Autenticação

A Microsoft anunciou que desabilitará o protocolo de autenticação NTLM, com 30 anos de existência, por padrão nas próximas versões do Windows, devido a vulnerabilidades de segurança que expõem as organizações a ciberataques. O NTLM, introduzido em 1993, é um protocolo de autenticação que foi amplamente explorado em ataques de relé NTLM e ataques pass-the-hash, permitindo que cibercriminosos escalem privilégios e acessem dados sensíveis. A transição para a desativação do NTLM ocorrerá em três fases: a primeira permitirá que administradores identifiquem o uso do NTLM, a segunda introduzirá novas funcionalidades para evitar a queda para o NTLM, e a terceira desabilitará o NTLM por padrão, embora o protocolo ainda possa ser reativado se necessário. A mudança é parte de um movimento mais amplo em direção a métodos de autenticação sem senha e resistentes a phishing, com a Microsoft incentivando desenvolvedores a migrar para alternativas mais seguras, como o Kerberos. Essa decisão é crucial para aumentar a segurança das redes corporativas e reduzir a exposição a ataques cibernéticos.

A organização de segurança sem fins lucrativos Shadowserver identificou mais de 6.000 servidores SmarterMail expostos na internet, potencialmente vulneráveis a uma falha crítica de bypass de autenticação. A vulnerabilidade, que foi reportada pela watchTowr à desenvolvedora SmarterTools em 8 de janeiro e corrigida em 15 de janeiro, permite que atacantes não autenticados sequestram contas de administrador e executem código remotamente no servidor afetado. A falha, identificada como CVE-2026-23760, afeta versões do SmarterMail anteriores à build 9511 e permite que um atacante forneça um nome de usuário de administrador e uma nova senha para redefinir a conta, resultando em comprometimento total do sistema. A CISA (Agência de Segurança Cibernética e Infraestrutura dos EUA) incluiu essa vulnerabilidade em sua lista de falhas ativamente exploradas, exigindo que agências governamentais dos EUA protejam seus servidores até 16 de fevereiro. Além disso, a pesquisa da Macnica revelou que mais de 8.550 instâncias do SmarterMail ainda estão vulneráveis, destacando a urgência da situação. A exploração dessa vulnerabilidade pode levar a consequências severas, como controle total dos servidores afetados.

Pesquisadores da Okta alertam sobre a crescente sofisticação dos kits de vishing, uma variante de phishing que utiliza chamadas de voz para enganar as vítimas. Esses kits são capazes de criar sites falsos personalizados que imitam serviços populares, como Google e Microsoft, e coletar credenciais de login e códigos de autenticação em tempo real. O processo começa com o perfilamento da vítima, seguido pela construção de um site de phishing que é apresentado durante uma ligação feita por um número falsificado ou roubado. Os golpistas orientam a vítima a inserir suas informações, que são imediatamente utilizadas para tentar acessar as contas reais. A capacidade de atualizar o site em tempo real para capturar códigos de autenticação de dois fatores torna esse ataque particularmente perigoso. Para se proteger, a Okta recomenda o uso de autenticação avançada e chaves de acesso, além de medidas anti-phishing. Essa evolução no vishing representa um risco significativo para usuários e empresas, especialmente em um cenário onde a segurança digital é cada vez mais crítica.

Uma vulnerabilidade crítica de bypass de autenticação no SmarterMail, ferramenta de e-mail e colaboração da SmarterTools, está sendo ativamente explorada por hackers. Essa falha permite que atacantes não autenticados redefinam senhas de administradores, obtendo assim privilégios totais no sistema. O problema reside no endpoint da API ‘force-reset-password’, que aceita entradas JSON controladas pelo atacante, permitindo que qualquer um que conheça ou adivinhe um nome de usuário de administrador possa definir uma nova senha. Apesar da presença do campo ‘OldPassword’, o sistema não realiza verificações de segurança adequadas. Pesquisadores da watchTowr relataram a vulnerabilidade em 8 de janeiro, e a SmarterTools lançou um patch em 15 de janeiro. No entanto, apenas dois dias após a correção, evidências indicaram que os hackers começaram a explorar a falha, sugerindo que eles conseguiram reverter o patch. A vulnerabilidade afeta apenas contas de nível administrativo, permitindo que atacantes executem comandos do sistema operacional e obtenham execução remota de código. A recomendação é que os usuários do SmarterMail atualizem para a versão mais recente do software, que corrige ambas as falhas identificadas.

O GitLab lançou correções para uma vulnerabilidade crítica de bypass na autenticação de dois fatores, afetando tanto as edições comunitária quanto empresarial de sua plataforma de desenvolvimento de software. Identificada como CVE-2026-0723, essa falha permite que atacantes que conhecem o ID da conta de um alvo contornem a autenticação de dois fatores ao enviar respostas forjadas de dispositivos. Além disso, a empresa corrigiu outras duas falhas de alta gravidade que poderiam permitir que atores mal-intencionados não autenticados provocassem condições de negação de serviço (DoS) ao enviar solicitações malformadas. Para mitigar essas vulnerabilidades, o GitLab lançou as versões 18.8.2, 18.7.2 e 18.6.4, recomendando que os administradores atualizem suas instalações imediatamente. O GitLab, que possui mais de 30 milhões de usuários registrados, é amplamente utilizado por empresas de grande porte, incluindo a Nvidia e a Goldman Sachs. A empresa já havia corrigido problemas de segurança semelhantes anteriormente, destacando a importância de manter as versões atualizadas para evitar riscos de segurança.

A ServiceNow, uma das principais empresas de TI do mundo, enfrentou uma grave vulnerabilidade de segurança relacionada à autenticação, que a deixou exposta a ataques cibernéticos. A falha, identificada pela AppOmni, permitia que hackers acessassem a infraestrutura da empresa utilizando apenas o e-mail de um usuário, sem a necessidade de senha ou autenticação adicional. Isso se deu em parte pela implementação de um chatbot, o Virtual Agent, que foi distribuído com credenciais comuns para todos os serviços de terceiros. A situação se agravou com a atualização do agente virtual para a tecnologia Now Assist, que ampliou o potencial de exploração para outras plataformas internas, como Salesforce e Microsoft. Embora a ServiceNow tenha corrigido a vulnerabilidade em outubro de 2025, a falha representa um risco crítico para a cadeia de suprimentos, uma vez que a empresa atende 85% das companhias da Fortune 500. Especialistas recomendam que as empresas não apenas apliquem patches, mas também evitem conceder a agentes de IA a capacidade de realizar ações críticas sem supervisão adequada.

A cibersegurança está passando por uma transformação significativa, impulsionada por mudanças nas infraestruturas de nuvem, pontos finais distribuídos e cadeias de suprimento complexas. O foco da segurança deixou de ser uma coleção de soluções pontuais e passou a ser uma questão de arquitetura, confiança e velocidade de execução. O relatório analisa como áreas centrais da cibersegurança, como autenticação, segurança de dados em SaaS, proteção da cadeia de suprimento de software e gerenciamento de riscos humanos, estão se adaptando a adversários que utilizam técnicas técnicas e sociais de forma mais rápida e integrada.

A Fortinet, empresa multinacional de cibersegurança, enfrenta ataques digitais há cinco anos, com foco em uma vulnerabilidade no sistema FortiOS, que compromete a autenticação de dois fatores (2FA) e os firewalls da companhia. A falha foi inicialmente identificada na VPN FortiGate e permite que hackers acessem contas legítimas sem ativar o segundo fator de autenticação, utilizando uma simples alteração no nome de usuário, como mudar a primeira letra de minúscula para maiúscula. Essa vulnerabilidade se agrava devido a uma má configuração do sistema, onde a autenticação local não diferencia letras maiúsculas e minúsculas, resultando em acessos não autorizados. Apesar das atualizações lançadas pela Fortinet e recomendações para desativar a diferenciação de letras, os ataques continuam a ser uma preocupação constante. Em abril de 2021, autoridades alertaram sobre o uso do FortiOS para atacar governos, destacando a gravidade da situação. A exploração contínua dessa falha representa um risco significativo para empresas que utilizam as soluções da Fortinet, especialmente em um cenário onde vulnerabilidades de dia zero são comuns.

A Autenticação de Dois Fatores (2FA) é uma medida de segurança essencial na era digital, que vai além do uso de senhas estáticas. Com o aumento dos vazamentos de dados, como os 300 milhões de registros pessoais que vazaram na dark web em 2025, a 2FA se torna crucial para proteger informações pessoais. O método combina dois fatores de verificação: algo que o usuário sabe (como uma senha) e algo que ele possui (como um smartphone ou token). Existem diferentes tipos de 2FA, desde o menos seguro, que utiliza SMS, até chaves de segurança física, que oferecem a maior proteção. A 2FA é fundamental para prevenir ataques como o credential stuffing e phishing, pois mesmo que a senha seja comprometida, o acesso à conta ainda requer o segundo fator de autenticação. Com a crescente sofisticação dos cibercriminosos, adotar a 2FA é uma estratégia eficaz para reforçar a segurança online.

A Fortinet alertou sobre a exploração ativa de uma vulnerabilidade de cinco anos, identificada como CVE-2020-12812, que afeta o FortiOS SSL VPN. Essa falha de autenticação inadequada permite que usuários loguem sem serem solicitados a fornecer um segundo fator de autenticação, caso a combinação de letras do nome de usuário seja alterada. O problema ocorre quando a autenticação de dois fatores (2FA) está habilitada em configurações específicas, como quando o método de autenticação é remoto (por exemplo, LDAP). A vulnerabilidade foi identificada como uma falha de correspondência sensível a maiúsculas e minúsculas entre autenticações locais e remotas. A Fortinet recomenda que as organizações atualizem para as versões mais recentes do FortiOS e desativem a sensibilidade a maiúsculas nos nomes de usuário para mitigar o risco. A falha já foi explorada por diversos agentes de ameaça, e o governo dos EUA a incluiu em sua lista de vulnerabilidades críticas em 2021. As empresas que utilizam o FortiOS devem agir rapidamente para evitar que usuários administrativos ou de VPN sejam autenticados sem 2FA.

Em 2025, as pequenas e médias empresas (PMEs) se tornaram o principal alvo de cibercriminosos, representando 70,5% das violações de dados registradas. Este fenômeno se deve ao aumento dos investimentos em cibersegurança por grandes empresas, que estão menos propensas a pagar resgates, levando os hackers a direcionar suas atenções para negócios menores, que possuem menos recursos para se proteger. Dados de empresas como Tracelo, PhoneMondo e SkilloVilla, que sofreram vazamentos significativos, revelam que informações pessoais, como nomes, endereços e senhas, estão sendo vendidas na dark web. Para mitigar esses riscos, as PMEs devem implementar autenticação de dois fatores, controlar rigorosamente o acesso às informações e armazenar dados sensíveis de forma segura. A adoção de gerenciadores de senhas pode ser uma solução eficaz para proteger credenciais e evitar ataques de phishing. À medida que os hackers continuam a explorar vulnerabilidades em PMEs, é crucial que essas empresas adotem medidas proativas para proteger seus dados e redes.

Uma nova campanha de phishing tem como alvo usuários do Microsoft 365, com a identificação de um grupo de hackers possivelmente vinculado à Rússia. Desde setembro de 2025, esses ataques têm como foco organizações governamentais e militares dos Estados Unidos e Europa, visando entidades públicas, centros de pesquisa e instituições de ensino superior. Os criminosos estabelecem um contato inicial legítimo com as vítimas, agendando reuniões fictícias. Após esse contato, um link é enviado, supostamente para um documento no Microsoft OneDrive, mas que na verdade redireciona para uma página falsa que imita a conta do usuário. Ao copiar um código e clicar em “Avançar”, a vítima é levada a uma URL legítima de login, onde os hackers conseguem capturar as credenciais. A escolha dos alvos, que inclui setores críticos como energia e pesquisa, levanta preocupações sobre a segurança de informações sensíveis e a possibilidade de acesso a dados sigilosos.

Um grupo suspeito de estar alinhado à Rússia está sendo responsabilizado por uma campanha de phishing que utiliza fluxos de autenticação por código de dispositivo para roubar credenciais do Microsoft 365 e realizar ataques de tomada de conta. A atividade, que começou em setembro de 2025, é monitorada pela Proofpoint sob o nome UNK_AcademicFlare. Os ataques envolvem o uso de endereços de e-mail comprometidos de organizações governamentais e militares para atingir entidades em setores como governo, think tanks, educação superior e transporte nos EUA e na Europa. Os atacantes se apresentam como representantes de organizações legítimas e enviam links que supostamente levam a documentos relevantes, mas que na verdade redirecionam as vítimas para uma página de login da Microsoft. Ao inserir o código fornecido, os atacantes conseguem gerar um token de acesso e tomar controle da conta da vítima. A Proofpoint alerta que essa técnica de phishing foi documentada anteriormente e está sendo utilizada por diversos grupos, tanto estatais quanto motivados financeiramente, para obter acesso não autorizado a dados sensíveis. Para mitigar os riscos, recomenda-se a criação de políticas de Acesso Condicional que bloqueiem esse fluxo de autenticação para todos os usuários ou que permitam apenas para usuários aprovados.

Recentemente, foram divulgadas múltiplas vulnerabilidades de segurança na plataforma de troca de ramais privada de código aberto FreePBX, incluindo uma falha crítica que pode permitir a bypass de autenticação em configurações específicas. As vulnerabilidades, descobertas pela Horizon3.ai e reportadas em setembro de 2025, incluem: CVE-2025-61675 e CVE-2025-61678, ambas com pontuação CVSS de 8.6, que permitem injeções SQL autenticadas e upload de arquivos arbitrários, respectivamente. A CVE-2025-66039, com pontuação CVSS de 9.3, permite que atacantes contornem a autenticação ao configurar o ‘Authorization Type’ como ‘webserver’, possibilitando o acesso ao Painel de Controle do Administrador. Embora a configuração padrão do FreePBX não seja vulnerável, a ativação inadvertida dessa opção pode expor sistemas a ataques. As falhas foram corrigidas nas versões 16.0.92 e 17.0.6, lançadas em outubro de 2025, e 16.0.44 e 17.0.23, em dezembro de 2025. A recomendação é que os usuários evitem o uso do tipo de autenticação ‘webserver’ e realizem uma análise completa do sistema caso essa configuração tenha sido ativada.

A autenticação sem senha surge como uma alternativa viável às senhas tradicionais, que atualmente representam um desafio para os usuários, que precisam gerenciar em média 168 senhas. O uso de senhas tem se tornado cada vez menos seguro, com o fenômeno da ‘fadiga de senhas’ levando os usuários a reutilizarem credenciais fracas, tornando-os vulneráveis a ataques como phishing e credential stuffing. A autenticação sem senha utiliza métodos como biometria (impressão digital, reconhecimento facial) e chaves de segurança, proporcionando uma experiência de login mais fluida e segura.

A Microsoft anunciou que, a partir de outubro de 2026, implementará melhorias na segurança da autenticação do Entra ID, bloqueando ataques de injeção de scripts não autorizados. A atualização da Política de Segurança de Conteúdo (CSP) permitirá apenas a execução de scripts provenientes de domínios confiáveis da Microsoft durante o processo de login em ’login.microsoftonline.com’. Essa medida visa proteger os usuários contra ataques de Cross-Site Scripting (XSS), que possibilitam a injeção de códigos maliciosos em sites. A mudança se aplica exclusivamente a experiências de login baseadas em navegador e não afetará o Microsoft Entra External ID. A Microsoft recomenda que as organizações testem seus fluxos de autenticação antes da implementação para evitar problemas. Além disso, a empresa aconselha a não utilização de extensões de navegador que injetem códigos durante o login. Essa atualização faz parte da Iniciativa de Futuro Seguro da Microsoft, que busca priorizar a segurança no desenvolvimento de novos produtos, especialmente em resposta a um relatório que indicou a necessidade de uma reforma na cultura de segurança da empresa. Outras medidas de segurança já implementadas incluem a adoção de autenticação multifator resistente a phishing e a migração de serviços para ambientes mais seguros.

Pesquisadores da Universidade de Michigan e da CMU identificaram uma nova vulnerabilidade no sistema Android, especificamente em dispositivos da Google e Samsung, chamada Pixnapping. Essa falha permite que atacantes capturem informações exibidas na tela, incluindo códigos de autenticação de dois fatores (2FA), utilizando uma técnica de canal lateral que burla as proteções visuais do sistema. O ataque explora o SurfaceFlinger, um mecanismo de renderização de imagens, e foi testado em cinco modelos de aparelhos com versões do Android entre 13 e 16. Apesar de uma correção oficial (CVE-2025-48561) ter sido lançada, os especialistas conseguiram contornar o patch rapidamente. Para que o ataque ocorra, a vítima precisa instalar um aplicativo malicioso que utiliza a API de desfoque de janelas para espionar a atividade do usuário. A Google não planeja corrigir essa falha, que é considerada bloqueada por padrão, mas tanto a Google quanto a Samsung pretendem implementar medidas de mitigação até dezembro. Especialistas recomendam que os usuários mantenham seus dispositivos atualizados e evitem aplicativos de fontes não confiáveis.

Uma análise da empresa de cibersegurança NordPass revelou que a Geração Z, composta por indivíduos nascidos entre 1997 e 2012, está criando senhas menos seguras do que as gerações anteriores. A pesquisa identificou que a sequência ‘12345’ foi a mais utilizada por esses jovens, enquanto os Millennials e as gerações mais velhas, como Gen X e Boomers, optaram por senhas ligeiramente mais complexas, como ‘123456’. Apesar de campanhas de conscientização sobre cibersegurança, os hábitos de criação de senhas não melhoraram significativamente ao longo dos anos. O estudo também apontou que, embora a inclusão de caracteres especiais em senhas esteja se tornando mais comum, isso ainda não é suficiente para garantir a segurança digital necessária em um cenário de crimes cibernéticos cada vez mais sofisticados. Especialistas recomendam o uso de autenticação de dois fatores e gerenciadores de senhas como medidas eficazes para melhorar a segurança das contas online.

O malware Sneaky 2FA, associado ao modelo Phishing-as-a-Service (PhaaS), introduziu a funcionalidade Browser-in-the-Browser (BitB), facilitando ataques de phishing para roubo de credenciais de contas Microsoft. Essa técnica, documentada pelo pesquisador de segurança mr.d0x, utiliza HTML e CSS para criar janelas de navegador falsas que imitam páginas de login legítimas, enganando os usuários. O ataque começa com um URL suspeito que, após uma verificação de proteção contra bots, exibe um botão ‘Entrar com Microsoft’ para acessar um documento PDF. Ao clicar, o usuário é redirecionado para uma página de phishing que coleta informações de login. Além disso, os atacantes utilizam técnicas de carregamento condicional e obfuscação para evitar a detecção. A pesquisa também destaca a possibilidade de ataques que burlam métodos de autenticação resistentes a phishing, como os passkeys, por meio de extensões maliciosas que manipulam o processo de autenticação. Com a evolução contínua das técnicas de phishing, é crucial que usuários e organizações adotem medidas de segurança rigorosas, como políticas de acesso condicional, para mitigar o risco de sequestro de contas.

Pesquisadores de cibersegurança alertam sobre uma vulnerabilidade de bypass de autenticação no Fortinet FortiWeb WAF, que pode permitir que atacantes assumam contas de administrador e comprometam completamente o dispositivo. A equipe watchTowr identificou a exploração ativa dessa vulnerabilidade, que foi silenciosamente corrigida na versão 8.0.2 do produto. A falha permite que atacantes realizem ações como usuários privilegiados, com foco na adição de novas contas de administrador como um mecanismo de persistência. A empresa conseguiu reproduzir a vulnerabilidade e criou uma prova de conceito, além de disponibilizar uma ferramenta para identificar dispositivos vulneráveis. O vetor de ataque envolve o envio de um payload específico via requisição HTTP POST para criar contas de administrador. Até o momento, a identidade do ator por trás dos ataques é desconhecida, e a Fortinet ainda não publicou um aviso oficial ou atribuiu um identificador CVE. A Rapid7 recomenda que organizações que utilizam versões anteriores à 8.0.2 do FortiWeb tratem a vulnerabilidade com urgência, já que a exploração indiscriminada sugere que dispositivos não corrigidos podem já estar comprometidos.

Um novo relatório da NordPass revela que as regras de senhas em muitos dos sites mais visitados do mundo são inadequadas, permitindo que senhas curtas e previsíveis sejam usadas. A pesquisa analisou mil plataformas e constatou que 58% delas não exigem caracteres especiais, enquanto 42% não impõem um comprimento mínimo. Apenas 1% dos sites atendem aos padrões recomendados de segurança, que incluem combinações complexas de caracteres. Essa situação é preocupante, especialmente em setores críticos como governo e saúde, onde a proteção de dados sensíveis é essencial. A falta de rigor nas políticas de senha contribui para a normalização de hábitos inseguros entre os usuários, que, por sua vez, se tornam mais vulneráveis a ataques automatizados. A pesquisa destaca a necessidade de uma mudança cultural tanto entre os desenvolvedores de sites quanto entre os usuários, enfatizando que as plataformas devem implementar melhores práticas de segurança, como autenticação moderna e diretrizes claras para a criação de senhas. A situação atual não apenas expõe indivíduos, mas também empresas e governos a riscos significativos, especialmente em um cenário onde ataques cibernéticos estão se tornando mais rápidos e acessíveis.

Um estudo recente da Comparitech revelou que as senhas mais comuns em 2025 incluem ‘123456’, ‘admin’ e ‘password’, com mais de 2 bilhões de senhas reais analisadas. A pesquisa destacou que 25% das 1.000 senhas mais usadas consistem apenas em números, e 38,6% contêm a sequência ‘123’. Além disso, 65,8% das senhas analisadas têm menos de 12 caracteres, o que as torna vulneráveis a ataques de força bruta. A combinação de números e palavras fracas, como ‘admin’ e ‘qwerty’, contribui para a fraqueza das senhas. Especialistas recomendam senhas com pelo menos 12 caracteres, misturando letras maiúsculas, minúsculas, números e símbolos. A pesquisa também enfatiza a importância de senhas únicas e a ativação da autenticação de dois fatores para proteger contas, mesmo que a senha seja comprometida. A análise foi baseada em dados de vazamentos de credenciais em fóruns de dados, com informações coletadas de forma a garantir a confidencialidade dos usuários.

A plataforma de mídia social X está solicitando que os usuários que utilizam autenticação de dois fatores (2FA) com chaves de segurança, como Yubikeys, re-inscrevam suas chaves até 10 de novembro de 2025. Essa medida visa garantir o acesso contínuo ao serviço, uma vez que as chaves de segurança atualmente estão vinculadas ao domínio twitter.com, que será aposentado. Após a data limite, contas que não realizarem a re-inscrição ficarão bloqueadas até que o usuário re-inscreva a chave, escolha um método diferente de 2FA ou opte por não usar 2FA, embora a empresa recomende fortemente o uso dessa camada adicional de segurança. A mudança não afeta os usuários que utilizam outros métodos de 2FA, como aplicativos autenticadores. A plataforma também oferece 2FA via mensagens de texto, mas essa opção é restrita a assinantes não-Premium desde março de 2023. Para re-inscrever, os usuários devem seguir um processo específico nas configurações de segurança da conta, que inclui a exclusão de chaves existentes e a inserção de uma nova chave de segurança. Essa atualização é parte da estratégia da empresa para formalizar a transição do Twitter para X, após a aquisição por Elon Musk em 2022.

Uma nova investigação da equipe de pesquisa de ameaças da Sekoia.io trouxe à tona a função do campo UserAuthenticationMethod nos logs de auditoria do Microsoft 365. Este campo, que antes era uma incógnita, é na verdade um bitfield que representa diferentes métodos de autenticação, permitindo uma análise mais clara dos eventos de login na plataforma. A pesquisa revelou que valores numéricos como 16, 272 ou 33554432 correspondem a métodos específicos de autenticação, como ‘Senha na Nuvem’ e ‘Login sem Senha’. Essa descoberta é crucial para analistas de segurança, pois permite monitorar a adoção de métodos de autenticação mais seguros e identificar fraquezas nas práticas de login. A equipe da Sekoia conseguiu mapear esses métodos ao correlacionar logs do Microsoft 365 com logs de login do Microsoft Entra ID, decifrando a lógica binária por trás dos valores. A decodificação do bitfield não só fecha uma lacuna significativa na visibilidade para os respondentes a incidentes, mas também destaca a evolução contínua das tecnologias de autenticação da Microsoft, com bits ainda não mapeados indicando futuras inovações. Essa pesquisa é um chamado para que os defensores contribuam com novas descobertas, fortalecendo o entendimento coletivo sobre a telemetria de autenticação do Microsoft 365.

Pesquisadores de segurança identificaram vulnerabilidades críticas na infraestrutura de comunicação em nuvem do Microsoft Defender for Endpoint, que permitem a invasores contornar mecanismos de autenticação e manipular operações de resposta a incidentes. A análise das componentes do agente de detecção e resposta a endpoint (EDR), como MsSense.exe e SenseIR.exe, revelou falhas na validação de tokens de autenticação. Isso possibilita que atacantes interceptem comandos de segurança e até mesmo enviem dados falsificados para armazenamento em nuvem, comprometendo a integridade das investigações. Os atacantes podem explorar a falta de controle de autenticação para obter tokens válidos e executar ações maliciosas, como relatar estados de isolamento falsos ou carregar arquivos maliciosos disfarçados. Embora a Microsoft tenha classificado essas falhas como de baixa severidade, a falta de correções claras e a possibilidade de acesso não autorizado a dados de configuração de resposta a incidentes levantam preocupações significativas. Especialistas recomendam que equipes de segurança implementem medidas defensivas imediatas, como monitoramento de padrões de comando e validação de estados de isolamento, até que a Microsoft resolva as vulnerabilidades.

O GitHub anunciou mudanças significativas em suas opções de autenticação e publicação, em resposta a uma série de ataques à cadeia de suprimentos que afetaram o ecossistema npm, incluindo o ataque Shai-Hulud. As novas medidas visam mitigar ameaças como o abuso de tokens e malware auto-replicante. Entre as alterações, destaca-se a implementação de autenticação de dois fatores (2FA) obrigatória para publicações locais, a limitação da validade de tokens granulares a sete dias e a introdução de uma nova funcionalidade chamada ‘publicação confiável’. Esta última elimina a necessidade de tokens npm, utilizando credenciais específicas de fluxo de trabalho que são criptograficamente autenticadas, garantindo a origem e o ambiente de construção de cada pacote publicado. O ataque Shai-Hulud, que injetou um verme auto-replicante em centenas de pacotes npm, destacou a vulnerabilidade do sistema, ao permitir que segredos sensíveis fossem extraídos de máquinas de desenvolvedores. Além disso, um pacote malicioso chamado fezbox foi identificado, capaz de roubar senhas de navegadores através de uma técnica esteganográfica. Embora o pacote tenha sido removido, ele ilustra a necessidade crescente de ferramentas de verificação de dependências. Essas mudanças são cruciais para aumentar a confiança na cadeia de suprimentos de software e proteger os desenvolvedores contra novas ameaças.

O Salty2FA é um novo kit de phishing que tem se destacado por sua capacidade de contornar métodos de autenticação de dois fatores (2FA), colocando em risco diversas indústrias, especialmente nos setores financeiro, energético e de telecomunicações. Identificado em campanhas nos EUA e na Europa, o kit utiliza uma cadeia de execução em múltiplas etapas e infraestrutura evasiva para interceptar credenciais e códigos 2FA. A análise de um caso real revelou que um funcionário recebeu um e-mail disfarçado de solicitação de correção de pagamento, levando-o a uma página de login falsa da Microsoft. A partir daí, as credenciais foram roubadas e, se a conta tivesse 2FA, o kit poderia interceptar os códigos de verificação. Para mitigar os riscos associados ao Salty2FA, as equipes de segurança devem focar na detecção de comportamentos, realizar análises em sandbox e reforçar políticas de autenticação multifatorial, priorizando tokens de aplicativo ou hardware em vez de SMS. A adoção de sandboxes interativas, como o ANY.RUN, pode aumentar a eficiência das operações de segurança, permitindo investigações mais rápidas e precisas.

Recentemente, circularam rumores de que o Google havia enviado um alerta de segurança urgente a todos os usuários do Gmail. No entanto, a empresa confirmou que não houve tal notificação em massa. O Gmail utiliza uma estratégia de defesa em camadas, que inclui autenticação de remetente através de protocolos como SPF, DKIM e DMARC, além de análise de conteúdo para detectar anexos maliciosos e URLs embutidos. O sistema de detecção de anomalias, apoiado por modelos de aprendizado de máquina, analisa bilhões de sinais anônimos para identificar comportamentos incomuns. Essa abordagem impede que mais de 99,9% das ameaças de phishing e malware cheguem às caixas de entrada dos usuários. O Google também recomenda que os usuários adotem métodos de autenticação modernos, como Passkeys, que eliminam os riscos associados ao roubo de senhas. Além disso, o Gmail oferece avisos de phishing e incentiva os usuários a reportarem mensagens suspeitas, contribuindo para a melhoria contínua dos algoritmos de detecção. Para aumentar a segurança, o Google sugere que os usuários verifiquem cuidadosamente os endereços dos remetentes e mantenham seus dispositivos atualizados.

A Microsoft anunciou que, a partir de outubro de 2024, a autenticação multifator (MFA) será obrigatória para todos os acessos ao portal Azure, como parte de um esforço para aumentar a segurança das contas dos usuários. Pesquisas da empresa indicam que a implementação da MFA pode prevenir mais de 99,2% dos ataques de comprometimento de contas, tornando essa medida crucial para a proteção de recursos na nuvem. A primeira fase da implementação exigirá MFA para operações administrativas em portais como o Azure e o Microsoft 365, enquanto a segunda fase, prevista para outubro de 2025, incluirá ferramentas de linha de comando e APIs. Os usuários que já utilizam MFA ou métodos de login sem senha não notarão mudanças, mas aqueles que não configuraram a MFA serão solicitados a fazê-lo ao tentar acessar suas contas. A Microsoft recomenda que as organizações revisem suas políticas de acesso condicional e realizem testes antes da implementação para evitar interrupções. Essa mudança visa reduzir a superfície de ataque e proteger recursos críticos contra acessos não autorizados.

No dia 31 de agosto de 2025, pesquisadores de segurança revelaram a vulnerabilidade CVE-2025-29927, que afeta o framework Next.js. Essa falha permite que atacantes contornem a autenticação ao manipular o cabeçalho x-middleware-subrequest, possibilitando o acesso não autorizado a rotas protegidas. O problema ocorre devido ao tratamento inadequado desse cabeçalho nas middleware do Next.js, que é utilizado para diferenciar subrequisições internas de chamadas HTTP externas. Ao forjar esse cabeçalho, um invasor pode fazer com que o servidor trate uma solicitação externa como uma subrequisição, ignorando as verificações de autorização. A vulnerabilidade se manifesta de maneiras diferentes nas versões do Next.js, sendo mais crítica nas versões anteriores à 12.2, onde a exploração é mais direta. Para mitigar os riscos, recomenda-se a atualização para a versão 13.2.1 ou superior, que corrige a lógica de parsing do cabeçalho e implementa verificações de autorização explícitas. Organizações que utilizam o Next.js devem auditar suas implementações de middleware e aplicar patches imediatamente para proteger suas aplicações contra esse exploit de alto risco.

A Click Studios, responsável pelo Passwordstate, um gerenciador de senhas voltado para empresas, alertou os usuários sobre uma vulnerabilidade crítica de bypass de autenticação. A falha, identificada na versão 9.9 - Build 9972, permite que atacantes acessem a seção de administração do Passwordstate sem a devida autenticação, utilizando uma URL manipulada na página de Acesso Emergencial. A empresa recomenda que todos os clientes atualizem suas instâncias imediatamente para mitigar os riscos associados a essa vulnerabilidade. Embora o ID CVE da falha ainda esteja pendente, a exploração dessa vulnerabilidade pode ter um impacto severo, dependendo da facilidade de execução. Para aqueles que não conseguem aplicar o patch rapidamente, a Click Studios sugere uma solução temporária: restringir o acesso à página de Acesso Emergencial a endereços IP específicos. O Passwordstate é amplamente utilizado por mais de 370.000 usuários em 29.000 empresas, incluindo instituições governamentais e financeiras. Portanto, a atualização é crucial para garantir a segurança das informações armazenadas.

Pesquisadores da Rapid7 identificaram quatro vulnerabilidades críticas no Securden Unified PAM, uma solução de gerenciamento de acesso privilegiado amplamente utilizada. Três dessas falhas permitem o bypass completo de autenticação e execução remota de código, afetando as versões de 9.0.x a 11.3.1. A vulnerabilidade mais grave, CVE-2025-53118, permite que atacantes acessem múltiplos endpoints da API sem credenciais válidas, explorando a validação inadequada de cookies. Isso pode resultar em extração de credenciais e backups de banco de dados. Outras duas vulnerabilidades, CVE-2025-53119 e CVE-2025-53120, expõem o servidor a execução remota de código não autenticada, permitindo o upload de arquivos arbitrários e a sobrescrição de scripts em diretórios privilegiados. A quarta falha, CVE-2025-6737, revela fraquezas na isolação de inquilinos, aumentando o risco de exploração cruzada entre instâncias. A Securden lançou um patch na versão 11.4.4 para corrigir essas falhas, e as organizações são aconselhadas a atualizar imediatamente suas versões vulneráveis. Dada a função do Securden como um corretor de credenciais, essas vulnerabilidades representam um vetor de ataque de alto valor, permitindo que atacantes colham credenciais e imitem administradores.

Uma investigação de segurança revelou vulnerabilidades críticas em quatro sites internos da Intel, permitindo acesso não autorizado a informações detalhadas de mais de 270 mil funcionários globalmente. O pesquisador de segurança Eaton identificou técnicas de bypass de autenticação e credenciais hardcoded que possibilitaram acesso extensivo aos sistemas internos da Intel entre outubro de 2024 e fevereiro de 2025. As falhas de autenticação afetaram sistemas como o de pedidos de cartões de visita e o de gerenciamento de fornecedores, permitindo que atacantes manipulassem funções JavaScript para contornar proteções do Microsoft Azure Active Directory. O ataque mais significativo ocorreu no site de pedidos de cartões de visita da Intel na Índia, onde um endpoint de API não autenticado forneceu tokens de acesso sem verificação adequada, resultando na extração de um arquivo JSON de quase 1 GB com dados de funcionários, incluindo nomes, cargos e contatos. A resposta da Intel às divulgações de vulnerabilidades revelou desafios significativos em seu processo de segurança, com a empresa apenas reconhecendo automaticamente os relatórios enviados. Embora a Intel tenha expandido seu programa de recompensas por bugs, as questões de segurança em sites ainda não estão totalmente cobertas. Este incidente destaca a necessidade de revisões abrangentes de segurança em aplicações web internas, especialmente em grandes corporações de tecnologia.