Um novo conjunto de 23 exploits para iOS, denominado ‘Coruna’, foi identificado em campanhas de espionagem e ataques financeiros. O kit inclui cinco cadeias de exploits sofisticados, que utilizam técnicas não documentadas para versões do iOS de 13.0 a 17.2.1. A primeira atividade relacionada ao Coruna foi observada em fevereiro de 2025, associada a um fornecedor de vigilância. Um exploit específico, CVE-2024-23222, permitiu a execução remota de código e foi corrigido pela Apple em janeiro de 2024. O kit foi utilizado em ataques direcionados a usuários de iPhone que acessavam sites comprometidos, especialmente na Ucrânia, e também em sites falsos de jogos e criptomoedas na China. O Coruna é capaz de identificar a versão do dispositivo e selecionar a cadeia de exploits adequada, parando se o Modo de Bloqueio estiver ativo. Após a exploração, um carregador chamado PlasmaLoader é injetado, visando aplicativos de carteira de criptomoedas. A análise sugere que o Coruna evoluiu de um uso em espionagem para atividades criminosas em larga escala, levantando preocupações sobre a segurança dos usuários comuns de iPhone. A Google recomenda que os usuários atualizem seus dispositivos e ativem o Modo de Bloqueio se a atualização não for possível.

A Cisco divulgou atualizações de segurança para corrigir duas vulnerabilidades de gravidade máxima em seu software Secure Firewall Management Center (FMC). Essas falhas, identificadas como CVE-2026-20079 e CVE-2026-20131, podem ser exploradas remotamente por atacantes não autenticados. A primeira vulnerabilidade permite o bypass de autenticação, possibilitando que atacantes obtenham acesso root ao sistema operacional subjacente. A segunda, uma vulnerabilidade de execução remota de código (RCE), permite a execução de código Java arbitrário como root em dispositivos não corrigidos. Ambas as falhas afetam o Cisco Secure FMC, mas a CVE-2026-20131 também impacta o Cisco Security Cloud Control (SCC). Até o momento, não há evidências de que essas vulnerabilidades tenham sido exploradas em ataques. A Cisco também corrigiu outras falhas de segurança, incluindo 15 de alta gravidade em diversos produtos. A empresa já havia alertado sobre outra vulnerabilidade crítica em agosto, que permitia a injeção de comandos shell por atacantes não autenticados. Dada a gravidade das falhas, é crucial que as organizações atualizem seus sistemas o mais rápido possível.

A LastPass, fornecedora de software de gerenciamento de senhas, emitiu um alerta sobre uma campanha de phishing que visa seus usuários. Os atacantes estão enviando e-mails que imitam representantes da LastPass, utilizando nomes de exibição falsificados e linhas de assunto que simulam conversas internas sobre solicitações de alteração de e-mail. Os e-mails contêm links que direcionam os usuários a uma página de login falsa, hospedada no domínio ‘verify-lastpass[.]com’, onde as credenciais dos usuários são coletadas. A LastPass esclareceu que sua infraestrutura não foi comprometida e que seus agentes de suporte nunca solicitarão a senha mestra dos usuários. A empresa está colaborando com parceiros para desativar os sites falsos e recomenda que os usuários relatem comunicações suspeitas. Este não é o primeiro incidente desse tipo; a LastPass já havia alertado anteriormente sobre campanhas de phishing semelhantes. A popularidade da LastPass a torna um alvo frequente para esses ataques, que frequentemente utilizam táticas de engenharia social para induzir os usuários a agir rapidamente e fornecer suas informações pessoais.

A Microsoft lançou a atualização KB5075039 para o Windows 10, visando corrigir um problema que impedia alguns usuários de acessar o Ambiente de Recuperação do Windows (WinRE). O WinRE é uma ferramenta essencial para diagnosticar falhas no sistema, reparar o sistema operacional e remover malware. Em outubro de 2025, a Microsoft havia confirmado que a atualização KB5066835 para o Windows 11 causou problemas com a entrada de mouse e teclado USB no WinRE, dificultando o uso da ferramenta. Embora uma correção tenha sido rapidamente disponibilizada, a empresa só revelou em fevereiro que a atualização KB5068164 para o Windows 10 também causou falhas no WinRE. A nova atualização KB5075039 corrige esse problema, permitindo que o WinRE inicie corretamente após a instalação da atualização anterior. Para aplicar a atualização, a partição do WinRE deve ter pelo menos 256MB; caso contrário, o tamanho da partição precisará ser aumentado, sendo recomendável realizar um backup dos dados antes de qualquer alteração nas partições.

Uma vulnerabilidade de severidade máxima foi identificada na plataforma FreeScout, que permite a execução remota de código (RCE) sem interação do usuário ou autenticação. A falha, identificada como CVE-2026-28289, contorna uma correção anterior (CVE-2026-27636) que afetava usuários autenticados com permissões de upload. Pesquisadores da OX Security descobriram que um atacante pode explorar essa vulnerabilidade enviando um e-mail malicioso para qualquer endereço configurado no FreeScout. O problema reside na manipulação de nomes de arquivos, onde um espaço em branco invisível (Unicode U+200B) pode ser adicionado antes do nome do arquivo, permitindo que ele seja salvo como um arquivo oculto e contorne as verificações de segurança. A exploração pode resultar em comprometimento total do servidor, violação de dados e interrupção de serviços. A versão 1.8.207 do FreeScout, lançada recentemente, corrige essa falha, mas recomenda-se desabilitar a configuração ‘AllowOverrideAll’ no Apache para maior segurança. Embora não haja exploração ativa observada até o momento, a natureza da vulnerabilidade indica um alto risco de atividade maliciosa iminente.

Pesquisadores em cibersegurança alertam sobre um aumento significativo na atividade hacktivista em resposta à campanha militar coordenada entre os EUA e Israel contra o Irã, denominada Epic Fury e Roaring Lion. Entre 28 de fevereiro e 2 de março de 2026, 149 ataques DDoS foram registrados, com 70% deles atribuídos a dois grupos principais: Keymous+ e DieNet. O grupo Hider Nex, que apoia causas pró-Palestina, foi responsável pelo primeiro ataque DDoS da série. A maioria dos ataques se concentrou no Oriente Médio, afetando principalmente a infraestrutura pública e alvos governamentais. Além disso, grupos hacktivistas pro-Rússia também reivindicaram invasões em redes militares israelenses. O cenário atual é marcado por uma combinação de ataques cibernéticos e campanhas de phishing, com o objetivo de causar danos econômicos e políticos. As organizações estão sendo aconselhadas a fortalecer suas posturas de segurança cibernética, especialmente em setores críticos como governo, infraestrutura e finanças, em resposta ao aumento da atividade de atores cibernéticos iranianos e hacktivistas.

Um relatório da NETSCOUT, divulgado em 4 de março de 2026, revela um aumento alarmante na sofisticação dos ataques DDoS (Negação de Serviço Distribuídos) em todo o mundo, com o Brasil se destacando como o principal alvo na América Latina. No segundo semestre de 2025, foram registrados mais de oito milhões de ataques em 203 países, com picos de até 30 Tbps. Os pesquisadores identificaram que 42% dos ataques utilizaram múltiplos vetores, dificultando a detecção. Além disso, houve um aumento significativo na utilização de botnets e ferramentas de inteligência artificial por cibercriminosos, que agora colaboram com IAs para otimizar suas operações. O Brasil sofreu mais de 470 mil ataques DDoS, representando quase metade dos incidentes na América Latina, afetando setores críticos como telecomunicações e serviços financeiros. A situação é preocupante, pois a sobrecarga nos sistemas de defesa pode comprometer serviços essenciais, como portais governamentais e financeiros.

Pesquisadores de segurança da Dark Web Informer descobriram que hackers estão vendendo um script malicioso em fóruns clandestinos, que explora vulnerabilidades do WhatsApp para roubar dados pessoais. O exploit, que custa cerca de R$ 160, é projetado para travar o aplicativo em dispositivos Android e iOS. No Android, o ataque provoca o travamento completo do WhatsApp, enquanto no iOS, além do travamento, ele congela conversas em grupos, dificultando o acesso do usuário. O script também possui funcionalidades que permitem bombardeios de chamadas de voz e vídeo, tornando o dispositivo inutilizável durante o ataque. O fato de o exploit ser de fácil execução, sem necessidade de configurações complexas, aumenta o risco, pois qualquer pessoa com um número de celular pode utilizá-lo. A situação é alarmante, considerando que o WhatsApp é amplamente utilizado no Brasil, e a possibilidade de ataques em massa pode afetar a privacidade e segurança de milhões de usuários.

Recentemente, a empresa de segurança Malwarebytes identificou uma nova campanha de phishing que utiliza chamadas falsas em plataformas como Zoom e Google Meet para instalar um aplicativo de monitoramento malicioso no Windows. Os hackers criaram um processo que simula a instalação do aplicativo legítimo Teramind, utilizado por empresas para monitorar dispositivos. O golpe começa com um link aparentemente inofensivo que leva a uma página falsa de videochamada, onde o usuário é induzido a baixar um arquivo de atualização. Esse arquivo, na verdade, instala um malware que coleta informações sensíveis, como teclas pressionadas, capturas de tela e histórico de navegação. A campanha também se aproveita da familiaridade dos usuários com essas plataformas de videoconferência, tornando o ataque mais eficaz. Para se proteger, é recomendado verificar o domínio dos links recebidos e evitar instalar atualizações de fontes desconhecidas.

Pesquisadores da Unit 42, da Palo Alto Networks, identificaram uma vulnerabilidade crítica no Google Chrome, registrada como CVE-2026-0628, que permitia a hackers escalarem privilégios e acessarem arquivos do sistema através de extensões maliciosas. A falha, já corrigida pela Google em janeiro de 2026, estava relacionada ao cumprimento inadequado das políticas da tag WebView no navegador, afetando versões anteriores à 143.0.7499.192. Um agente malicioso poderia injetar scripts em páginas privilegiadas, comprometendo o painel do Gemini Live, uma ferramenta de inteligência artificial do Google. Essa brecha, apelidada de Glic Jack, possibilitava que extensões com permissões básicas acessassem a câmera, microfone e arquivos locais do usuário. A integração do Gemini no Chrome, realizada em setembro de 2025, ampliou a superfície de ataque, tornando o navegador vulnerável a novos tipos de exploração. A descoberta da falha foi feita em 23 de novembro de 2025, e a vulnerabilidade representa um risco significativo para a segurança dos usuários do Chrome, especialmente no contexto de um aumento nas ameaças cibernéticas.

O Huntress Tactical Response Team investigou um alerta de força bruta em um servidor RDP exposto à internet, que inicialmente parecia ser um incidente comum. Ao analisar os logs de eventos do Windows, a equipe descobriu que um único login bem-sucedido levou a um comportamento incomum de busca por credenciais, revelando uma infraestrutura geograficamente distribuída e um serviço VPN suspeito, indicando a presença de um ecossistema de ransomware como serviço.

O Centro Médico da Universidade de Mississippi (UMMC) anunciou que retomou suas operações normais após um ataque de ransomware que durou nove dias, bloqueando o acesso a registros médicos eletrônicos e desativando muitos de seus sistemas de TI. O ataque forçou a instituição a cancelar procedimentos ambulatoriais e consultas de imagem, embora os serviços hospitalares continuassem a ser prestados. A UMMC confirmou que conseguiu restaurar o acesso aos registros dos pacientes e reabriu suas clínicas, que agora funcionam em horários estendidos para acomodar os pacientes. Embora nenhum grupo de ransomware tenha reivindicado a responsabilidade pelo ataque, a UMMC está em contato com os atacantes e trabalhando com o FBI e a CISA para investigar o incidente. A UMMC é um dos maiores empregadores do Mississippi, com mais de 10.000 funcionários e uma infraestrutura crítica que inclui o único programa de transplante de órgãos e medula óssea do estado. O ataque destaca a crescente ameaça de ransomware a instituições de saúde, que são alvos atraentes devido à sensibilidade dos dados que gerenciam.

Com a crescente adoção da Inteligência Artificial (IA) nas empresas, os líderes de segurança estão recebendo mais recursos para proteger essas tecnologias. No entanto, muitos ainda enfrentam um dilema: embora reconheçam a necessidade de ‘Governança de IA’, não sabem como implementá-la efetivamente. Um novo guia de RFP (Request for Proposal) foi lançado para ajudar as organizações a avaliar soluções de Controle de Uso de IA (AUC) e Governança de IA. O guia propõe uma mudança de foco, sugerindo que a segurança da IA deve se concentrar nas interações, e não apenas nas aplicações, permitindo um controle mais eficaz. Além disso, o guia apresenta oito pilares essenciais para um projeto maduro de governança de IA, incluindo descoberta de IA, consciência contextual, governança de políticas e auditoria. A abordagem estruturada do guia visa eliminar a subjetividade na escolha de fornecedores, garantindo que as soluções escolhidas sejam adequadas para o futuro e eficazes na mitigação de riscos. Para os CISOs brasileiros, a adoção desse framework pode acelerar a pesquisa e a implementação de uma governança de IA segura, alinhada às necessidades do negócio.

O Google identificou um novo e poderoso kit de exploits chamado Coruna, que visa modelos de iPhone com versões do iOS entre 13.0 e 17.2.1. Este kit contém cinco cadeias completas de exploits e um total de 23 vulnerabilidades, sendo que não é eficaz contra a versão mais recente do iOS. O Coruna foi observado circulando entre diversos atores de ameaças desde fevereiro de 2025, começando em operações de vigilância comercial e evoluindo para ataques apoiados por governos e, finalmente, para grupos criminosos motivados financeiramente, especialmente da China. O kit utiliza técnicas de exploração não públicas e contorna mitigação de segurança, o que o torna altamente sofisticado. A primeira detecção de partes de uma cadeia de exploits do iOS ocorreu no início do ano passado, integrando um novo framework JavaScript que coleta informações do dispositivo antes de executar os exploits. O kit foi associado a campanhas de espionagem, incluindo um grupo russo, e é um exemplo significativo da proliferação de capacidades de spyware de fornecedores comerciais para atores de estados-nação e operações criminosas em larga escala. Para mitigar os riscos, usuários de iPhone são aconselhados a manter seus dispositivos atualizados e a ativar o Modo de Bloqueio para maior segurança.

A ExpressVPN anunciou a reabertura de suas tarifas mais baixas, coincidentemente com a final da Copa do Mundo de Críquete T20, que ocorrerá no dia 8 de outubro. A empresa oferece planos de dois anos a partir de apenas US$ 2,44 por mês, com pagamento antecipado de US$ 68,40. Para aqueles que desejam uma solução temporária, um plano mensal está disponível por US$ 12,99. A utilização de uma VPN, como a ExpressVPN, é especialmente útil para quem está viajando e deseja acessar serviços de streaming de críquete de sua região, já que a ferramenta permite a criptografia do tráfego online e a conexão a servidores seguros. A ExpressVPN se destaca pela facilidade de uso, com aplicativos intuitivos para dispositivos móveis e tablets. Além disso, oferece recursos como bloqueio de anúncios e malware, proteção de e-mail e a capacidade de conectar até 10 dispositivos simultaneamente. Todos os planos incluem uma garantia de devolução do dinheiro em 30 dias, proporcionando segurança ao usuário. Embora existam opções mais baratas no mercado, a ExpressVPN é recomendada por sua velocidade e segurança, sendo uma escolha sólida para streaming.

A Agência de Segurança Cibernética e Infraestrutura dos EUA (CISA) incluiu uma nova vulnerabilidade crítica, CVE-2026-22719, no seu catálogo de Vulnerabilidades Conhecidas e Exploradas (KEV). Essa falha, com uma pontuação CVSS de 8.1, permite que atacantes não autenticados executem comandos arbitrários, potencialmente levando à execução remota de código durante a migração assistida de produtos no VMware Aria Operations. A vulnerabilidade foi identificada como uma injeção de comando e afeta produtos como VMware Cloud Foundation e VMware vSphere Foundation 9.x.x.x, além do VMware Aria Operations 8.x. A correção foi disponibilizada nas versões 9.0.2.0 e 8.18.6, respectivamente. Para clientes que não podem aplicar o patch imediatamente, a Broadcom oferece um script de contorno. Embora a Broadcom tenha reconhecido relatos de exploração ativa da vulnerabilidade, ainda não há detalhes sobre a natureza dos ataques ou os responsáveis. As agências do Federal Civilian Executive Branch (FCEB) têm até 24 de março de 2026 para aplicar as correções. A situação exige atenção imediata, especialmente considerando o potencial impacto em ambientes corporativos que utilizam essas tecnologias.

Pesquisadores de cibersegurança revelaram detalhes sobre o grupo de ameaças persistentes avançadas (APT) conhecido como Silver Dragon, que está vinculado a ataques cibernéticos direcionados a entidades na Europa e no Sudeste Asiático desde meados de 2024. O grupo, associado ao APT41, uma notória facção de hackers chineses, utiliza técnicas sofisticadas para obter acesso inicial, como a exploração de servidores expostos na internet e o envio de e-mails de phishing com anexos maliciosos.

Pesquisadores de cibersegurança identificaram pacotes PHP maliciosos no Packagist, que se apresentam como utilitários do Laravel, mas atuam como um trojan de acesso remoto (RAT) em sistemas Windows, macOS e Linux. Os pacotes em questão são ’nhattuanbl/lara-helper’, ’nhattuanbl/simple-queue’ e ’nhattuanbl/lara-swagger’. O pacote ’lara-swagger’ não contém código malicioso diretamente, mas depende do ’lara-helper’, que instala o RAT. Os pacotes ainda estão disponíveis para download. O RAT, uma vez carregado, se conecta a um servidor de comando e controle (C2) e permite que o operador tenha acesso total ao sistema comprometido, incluindo a capacidade de executar comandos, capturar telas e manipular arquivos. Embora o servidor C2 esteja inativo no momento, o RAT tenta se reconectar a cada 15 segundos, representando um risco contínuo. Os usuários que instalaram esses pacotes devem considerar suas aplicações comprometidas, removê-los e auditar o tráfego de saída. Além dos pacotes maliciosos, o autor publicou outras bibliotecas limpas para ganhar credibilidade. A situação é crítica, pois qualquer aplicação Laravel que tenha instalado os pacotes mencionados está sob risco de controle remoto.

O Facebook enfrentou uma interrupção global que impediu o acesso dos usuários às suas contas. A falha começou por volta das 16h15 ET e afetou usuários em todo o mundo, que se depararam com uma mensagem informando que suas contas estavam temporariamente indisponíveis. A mensagem dizia: ‘Sua conta está atualmente indisponível devido a um problema no site. Esperamos que isso seja resolvido em breve. Por favor, tente novamente em alguns minutos.’ Embora a página de status da Meta tenha indicado ‘Altas Disrupções’ em serviços como o gerenciador de anúncios do Facebook, Instagram Boost e API do WhatsApp Business, não foram fornecidas informações detalhadas sobre a causa da interrupção. Às 18h21 ET, a situação foi normalizada e os usuários puderam acessar suas contas novamente. No entanto, a falta de esclarecimentos sobre a origem do problema levanta preocupações sobre a segurança e a confiabilidade dos serviços da Meta, especialmente em um cenário onde a cibersegurança é uma prioridade crescente para empresas e usuários. O incidente destaca a importância de uma comunicação clara e eficaz em situações de falhas de serviço.

A empresa multinacional holandesa AkzoNobel, especializada em tintas e revestimentos, confirmou uma violação de segurança em um de seus sites nos Estados Unidos, após um vazamento de dados pelo grupo de ransomware Anubis. Segundo um porta-voz da empresa, a intrusão foi contida e o impacto foi considerado limitado. A Anubis afirma ter roubado 170 GB de dados, incluindo 170 mil arquivos, que contêm informações sensíveis como acordos confidenciais, e-mails, números de telefone e documentos técnicos internos. A AkzoNobel está colaborando com as autoridades competentes e notificando as partes afetadas. O grupo Anubis, que opera como um serviço de ransomware, tem se tornado mais ativo desde seu lançamento em dezembro de 2024, e recentemente adicionou uma ferramenta que apaga arquivos das vítimas, dificultando a recuperação. Este incidente destaca a crescente sofisticação das ameaças cibernéticas e a necessidade de vigilância constante por parte das empresas.

A Agência de Segurança Cibernética e Infraestrutura dos EUA (CISA) incluiu uma vulnerabilidade do VMware Aria Operations, identificada como CVE-2026-22719, em seu catálogo de Vulnerabilidades Conhecidas e Exploradas, indicando que a falha está sendo utilizada em ataques. A Broadcom, responsável pela VMware, confirmou que está ciente de relatos sobre a exploração da vulnerabilidade, mas não conseguiu confirmar a veracidade das informações. A falha, que permite a injeção de comandos por atacantes não autenticados, pode resultar na execução remota de código durante a migração assistida do produto. A vulnerabilidade foi divulgada e corrigida em 24 de fevereiro de 2026, com uma pontuação CVSS de 8.1, sendo considerada importante. A CISA exige que as agências civis federais tratem o problema até 24 de março de 2026. A Broadcom também disponibilizou um script temporário para mitigar a falha, que deve ser executado como root em cada nó do Aria Operations. Especialistas recomendam que as organizações apliquem os patches de segurança ou implementem as soluções alternativas o mais rápido possível, especialmente se a exploração estiver em andamento.

A Amazon confirmou que três de seus data centers da AWS foram atacados por drones nos Emirados Árabes Unidos e no Bahrein, resultando em uma queda significativa nos serviços de computação em nuvem. O ataque, que parece ser uma retaliação do Irã a operações militares dos EUA e Israel, causou danos físicos à infraestrutura, afetando diretamente as regiões ME-CENTRAL-1 e ME-SOUTH-1. As instalações atingidas enfrentaram problemas de abastecimento energético e danos adicionais devido ao combate a incêndios. A Amazon está colaborando com as autoridades locais para restaurar os serviços e recomenda que os clientes façam backup de seus dados em regiões não afetadas, como os EUA ou Ásia Pacífica. O Centro de Ciber Segurança Nacional do Reino Unido já havia alertado sobre o aumento do risco de ciberataques iranianos, o que torna a situação ainda mais crítica para empresas que dependem da AWS.

Pesquisadores de segurança da Oasis descobriram uma vulnerabilidade de alta gravidade na plataforma OpenClaw, um agente de IA de código aberto amplamente utilizado, que permite a atacantes obter controle total sobre dispositivos afetados. A falha, chamada ‘ClawJacked’, permite que sites maliciosos realizem ataques de força bruta na autenticação do gateway local, bastando que a vítima acesse um site comprometido. O OpenClaw, que possui mais de 100 mil estrelas no GitHub, conecta-se a aplicativos de mensagens e calendários, facilitando a interação do usuário com suas funcionalidades. A vulnerabilidade reside no próprio sistema, sem necessidade de plugins ou extensões, tornando-a facilmente explorável. Após a divulgação responsável, um patch foi disponibilizado em 24 horas, e os usuários são aconselhados a atualizar para a versão 2026.2.25 ou superior. A falha destaca a importância de práticas robustas de segurança, especialmente em plataformas populares que lidam com dados sensíveis.

O Google Chrome anunciou uma mudança significativa em seu ciclo de lançamentos, passando de um intervalo de quatro semanas para um de duas semanas. A partir da versão 153, lançada em 8 de setembro, o navegador começará a receber duas novas versões estáveis por mês, uma alteração que visa implementar novas funcionalidades, correções de bugs e melhorias de desempenho com maior frequência. Essa nova abordagem se aplica tanto às versões beta quanto às estáveis em plataformas Desktop, Android e iOS, enquanto os canais Dev e Canary continuarão com o cronograma atual. A Google acredita que lançamentos mais frequentes, mas com um escopo menor, reduzirão interrupções e simplificarão a depuração pós-lançamento, mantendo a estabilidade do navegador. Embora as atualizações de segurança ainda sejam parte dos lançamentos principais, o Chrome receberá correções de segurança semanalmente, uma medida que visa diminuir a janela de exploração para hackers. Essa mudança ocorre em um contexto onde o Chrome teve um início de ano relativamente calmo em termos de vulnerabilidades, com apenas uma zero-day reportada até agora. A nova cadência de lançamentos reflete um esforço mais amplo da Google para melhorar a segurança e a experiência do usuário no navegador mais popular do mundo.

Pesquisadores da Microsoft Defender alertam sobre uma nova técnica de ataque que abusa do mecanismo de redirecionamento legítimo do OAuth para contornar as proteções contra phishing em e-mails e navegadores. Os ataques têm como alvo organizações governamentais e do setor público, utilizando links de phishing que induzem os usuários a autenticar-se em aplicativos maliciosos. Os criminosos criam aplicativos OAuth maliciosos em um tenant que controlam, configurando um URI de redirecionamento que aponta para sua infraestrutura. Mesmo que os URLs pareçam legítimos, eles são manipulados para forçar redirecionamentos silenciosos, levando os usuários a páginas de phishing. Em alguns casos, os atacantes utilizam frameworks como EvilProxy para interceptar cookies de sessão válidos, burlando a autenticação multifator (MFA). Além disso, os atacantes podem entregar arquivos ZIP maliciosos que, ao serem abertos, executam scripts PowerShell para realizar reconhecimento e carregar cargas úteis finais. A Microsoft recomenda que as organizações reforcem as permissões para aplicativos OAuth e implementem políticas de Acesso Condicional para mitigar esses riscos.

Recentemente, pesquisadores da Huntress identificaram uma nova campanha de ciberataque onde criminosos se passam por suporte técnico para implantar o framework de comando e controle (C2) Havoc, visando a exfiltração de dados ou ataques de ransomware. A intrusão foi observada em cinco organizações parceiras, onde os atacantes utilizaram e-mails de spam como iscas, seguidos de ligações telefônicas que ativaram um complexo pipeline de entrega de malware.

Em uma das organizações, os atacantes conseguiram se mover lateralmente para nove endpoints em apenas 11 horas, utilizando uma combinação de payloads personalizados do Havoc e ferramentas legítimas de gerenciamento remoto (RMM) para garantir persistência. A técnica de engenharia social, que inclui a criação de páginas falsas que imitam serviços da Microsoft, foi fundamental para o sucesso do ataque, permitindo que os criminosos coletassem credenciais dos usuários.

Um grupo de hackers brasileiros, conhecido como Tropa do Arranca, está utilizando táticas de engenharia social para roubar e desbloquear iPhones, além de acessar dados sensíveis das vítimas. A abordagem combina o roubo físico de dispositivos com técnicas digitais, como phishing. Os criminosos imitam a interface da ferramenta ‘Encontre meu iPhone’, fazendo com que as vítimas acreditem que estão rastreando seus aparelhos perdidos. Ao clicar em links fraudulentos, as vítimas inserem suas credenciais do iCloud, permitindo que os hackers acessem suas contas. Pesquisadores de segurança identificaram um código suspeito em páginas de login do iCloud, que inclui uma assinatura digital do grupo. Os hackers não apenas desbloqueiam os iPhones, mas também os revendem em mercados clandestinos e acessam informações bancárias. Para se proteger, especialistas recomendam que os usuários nunca insiram suas credenciais em links recebidos por mensagens e que utilizem autenticação em dois fatores. A Tropa do Arranca, embora não seja uma rede global, demonstra uma organização crescente e pode expandir suas atividades em outras regiões do Brasil.

Após um ataque aéreo dos Estados Unidos que resultou na morte do líder iraniano Ali Khamenei, o Irã está se preparando para responder com ciberataques, conforme indicado por John Hultquist, analista-chefe do Grupo de Inteligência de Ameaças da Google. Durante um evento em Londres, Hultquist destacou que o país poderá direcionar suas ações contra alvos no Oriente Médio e em outras regiões, especialmente aqueles com segurança cibernética mais fraca. O especialista observou que a linha entre o governo iraniano e grupos hacktivistas tem se tornado cada vez mais tênue, o que pode facilitar a realização de ataques cibernéticos. O Centro Nacional de Ciber Segurança do Reino Unido alertou organizações ocidentais a revisarem suas posturas de segurança, uma vez que a guerra moderna é híbrida, envolvendo tanto frentes físicas quanto digitais. O cenário atual sugere que países vizinhos ao Irã, como Bahrein, Emirados Árabes Unidos e Jordânia, estão sob risco de sofrer ataques cibernéticos, o que exige uma atenção redobrada das empresas que operam na região.

Pesquisadores de segurança da Microsoft alertaram sobre uma nova tática de hackers que utilizam instaladores falsos de jogos populares, como Xeno e Roblox, para disseminar trojans de acesso remoto (RATs). Os arquivos maliciosos, disfarçados como executáveis legítimos, empregam técnicas furtivas para se manterem ocultos no sistema da vítima. Após a instalação, um Java runtime portátil é utilizado para executar um arquivo malicioso, que se conecta a servidores remotos e permite o controle do computador da vítima. Os hackers aproveitam ferramentas já existentes no Windows, conhecidas como LOLbins, para evitar a detecção, fazendo com que suas atividades pareçam normais. A Microsoft já atualizou seu Defender para detectar esses malwares, mas recomenda que os usuários monitorem o tráfego de saída e bloqueiem conexões suspeitas. A orientação é que os jogadores evitem baixar ferramentas de fontes não oficiais, pois a probabilidade de contaminação por malware é alta. Este incidente destaca a importância de se manter vigilante ao baixar softwares, especialmente em ambientes de jogos.

Um recente relatório da Chainalysis revelou um aumento de 50% nos ataques de ransomware em comparação ao ano anterior, enquanto o número de vítimas que pagaram resgates caiu para 28%, o menor índice já registrado. Essa queda na taxa de pagamentos reflete uma tendência de quatro anos, onde em 2024, 62,8% das vítimas pagaram, e em 2022, esse número foi ainda maior, atingindo 78,9%. Apesar da diminuição no número de pagamentos, o valor médio dos resgates aumentou drasticamente, passando de US$ 12.738 para US$ 59.556, um aumento de 368%. Os Estados Unidos, Canadá, Alemanha e Reino Unido foram identificados como os países mais visados. A análise sugere que a melhoria nas respostas a incidentes e a crescente regulamentação contra ataques são fatores que contribuíram para a queda na taxa de pagamentos, embora o valor dos resgates tenha aumentado, indicando que algumas vítimas estão dispostas a pagar quantias maiores para recuperar seus dados sequestrados.

A Cloud Imperium Games (CIG), desenvolvedora dos jogos Star Citizen e Squadron 42, revelou que em 21 de janeiro de 2026, seus sistemas foram alvo de um ataque cibernético que resultou no acesso não autorizado a informações básicas de conta de um número não divulgado de usuários. A empresa, fundada em 2012, afirmou que os dados comprometidos incluem metadados, detalhes de contato, nome de usuário, data de nascimento e nome, mas não continham informações financeiras ou credenciais. Apesar do incidente, a CIG acredita que não há risco para a segurança dos usuários, pois não há evidências de que os dados acessados tenham sido vazados online. A empresa está monitorando a situação e tomando medidas para evitar novos incidentes. No entanto, especialistas alertam que as informações pessoais expostas podem ser utilizadas em ataques de phishing. A CIG não respondeu a perguntas sobre notificações a usuários afetados ou se houve demanda de resgate por parte dos atacantes.

A Amazon confirmou que três data centers da Amazon Web Services (AWS) nos Emirados Árabes Unidos (EAU) e um no Bahrein foram danificados por ataques aéreos com drones, resultando em uma interrupção significativa que ainda afeta diversos serviços de computação em nuvem. Os ataques são considerados uma resposta do Irã a operações militares dos EUA e de Israel na região. A empresa informou que as instalações nos EAU sofreram danos diretos, enquanto um ataque próximo ao data center no Bahrein também causou impactos na infraestrutura. Atualmente, três zonas de disponibilidade nos EAU estão ‘significativamente prejudicadas’, e uma no Bahrein enfrenta problemas de energia localizados. A Amazon está trabalhando na restauração da infraestrutura física e em caminhos de recuperação baseados em software, além de aconselhar os clientes a realizarem backups e migrarem seus dados para regiões não afetadas. O Centro Nacional de Segurança Cibernética do Reino Unido também alertou sobre um aumento no risco de ciberataques iranianos em meio ao conflito no Oriente Médio.

Um novo estudo revela que atores de ameaças estão comercializando abertamente o acesso a sites hackeados, com foco especial nas credenciais comprometidas do cPanel. O cPanel, um painel de controle amplamente utilizado para hospedagem de sites, permite que atacantes realizem uma série de atividades maliciosas, como implantar backdoors, criar novos usuários administrativos e disseminar campanhas de phishing. A pesquisa da Flare analisou mais de 200 mil postagens em grupos fraudulentos ao longo de uma semana, revelando um ecossistema estruturado que opera em larga escala. Os atacantes frequentemente obtêm acesso por meio de credenciais roubadas ou explorando vulnerabilidades em aplicações web. A venda de cPanels comprometidos é altamente commoditizada, com preços variando conforme a qualidade e a reputação da infraestrutura. A falta de autenticação multifatorial e senhas fracas são fatores que contribuem para a vulnerabilidade. Para mitigar esses riscos, as organizações devem implementar medidas de segurança robustas, como autenticação multifatorial e monitoramento contínuo de atividades suspeitas.

A empresa americana LexisNexis Legal & Professional confirmou que hackers invadiram seus servidores, acessando informações de clientes e negócios. O ataque foi realizado pelo grupo FulcrumSec, que explorou uma vulnerabilidade no aplicativo React2Shell em uma aplicação frontend não corrigida. Embora a empresa tenha afirmado que os dados acessados eram antigos e não críticos, o vazamento incluiu informações de mais de 100 usuários com endereços de e-mail .gov, abrangendo funcionários do governo dos EUA, juízes federais e advogados do Departamento de Justiça. Os dados comprometidos incluíam nomes de clientes, IDs de usuários, informações de contato e registros de pesquisas. A LexisNexis notificou as autoridades e contratou especialistas em cibersegurança para investigar o incidente. Este não é o primeiro vazamento da empresa, que já havia enfrentado outro incidente no ano passado, afetando 364 mil clientes. A situação levanta preocupações sobre a segurança de dados em serviços amplamente utilizados, especialmente no contexto da LGPD no Brasil.

A Microsoft alertou sobre novas campanhas de phishing que utilizam e-mails maliciosos e mecanismos de redirecionamento de URLs OAuth para contornar defesas tradicionais de segurança em e-mails e navegadores. Essas campanhas visam organizações governamentais e do setor público, redirecionando as vítimas para infraestruturas controladas pelos atacantes sem a necessidade de roubar tokens de autenticação. Os ataques se aproveitam do comportamento padrão do OAuth, permitindo que os invasores criem URLs que parecem benignas, mas que levam a páginas maliciosas.

Pesquisadores de cibersegurança revelaram detalhes sobre uma nova suíte de phishing chamada Starkiller, que utiliza páginas de login legítimas para contornar as proteções de autenticação multifator (MFA). O grupo de ameaças Jinkusu promove essa plataforma como um serviço de cibercrime, permitindo que usuários escolham marcas para imitar ou insiram URLs reais. A técnica de proxy de páginas de login permite que os atacantes atualizem suas páginas de phishing em tempo real, sem a necessidade de modificar templates. Isso é feito através de uma instância do Chrome sem interface gráfica, que atua como um proxy reverso entre o usuário e o site legítimo, capturando todas as entradas do usuário. Além disso, a evolução de kits de phishing, como o 1Phish, mostra um aumento na sofisticação das ameaças, com a capacidade de capturar códigos de autenticação de um único uso (OTPs) e implementar lógica de impressão digital do navegador para filtrar bots. As campanhas de phishing estão se tornando mais complexas, com ataques direcionados a empresas e instituições financeiras, utilizando técnicas avançadas para evitar a detecção. Essa situação representa um risco significativo para a segurança cibernética, especialmente para empresas que dependem de MFA para proteger suas contas.

O Modelo Contexto de Protocolo (MCP) está se consolidando como uma ferramenta essencial para a integração de agentes de IA em ambientes corporativos. Ao permitir acesso estruturado a aplicações, APIs e dados, o MCP transforma modelos de linguagem em agentes autônomos que podem automatizar fluxos de trabalho empresariais. A adoção desses agentes, como Microsoft Copilot e Zendesk bots, está crescendo rapidamente, mas a governança e os controles necessários para gerenciá-los ainda estão em desenvolvimento. Um dos principais desafios é que esses agentes não se comportam como humanos, não passam por processos de RH e podem operar com identidades não gerenciadas, conhecidas como ‘dark matter’. Isso gera riscos significativos, pois esses agentes podem explorar acessos não monitorados e acumular permissões excessivas ao longo do tempo. Para mitigar esses riscos, especialistas recomendam que as empresas adotem princípios de governança que incluam a associação de agentes a operadores humanos, acesso dinâmico e consciente do contexto, e visibilidade das ações dos agentes. A implementação cuidadosa do MCP é crucial para garantir que esses agentes se tornem aliados confiáveis, em vez de riscos ocultos.

Um novo relatório revela que um ator de ameaças, supostamente ligado a grupos de língua russa, utilizou uma plataforma de teste de segurança assistida por inteligência artificial chamada CyberStrikeAI para atacar dispositivos Fortinet FortiGate. A análise da Team Cymru identificou o uso dessa ferramenta, que integra mais de 100 ferramentas de segurança, para realizar varreduras automatizadas em busca de vulnerabilidades. Entre janeiro e fevereiro de 2026, foram observados 21 endereços IP únicos executando o CyberStrikeAI, com servidores localizados principalmente na China, Cingapura e Hong Kong. A campanha comprometeu mais de 600 dispositivos em 55 países, utilizando serviços de IA generativa como Anthropic Claude e DeepSeek. O desenvolvedor da ferramenta, conhecido como Ed1s0nZ, tem laços com o governo chinês e interage com empresas que apoiam operações cibernéticas estatais. A crescente adoção de ferramentas de segurança ofensiva baseadas em IA, como o CyberStrikeAI, representa uma evolução preocupante na cibersegurança, exigindo atenção especial de profissionais da área.

Os Centros de Operações de Segurança (SOC) enfrentam um desafio crítico: os analistas de nível 1, responsáveis pela detecção de ameaças em tempo real, são frequentemente os menos experientes e mais sobrecarregados. Este artigo destaca como a alta rotatividade, a pressão cognitiva e a fadiga de alertas prejudicam o desempenho desses profissionais. A performance do nível 1 é fundamental para a eficácia do SOC, mas, paradoxalmente, eles são os menos apoiados e mais vulneráveis. A falta de inteligência contextual e a dependência de regras de detecção desatualizadas aumentam o tempo de resposta e os custos de incidentes. Para mitigar esses problemas, é essencial integrar feeds de inteligência de ameaças em tempo real, que fornecem dados acionáveis e contexto para os analistas. Isso não apenas melhora a precisão na detecção, mas também reduz o tempo de inatividade e aumenta a confiança na segurança. A implementação de ferramentas como sandboxes interativas permite que os analistas avaliem rapidamente a natureza de arquivos suspeitos, melhorando a triagem e a resposta a incidentes.

Em fevereiro de 2026, os ataques de ransomware globalmente se mantiveram elevados, com 685 incidentes registrados, uma leve queda em relação aos 718 de janeiro. O setor de saúde viu um aumento de 30% nos ataques, subindo de 37 para 48, enquanto o setor de transporte teve um crescimento ainda maior, com um aumento de 39%, passando de 23 para 32 ataques. Os fabricantes, embora ainda sejam alvos significativos com 120 ataques, estão experimentando uma diminuição nas ocorrências. O grupo de ransomware Qilin continua sendo o mais ativo, com 104 ataques, seguido pelo grupo The Gentlemen, que registrou 84. Este último ganhou notoriedade, especialmente por seus ataques a instituições educacionais no Brasil, incluindo a Universidade Federal de Sergipe e a Centro Universitário Filadélfia. No total, mais de 89,5 TB de dados foram roubados em fevereiro, com os Estados Unidos liderando em número de ataques, seguidos pelo Canadá e Brasil. O aumento nos ataques a setores críticos, como saúde e transporte, destaca a necessidade urgente de medidas de segurança robustas e vigilância contínua.

O Google lançou atualizações de segurança para corrigir 129 vulnerabilidades no Android, incluindo uma falha zero-day criticamente explorada em um componente de display da Qualcomm, identificada como CVE-2026-21385. Essa vulnerabilidade, que pode estar sob exploração limitada e direcionada, é um estouro de inteiro que pode levar à corrupção de memória, afetando 235 chipsets da Qualcomm. Além disso, o Google corrigiu 10 vulnerabilidades críticas que poderiam permitir a execução remota de código, elevação de privilégios ou negação de serviço. As atualizações foram divididas em dois pacotes: 2026-03-01 e 2026-03-05, com o segundo incluindo todos os patches do primeiro e correções para subcomponentes de terceiros. Enquanto dispositivos Google Pixel recebem atualizações imediatamente, outros fabricantes podem demorar mais para implementá-las. A Qualcomm foi notificada sobre a vulnerabilidade em dezembro e alertou seus clientes em fevereiro. O artigo destaca a importância de que as empresas que utilizam dispositivos Android estejam cientes dessas vulnerabilidades e realizem as atualizações necessárias para mitigar riscos.

A Universidade do Havai (UH) confirmou que um ataque de ransomware comprometeu os dados de aproximadamente 1,2 milhão de indivíduos, após uma violação na Divisão de Epidemiologia do seu Centro de Câncer em agosto de 2025. O ataque resultou no roubo de informações pessoais, incluindo números de Seguro Social (SSNs) e dados de registro de veículos. Em 23 de fevereiro, a universidade notificou mais de 87 mil participantes do Estudo Multiétnico (MEC) realizado entre 1993 e 1996, além de outros 900 mil indivíduos cujos e-mails foram encontrados. A UH informou que não houve impacto nas operações clínicas ou registros de alunos. O ataque causou danos significativos, atrasando os esforços de restauração e investigação. A universidade admitiu ter pago aos atacantes para obter uma ferramenta de descriptografia e garantir a destruição segura das informações roubadas. O diretor do UH Cancer Center expressou arrependimento pelo incidente e reafirmou o compromisso com a transparência e a proteção dos dados de pesquisa. Este incidente segue um padrão crescente de ataques de ransomware, que têm se tornado mais sofisticados e impactantes.

O grupo de cibercriminosos conhecido como SloppyLemming está por trás de uma nova onda de ataques direcionados a entidades governamentais e operadores de infraestrutura crítica em países como Paquistão e Bangladesh, conforme relatado pela Arctic Wolf. As atividades ocorreram entre janeiro de 2025 e janeiro de 2026 e envolveram duas cadeias de ataque distintas que utilizam malwares conhecidos como BurrowShell e um keylogger baseado em Rust. A utilização da linguagem de programação Rust representa uma evolução nas ferramentas do grupo, que anteriormente utilizava apenas linguagens compiladas tradicionais e frameworks de simulação de adversários. Os ataques foram iniciados por meio de e-mails de spear-phishing que continham iscas em PDF e documentos do Excel com macros maliciosas. O BurrowShell, um backdoor completo, permite ao atacante manipular o sistema de arquivos, capturar telas e executar comandos remotamente, disfarçando seu tráfego de comando e controle como comunicações do serviço de atualização do Windows. A análise também revelou um aumento significativo na infraestrutura do grupo, com 112 domínios do Cloudflare Workers registrados em um ano, indicando uma escalada em suas operações. O foco em entidades críticas, como órgãos reguladores nucleares e instituições financeiras, sugere um alinhamento com prioridades de coleta de inteligência na competição estratégica regional.

O Google revelou uma vulnerabilidade de alta severidade, identificada como CVE-2026-21385, que afeta um componente de código aberto da Qualcomm utilizado em dispositivos Android. Essa falha, classificada com um CVSS de 7.8, refere-se a um buffer over-read no componente gráfico, resultando em corrupção de memória ao adicionar dados fornecidos pelo usuário sem verificar o espaço disponível no buffer. A Qualcomm recebeu o relatório sobre essa vulnerabilidade em 18 de dezembro de 2025 e notificou seus clientes em 2 de fevereiro de 2026. Embora não haja detalhes sobre como a vulnerabilidade está sendo explorada, o Google indicou que há sinais de exploração direcionada e limitada. Além disso, a atualização de março de 2026 do Android inclui patches para 129 vulnerabilidades, incluindo uma falha crítica que pode permitir execução remota de código sem privilégios adicionais. A atualização oferece dois níveis de patch para que os parceiros do Android possam abordar rapidamente as vulnerabilidades comuns em diferentes dispositivos. Essa situação destaca a importância de manter os dispositivos atualizados para mitigar riscos de segurança.

Pesquisadores alertam sobre o uso da nova plataforma de teste de segurança de IA de código aberto, CyberStrikeAI, por um ator de ameaça que comprometeu recentemente centenas de firewalls Fortinet FortiGate. Em uma operação que durou cinco semanas, mais de 500 dispositivos FortiGate foram afetados. A equipe de inteligência de ameaças da Team Cymru identificou que o mesmo endereço IP, 212.11.64[.]250, estava executando o CyberStrikeAI, que permite a automação de ataques cibernéticos, mesmo por operadores com habilidades limitadas. A plataforma combina mais de 100 ferramentas de segurança e um motor de orquestração inteligente, facilitando a descoberta de vulnerabilidades e a visualização de resultados. Os pesquisadores observaram 21 endereços IP únicos executando o CyberStrikeAI entre janeiro e fevereiro de 2026, com servidores principalmente na China, Singapura e Hong Kong. A crescente adoção de ferramentas de orquestração nativas de IA por adversários pode acelerar o direcionamento automatizado de dispositivos expostos, como firewalls e appliances de VPN. O desenvolvedor do CyberStrikeAI, conhecido como ‘Ed1s0nZ’, tem vínculos com operações cibernéticas supostamente ligadas ao governo chinês, o que levanta preocupações sobre a segurança global.

Um cibercriminoso utilizou o modelo de linguagem Claude, da Anthropic, para realizar um ataque a várias agências governamentais do México, resultando no roubo de 150 gigabytes de dados sensíveis. Os dados comprometidos incluem informações fiscais, registros de votação e dados pessoais de mais de 195 milhões de cidadãos. O ataque, que ocorreu entre dezembro de 2025 e janeiro de 2026, foi facilitado por prompts escritos em espanhol, que instruíram a IA a buscar vulnerabilidades nas redes governamentais e automatizar o roubo de dados. Apesar de alertas da IA sobre a ilegalidade das ações, o hacker conseguiu convencê-la de que estava realizando uma atividade legítima. A empresa de cibersegurança Gambit Security notificou a Anthropic, que então interrompeu a atividade e baniu as contas envolvidas. As autoridades mexicanas, no entanto, não encontraram evidências de invasão nos sistemas, embora investigações sobre brechas em instituições públicas estejam em andamento. O uso de IA por cibercriminosos destaca a necessidade de vigilância e proteção contínuas contra ameaças emergentes.

Uma nova vulnerabilidade nas chaves de API da Google foi descoberta, permitindo que hackers utilizem essas chaves para invadir o assistente de IA Gemini e acessar dados privados. A pesquisa da TruffleSecurity revelou que cerca de 3.000 chaves de API estavam expostas em códigos de diversas organizações na internet. Essas chaves, que antes não eram consideradas sensíveis, passaram a ser um vetor de ataque após a introdução do Gemini, pois agora servem como credenciais de autenticação. A exposição dessas chaves pode resultar em dívidas significativas para os usuários, com potenciais perdas financeiras diárias na ordem de milhares de dólares. O problema foi reportado à Google, que reconheceu a falha como uma “escalada de privilégios de serviço único” e está trabalhando em soluções para mitigar o risco, como a detecção e bloqueio de chaves vazadas. Os desenvolvedores são aconselhados a auditar suas chaves de API e verificar a configuração de segurança de suas aplicações.

O grupo de hackers conhecido como Scattered Lapsus$ Hunters (SLSH) está recrutando mulheres para aprimorar suas operações de engenharia social, especialmente em helpdesks de TI. De acordo com postagens no Telegram, as participantes podem receber entre R$ 2.500 e R$ 5.000 por ligação, dependendo do sucesso na obtenção de credenciais de acesso. O processo de recrutamento envolve a resposta a perguntas de triagem e a adesão a um roteiro durante as chamadas. O objetivo é enganar os funcionários de suporte técnico para que forneçam informações sensíveis, como senhas, que podem ser usadas para acessar redes corporativas. Especialistas em cibersegurança observam que essa tática representa uma evolução calculada nas estratégias do grupo, que busca explorar vozes femininas para evitar perfis de atacantes que os funcionários de TI estão acostumados a identificar. Além disso, a crescente comercialização da engenharia social, com pagamentos baseados em desempenho, indica uma dependência maior de manipulação humana em vez de intrusões técnicas. As organizações são aconselhadas a reforçar a verificação de identidade e a implementar controles de proteção contra roubo de identidade para mitigar esses riscos.

O grupo de ransomware Rhysida reivindicou a responsabilidade por um ataque cibernético ao governo local de Southold, Nova York, ocorrido em novembro de 2025. O ataque, anunciado em 24 de novembro, afetou diversos sistemas da cidade, incluindo e-mails, folha de pagamento e coleta de impostos, resultando em um período de inatividade de duas semanas para a restauração dos serviços. Rhysida exigiu um resgate de 10 bitcoins, equivalente a aproximadamente $661,400, e ameaçou vender os dados comprometidos caso o pagamento não fosse realizado em sete dias. O supervisor de Southold, Al Krupski, afirmou que a cidade não tem intenção de pagar o resgate. Desde o incidente, a cidade investiu $500,000 em melhorias de segurança. Rhysida, que opera como um serviço de ransomware, já foi responsável por 21 ataques confirmados em 2025, afetando principalmente entidades governamentais. Os ataques de ransomware têm se tornado uma preocupação crescente nos EUA, com 84 incidentes confirmados em 2025, comprometendo cerca de 639,000 registros pessoais. O caso de Southold destaca a vulnerabilidade das administrações locais a ataques cibernéticos e a necessidade de investimentos em segurança da informação.

Heidi Richards, de 52 anos, foi condenada a 22 meses de prisão por liderar um esquema de tráfico de milhares de etiquetas de Certificado de Autenticidade (COA) da Microsoft. Operando uma empresa de e-commerce chamada Trinity Software Distribution, ela comprou dezenas de milhares de etiquetas genuínas de Windows 10 e Microsoft Office de uma empresa no Texas entre julho de 2018 e janeiro de 2023, pagando milhões de dólares a preços muito abaixo do valor de varejo. As etiquetas COA, que autentificam software e contêm códigos de chave de produto, não têm valor comercial independente e não podem ser vendidas separadamente do software licenciado. Richards e seus cúmplices extraíram manualmente os códigos das etiquetas e os venderam em massa para clientes em todo o mundo, totalizando mais de 5 milhões de dólares em transações. O caso foi processado pela Seção de Crimes de Computador e Propriedade Intelectual do Departamento de Justiça dos EUA, que tem um histórico de mais de 180 condenações por crimes cibernéticos nos últimos cinco anos.