a Proteção de Dados (GDPR). A mudança implica que os endereços IP, que já são coletados para roteamento de tráfego e entrega de anúncios, passarão a ser utilizados para identificar dispositivos, o que exige consentimento do usuário. O Google também se registrará no IAB Europe Transparency and Consent Framework para a identificação de dispositivos. Embora a empresa afirme que a mudança está alinhada com tecnologias que melhoram a privacidade, a utilização de endereços IP para personalização levanta preocupações sobre a privacidade e o rastreamento de usuários. O Escritório do Comissário de Informação do Reino Unido (ICO) já expressou preocupações sobre essa reversão de política do Google, que anteriormente se opunha ao uso de técnicas de rastreamento como a impressão digital. A mudança pode impactar a conformidade com a LGPD no Brasil, uma vez que práticas semelhantes podem ser adotadas por outras plataformas.

A Microsoft anunciou que está desenvolvendo um patch para corrigir uma vulnerabilidade zero-day em seu software de segurança, o Microsoft Defender, identificada como RoguePlanet (CVE-2026-50656), com uma pontuação CVSS de 7.8. Essa falha é classificada como uma vulnerabilidade de elevação de privilégios, permitindo que atacantes obtenham acesso ao nível de sistema. O pesquisador de segurança Chaotic Eclipse revelou a vulnerabilidade, descrevendo-a como uma condição de corrida que pode ser explorada em algumas máquinas com uma taxa de sucesso de 100%, enquanto em outras pode falhar. Ele também observou que o exploit funciona independentemente da proteção em tempo real estar ativada ou não. A Microsoft confirmou que está ciente da vulnerabilidade e está investigando a situação. RoguePlanet é a quarta vulnerabilidade do Defender divulgada por Chaotic Eclipse, que já havia reportado outras falhas que foram corrigidas pela empresa. A situação destaca a importância de manter os sistemas atualizados e a necessidade de vigilância contínua em relação a novas ameaças.

Um novo relatório da Check Point Research revela que um ator de ameaça desconhecido está utilizando postagens pagas em sites de notícias legítimos para promover malware. O foco principal da campanha é um ‘clipboard hijacker’ de criptomoedas, disfarçado como bots de sniper e preditores de jogos. O malware, desenvolvido em Rust, ataca sistemas Windows e macOS, monitorando a área de transferência para substituir endereços de carteiras de criptomoedas por endereços controlados pelo atacante. Para criar uma falsa reputação, o ator utiliza uma página de phishing no WordPress, contas falsas no GitHub e SourceForge, além de um canal no YouTube com mais de 91 mil assinantes. A manipulação de plataformas como VirusTotal e SourceForge, onde contagens de downloads foram artificialmente inflacionadas, visa aumentar a confiança dos usuários em arquivos maliciosos. A campanha destaca uma nova abordagem de engenharia social, onde a construção de uma reputação falsa se torna uma estratégia central para enganar as vítimas, especialmente aqueles envolvidos com criptomoedas e jogos online.

O CrankGPT é um chatbot inovador que opera de forma totalmente offline, utilizando um Raspberry Pi com 8GB de RAM e modelos de IA locais desenvolvidos pela Meta e Google. Este dispositivo é alimentado manualmente por uma manivela, permitindo que usuários acessem informações e realizem traduções mesmo em cenários de falta de eletricidade e conectividade, como em um mundo pós-apocalíptico. Os criadores, da Squeez Labs, destacam que, desde que os componentes eletrônicos sejam mantidos secos e em temperaturas adequadas, o CrankGPT pode funcionar por muitos anos, necessitando apenas de um cartão SD novo ocasionalmente. Além disso, a Squeez Labs está empenhada em tornar a IA mais acessível e sustentável, reduzindo a dependência de grandes centros de dados, o que é benéfico tanto para a privacidade do usuário quanto para o meio ambiente. A ideia de um modelo de IA que não requer conexão com a nuvem representa uma mudança significativa no paradigma atual, onde a maioria das soluções de IA depende de servidores online e do compartilhamento de dados pessoais com grandes empresas de tecnologia.

Pesquisadores da Kaspersky alertaram que o Steam Workshop, uma plataforma popular entre gamers para compartilhar conteúdo personalizado, está sendo explorado para disseminar malware através do aplicativo Wallpaper Engine. Desde pelo menos o final de 2025, wallpapers maliciosos foram baixados dezenas de milhares de vezes, infectando usuários com backdoors, infostealers, miners e até ransomware. Os hackers utilizam wallpapers interativos que, ao serem instalados, executam automaticamente o malware, que pode estar embutido no pacote ou em arquivos compactados protegidos por senha. Embora a Valve tenha removido as aplicações infectadas, a possibilidade de novos uploads maliciosos persiste, exigindo cautela dos usuários. A maioria das vítimas está localizada na Rússia e na China, mas a ameaça pode se espalhar globalmente, afetando gamers em todo o mundo.

As organizações enfrentam um desafio crescente na gestão de identidades, tanto humanas quanto não-humanas, em ambientes de trabalho híbridos e com acesso de terceiros. Com a expansão do trabalho remoto e do uso de dispositivos pessoais, as equipes de segurança estão perdendo visibilidade sobre quem tem acesso a quais recursos e se esse acesso é confiável. Os atacantes estão explorando essa complexidade, utilizando técnicas como o ‘MFA fatigue’, onde enviam repetidamente solicitações de autenticação multifatorial até que o usuário aceite uma delas. Além disso, ataques de phishing evoluíram, utilizando domínios legítimos e conteúdo gerado por IA para criar páginas de login falsas que imitam portais reais. A proteção das credenciais é essencial, pois 44,7% das violações de dados envolvem credenciais roubadas. Para mitigar esses riscos, soluções como o Specops Device Trust são recomendadas, pois oferecem verificação contínua de dispositivos e autenticação baseada em confiança, permitindo que as organizações mantenham um controle mais rigoroso sobre o acesso sem comprometer a experiência do usuário.

Um novo vazamento de dados, denominado ‘FortiBleed’, revelou credenciais de VPN da Fortinet e FortiGate de 73.932 URLs de firewall em organizações ao redor do mundo. O pesquisador de segurança Bob Diachenko descobriu um servidor contendo credenciais válidas, incluindo nomes de usuário, endereços de e-mail e senhas em texto simples. Entre as empresas afetadas estão Chevron, Samsung, Foxconn e AT&T. A operação foi supostamente realizada por um grupo de ameaças de língua russa, que realizou mais de 1,16 bilhões de tentativas de credenciais contra alvos da FortiGate. Os atacantes interceptaram hashes de autenticação SSL VPN e os quebraram usando um cluster de 45 GPUs. O vazamento também inclui informações sobre a indústria, receita e número de funcionários de cada organização, possivelmente para planejar ataques. A empresa de inteligência de ameaças Hudson Rock analisou os dados e confirmou que o conjunto contém 73.932 URLs únicas de firewall em 194 países, afetando 21.632 domínios únicos. O vazamento é considerado um dos maiores conjuntos de credenciais comprometidas relacionadas à Fortinet já descobertos.

Um ataque cibernético a uma pequena empresa automotiva na França, realizado por um invasor de língua francesa, expôs vulnerabilidades significativas em segurança. O atacante, identificado como ‘Poisson’, implantou um keylogger para roubar credenciais bancárias e de e-mail. O que se destacou foi a instalação de OpenSSH e Tailscale na máquina da vítima, criando um acesso persistente que não dependia do servidor de comando e controle (C2). Após o C2 ficar offline, o acesso do invasor permaneceu ativo, permitindo que ele se reconectasse automaticamente dias depois. O ataque foi documentado em detalhes por pesquisadores da Cato Networks, que capturaram 339 comandos executados ao longo de 33 dias. O invasor utilizou ferramentas comuns e deixou rastros, como a exposição de seu diretório pessoal e a nomeação de buckets de armazenamento com seu próprio nome. O ataque destaca a importância de não apenas desativar o C2, mas também de identificar e eliminar portas de acesso alternativas que possam ter sido criadas. Para pequenas empresas, a exposição financeira decorrente do roubo de credenciais é uma preocupação crítica.

Pesquisadores de segurança da Symantec alertaram que hackers de ransomware, conhecidos como DragonForce, estão utilizando servidores de retransmissão do Microsoft Teams para ocultar tráfego malicioso. Essa técnica, chamada de ‘Ghost Calls’, permite que os atacantes disfarcem suas comunicações de comando e controle (C2) como se fossem tráfego legítimo do Teams, dificultando a detecção por parte das equipes de segurança. O ataque ocorreu em dezembro de 2025, quando os hackers exploraram uma vulnerabilidade desconhecida em servidores SQL para obter acesso à rede de uma grande empresa de serviços nos EUA. Eles implantaram um malware personalizado chamado ‘Backdoor.Turn’, que utiliza o protocolo TURN do Teams para mascarar suas atividades. Essa abordagem representa um avanço significativo nas táticas de cibercrime, mostrando um nível de sofisticação elevado. A DragonForce, que opera sob um modelo de cartel de drogas, permite que afiliados utilizem sua infraestrutura e malware, aumentando a complexidade do cenário de ameaças. A situação exige atenção redobrada das empresas que utilizam o Microsoft Teams, uma vez que a técnica pode ser replicada em outros ambientes corporativos.

A Agência de Segurança Cibernética e Infraestrutura dos EUA (CISA) emitiu uma ordem para que agências federais corrijam uma falha de alta severidade no plugin Widget Factory Joomla Content Editor (JCE), que está sendo ativamente explorada. A vulnerabilidade, identificada como CVE-2026-48907, permite que atacantes executem código malicioso sem privilégios, utilizando ataques de baixa complexidade em implementações do Joomla que utilizam o editor WYSIWYG JCE. A CISA alertou que a falha permite o upload e a execução de código PHP por meio da criação de novos perfis de editor para usuários não autenticados. O time de segurança do JCE lançou uma atualização em junho, recomendando que os usuários apliquem o patch imediatamente, pois a exploração da vulnerabilidade é automatizada e o código de exploração está disponível publicamente. Além de atualizar, os usuários devem realizar uma série de ações para limpar sites comprometidos, incluindo a exclusão de perfis maliciosos e a execução de uma varredura completa em busca de malware. A CISA incluiu a vulnerabilidade em sua lista de falhas ativamente exploradas e ordenou que as agências federais garantam a segurança de seus sistemas até sexta-feira, conforme a Diretriz Operacional Vinculativa (BOD) 26-04.

A Microsoft está investigando um problema que impede aplicativos de terceiros de abrir o Microsoft Office em sistemas Windows atualizados. Este problema afeta aplicações como Word, Excel e PowerPoint quando iniciadas a partir de softwares de terceiros que utilizam automação OLE. Usuários relataram que aplicativos como CCH Engagement, Zotero e softwares odontológicos, como Dentrix e Softdent, estão entre os afetados. A falha ocorre após a instalação de atualizações do Windows lançadas a partir de 9 de junho de 2026, e, em muitos casos, os aplicativos ou documentos do Office não abrem sem exibir mensagens de erro. A Microsoft ainda não possui uma solução definitiva, mas recomenda que os usuários abram os aplicativos do Office diretamente como uma alternativa temporária. Clientes empresariais podem contatar o suporte da Microsoft para obter uma solução que possa ser aplicada em toda a organização. A empresa informou que uma resolução está em andamento e será incluída em uma futura atualização do Windows. Este incidente se soma a uma série de problemas recentes enfrentados por usuários do Office, incluindo falhas em abrir arquivos na versão web e problemas com atualizações do Windows.

O governo indiano impôs uma proibição temporária ao aplicativo Telegram até 22 de junho, após o uso da plataforma para a venda de acesso a materiais de exames vazados, especificamente o NEET, um dos maiores exames de admissão médica do país. A decisão foi tomada pelo Ministério da Eletrônica e Tecnologia da Informação, com base na Seção 69A da Lei de TI, após recomendações da Agência Nacional de Testes (NTA). Além da proibição, o Telegram foi obrigado a desativar sua função de edição de mensagens até 30 de junho. O CEO do Telegram, Pavel Durov, acusou a operadora de telecomunicações Reliance de realizar um ‘sequestro de BGP’ para aplicar a proibição, afetando usuários fora da Índia, como nos Emirados Árabes Unidos. Especialistas em tecnologia contestaram a alegação de Durov, sugerindo que a interrupção foi resultado de uma configuração incorreta, e não de sabotagem intencional. A proibição gerou críticas de grupos de direitos digitais, que a consideram desproporcional e prejudicial a milhões de usuários legítimos que dependem do Telegram para estudos e materiais de preparação. A situação destaca a complexidade da regulação de plataformas digitais e os desafios de lidar com fraudes sem impactar usuários inocentes.

Pesquisadores de cibersegurança identificaram uma campanha coordenada de malware no JetBrains Marketplace, onde 15 plugins maliciosos foram publicados, capazes de exfiltrar chaves de API de provedores de inteligência artificial (IA). Os plugins, que se apresentam como assistentes de codificação baseados em modelos de linguagem, funcionam conforme anunciado, mas capturam a chave de API inserida pelo usuário e a enviam para um servidor controlado pelos atacantes. A atividade, que começou em outubro de 2025, continua com novos plugins sendo lançados até junho de 2026. Entre os plugins mais populares estão o CodeGPT AI Assistant e o DeepSeek AI Assist, ambos com mais de 25.000 downloads, embora a autenticidade desses números seja questionável. Os plugins compartilham um código-base semelhante e exigem que os usuários insiram suas chaves de API para funcionar. Além disso, após o pagamento de uma taxa, o plugin fornece uma chave de API ao usuário, que é utilizada em vez da chave original, levantando suspeitas de que os operadores estão monetizando as chaves roubadas. Essa campanha evidencia a crescente vulnerabilidade dos ambientes de desenvolvimento, que se tornaram alvos lucrativos para cibercriminosos.

Um estudo recente da equipe da Intruder revelou que 60% das organizações possuem pelo menos um painel HTTP exposto, como consoles administrativos e páginas de login, que não deveriam ser acessíveis publicamente. Além disso, 49% das empresas têm serviços ou portas arriscadas expostas, e 42% têm bancos de dados acessíveis diretamente pela internet. As exposições mais comuns incluem bancos de dados MySQL e Postgres, além de documentação de APIs. A análise destaca que, com o tempo de exploração de vulnerabilidades reduzido a um dia, a prioridade não deve ser apenas a correção, mas também a razão pela qual esses serviços estão expostos. A pesquisa sugere que a redução da superfície de ataque deve receber mais atenção do que a gestão de vulnerabilidades, uma vez que muitos serviços listados nunca deveriam estar acessíveis pela internet. O relatório completo está disponível no Índice de Gestão da Superfície de Ataque de 2026.

A Kodak confirmou que está colaborando com especialistas externos em cibersegurança para investigar uma violação de segurança que resultou no acesso não autorizado a uma quantidade limitada de dados da empresa. A companhia, fundada em 1880 e com sede em Rochester, Nova York, possui 79.000 patentes e oferece produtos de impressão comercial, materiais avançados e químicos. Um porta-voz da Kodak informou que os atacantes acessaram apenas uma ‘quantidade limitada’ de dados, mas não esclareceu se houve comprometimento da rede interna da empresa. O grupo de extorsão ShinyHunters reivindicou a responsabilidade pelo ataque, alegando ter roubado mais de 2,2 milhões de registros contendo informações pessoais identificáveis (PII) de clientes e dados corporativos internos. O grupo ameaçou vazar os dados exfiltrados, dando um prazo até 18 de junho de 2026 para que a Kodak entre em contato. Embora a Kodak não tenha divulgado como os atacantes conseguiram acesso, o ShinyHunters já foi associado a ataques a centenas de clientes da Salesforce e a outras empresas. A Kodak está trabalhando com as autoridades e acredita que não há ameaça contínua aos seus sistemas ou operações.

A Microsoft confirmou que está desenvolvendo um patch para uma vulnerabilidade zero-day no Microsoft Defender, conhecida como ‘RoguePlanet’, que foi divulgada recentemente. O pesquisador de segurança que revelou a falha, identificado como Nightmare Eclipse, afirmou que a vulnerabilidade afeta dispositivos com Windows 10 e Windows 11 totalmente atualizados, permitindo que atacantes executem comandos com privilégios de SYSTEM por meio de uma condição de corrida. O exploit, que pode ser encontrado em um repositório Git auto-hospedado, funciona independentemente da proteção em tempo real estar ativada ou não. A Microsoft designou a falha com o ID CVE-2026-50656 e está investigando a situação. A empresa já havia enfrentado um conflito com Nightmare Eclipse sobre suas práticas de divulgação de vulnerabilidades e recompensas por bugs. Recentemente, a Microsoft também corrigiu outras falhas críticas em seu sistema. A situação destaca a importância de monitorar e atualizar constantemente as soluções de segurança para proteger os usuários contra ameaças emergentes.

A Agência de Segurança Cibernética e Infraestrutura dos EUA (CISA) incluiu uma vulnerabilidade de alta severidade no Joomla Content Editor (JCE) em seu catálogo de Vulnerabilidades Conhecidas e Exploradas (KEV). A falha, identificada como CVE-2026-48907, possui uma pontuação CVSS de 10.0 e permite a execução arbitrária de código devido a um controle de acesso inadequado. Essa vulnerabilidade afeta as versões do JCE de 1.0.0 a 2.9.99.4 e foi corrigida na versão 2.9.99.5, lançada em 3 de junho de 2026. A CISA alertou que a falha pode permitir que usuários não autenticados criem perfis de editor e façam upload de código PHP malicioso.

Um ataque à cadeia de suprimentos de software, denominado easy-day-js, comprometeu 144 pacotes npm associados ao namespace Mastra, um framework popular de JavaScript e TypeScript para aplicações de inteligência artificial. O ataque foi identificado por empresas de segurança como JFrog, SafeDep, Socket e StepSecurity. Um único usuário npm, identificado como ’ehindero’, publicou mais de 140 pacotes maliciosos em um curto espaço de tempo. Embora os pacotes infectados não contenham código malicioso, eles dependem de uma biblioteca de terceiros chamada ’easy-day-js’, que foi alterada para incluir um payload ofuscado. Esse payload é ativado durante um hook de pós-instalação e se conecta a um servidor controlado pelos atacantes para baixar um trojan que rouba informações, incluindo dados de carteiras de criptomoedas. O ataque afetou pacotes amplamente utilizados, como o @mastra/core, que possui mais de 918 mil downloads semanais. A Npm já removeu as versões maliciosas, mas qualquer ambiente que tenha instalado essas versões deve ser considerado potencialmente comprometido.

Um novo trojan bancário para Android, denominado Rokarolla, está atacando 217 aplicativos de bancos e criptomoedas, utilizando um conjunto extenso de 137 comandos. O malware é distribuído por meio de sites maliciosos que se passam por provedores do Google Chrome ou TikTok, permitindo que os invasores assumam o controle administrativo total de dispositivos comprometidos. Entre suas capacidades, estão o roubo de credenciais de tela de bloqueio, listas de contatos e dados de SMS, além de registrar continuamente as entradas do usuário através de keyloggers.

Uma campanha de malware foi descoberta no JetBrains Marketplace, onde pelo menos 15 plugins maliciosos foram projetados para roubar chaves de API de IA de desenvolvedores. Os plugins, que atuam como assistentes de codificação e ferramentas de revisão de código, foram baixados cerca de 70.000 vezes. Aikido Security, a empresa que identificou a ameaça, revelou que os plugins exfiltram as chaves de API assim que o usuário clica em ‘Aplicar’ após inseri-las nas configurações. Os dados são enviados para um servidor específico, comprometendo a segurança dos desenvolvedores. Embora os plugins funcionem como prometido, eles secretamente transmitem as credenciais para os atacantes. Além disso, a pesquisa sugere que os operadores dos plugins podem estar coletando credenciais de usuários gratuitos para fornecer chaves a usuários pagos. A análise de um dos plugins, o DeepSeek AI Assist, confirmou a presença do código de roubo de credenciais. Até o momento, o plugin ainda está disponível para download no Marketplace, o que levanta preocupações sobre a segurança da plataforma.