Cibersegurança

Pesquisadores do FortiGuard Labs, da Fortinet, identificaram uma nova campanha de phishing que distribui ransomwares e o trojan de acesso remoto Amnesia RAT, com foco principal na Rússia. Os cibercriminosos utilizam técnicas de engenharia social, disfarçando seus ataques como documentos rotineiros. O que torna essa ameaça particularmente avançada é o uso de serviços de nuvem, como GitHub e Dropbox, para entregar diferentes payloads maliciosos, o que complica a detecção e mitigação. Além disso, os hackers exploram uma ferramenta legítima chamada defendnot para desabilitar o Microsoft Defender, o antivírus padrão do Windows. O ataque envolve o envio de arquivos comprimidos que contêm documentos falsos e um atalho malicioso, que, ao ser executado, baixa o malware via PowerShell. O Amnesia RAT é capaz de roubar informações sensíveis, como dados de navegadores e carteiras de criptomoeda, enquanto o ransomware Hakuna Matata criptografa arquivos e exige resgate. Os pesquisadores alertam que essa campanha demonstra uma nova abordagem, onde os malwares não exploram vulnerabilidades de software, mas abusam de características nativas do Windows, o que torna a defesa ainda mais desafiadora.

A gangue de ransomware ShinyHunters reivindicou a responsabilidade por uma série de ataques de vishing que exploram contas de login único (SSO) em serviços como Google, Microsoft e Okta. Os cibercriminosos utilizam técnicas de engenharia social, se passando por suporte de TI para enganar funcionários e obter credenciais e códigos de autenticação de dois fatores. Uma vez dentro das contas, eles aproveitam o acesso SSO para invadir sistemas corporativos, comprometendo dados sensíveis. Os ataques são facilitados por kits de phishing que imitam sites legítimos em tempo real, adaptando-se às respostas das vítimas durante as chamadas. Embora a Google e a Microsoft tenham negado que seus produtos tenham sido afetados, os hackers afirmam ter utilizado dados de invasões anteriores para contatar funcionários. O uso de SSO, que conecta diversos aplicativos em um único login, aumenta o risco de compromissos em larga escala, especialmente em empresas que utilizam plataformas como Salesforce, Slack e Google Workspace. Este incidente destaca a necessidade urgente de fortalecer a segurança em torno de autenticações e credenciais corporativas.

O grupo de ransomware Rhysida reivindicou a responsabilidade por uma violação de dados ocorrida em novembro de 2025 na Cytek Biosciences, uma fabricante de produtos médicos localizada em Fremont, Califórnia. A violação afetou 331 pessoas, comprometendo informações pessoais sensíveis, incluindo números de Seguro Social, dados de saúde, informações financeiras, e credenciais de contas de funcionários. A Cytek não confirmou se pagou um resgate, e detalhes sobre como a rede foi invadida ainda não foram divulgados. Rhysida, que opera como um serviço de ransomware, já realizou 258 ataques desde sua fundação em 2023, com um histórico de demandas de resgate que podem ultrapassar US$ 3 milhões. Em 2025, ataques a empresas de saúde nos EUA resultaram no comprometimento de mais de 5,86 milhões de registros. A Cytek está oferecendo 24 meses de proteção contra roubo de identidade para as vítimas afetadas. Este incidente destaca a crescente ameaça de ransomware no setor de saúde, que pode comprometer a segurança e a privacidade dos pacientes.

A Comissão Europeia anunciou a abertura de um processo formal sob a Lei de Serviços Digitais (DSA) para investigar se a plataforma X avaliou adequadamente os riscos antes de implementar sua ferramenta de inteligência artificial, Grok. A preocupação surge após relatos de que a ferramenta foi utilizada para gerar imagens sexualmente explícitas manipuladas, incluindo conteúdos que podem ser classificados como material de abuso sexual infantil. A comissária de tecnologia da UE, Henna Virkkunen, destacou que os deepfakes sexuais são uma forma inaceitável de degradação. Além disso, as autoridades do Reino Unido também estão investigando a plataforma, após o uso do chatbot Grok para criar imagens de usuários nus e material de abuso sexual infantil. Em resposta às preocupações, a X anunciou que restringiria as capacidades de geração e edição de imagens do Grok apenas para assinantes pagos, uma decisão criticada por autoridades britânicas como desrespeitosa às vítimas de violência sexual. Como uma plataforma online de grande porte, a X deve mitigar riscos sistêmicos conforme definido pela DSA, incluindo a disseminação de conteúdo ilegal. A Comissão Europeia já multou a X em €120 milhões por violações anteriores de obrigações de transparência sob a DSA.

A Cloudflare divulgou detalhes sobre um vazamento de rota do Protocolo de Gateway de Fronteira (BGP) que ocorreu em 22 de janeiro, afetando o tráfego IPv6. O incidente, que durou 25 minutos, resultou em congestionamento, perda de pacotes e cerca de 12 Gbps de tráfego descartado. O vazamento foi causado por uma configuração de política acidental em um roteador, que permitiu a redistribuição inadequada de rotas entre redes autônomas. Segundo a Cloudflare, o problema ocorreu quando rotas de pares foram redistribuídas em Miami, violando as regras de roteamento ‘valley-free’. Isso resultou em tráfego sendo enviado por caminhos não intencionais, causando congestionamento e, em alguns casos, descarte total do tráfego. Embora o incidente tenha sido rapidamente mitigado, a empresa reconheceu que eventos semelhantes ocorreram anteriormente e listou medidas para evitar recorrências, incluindo a implementação de salvaguardas mais rigorosas e validações de políticas. O incidente destaca a importância da configuração correta de políticas BGP, não apenas para a confiabilidade, mas também para a segurança da rede.

Uma nova campanha de cibersegurança combina o método ClickFix com um CAPTCHA falso e um script assinado do Microsoft Application Virtualization (App-V) para entregar o malware infostealer Amatera. O script do App-V atua como um binário de ’living-off-the-land’, disfarçando a atividade maliciosa ao usar um componente confiável da Microsoft. A campanha inicia-se com um CAPTCHA que solicita que a vítima cole e execute um comando no Windows Run. Esse comando abusa do script legítimo SyncAppvPublishingServer.vbs, que normalmente é utilizado para gerenciar aplicações virtualizadas. O malware, uma versão em desenvolvimento do ACR infostealer, coleta dados de navegadores e credenciais. Durante a execução, ele verifica se está sendo analisado em um ambiente seguro, utilizando técnicas como espera infinita para evitar detecções. O ataque também utiliza esteganografia para ocultar cargas úteis em imagens PNG, que são extraídas e executadas em memória. Para se proteger contra esses ataques, recomenda-se restringir o acesso ao Windows Run, remover componentes do App-V desnecessários e monitorar conexões de saída. A Amatera é classificada como um malware como serviço (MaaS), tornando-se uma ameaça crescente no cenário de segurança cibernética.

Pesquisadores de cibersegurança descobriram duas extensões maliciosas do Microsoft Visual Studio Code (VS Code) que se apresentam como assistentes de codificação baseados em inteligência artificial, mas que possuem funcionalidades ocultas para roubar dados de desenvolvedores e enviá-los a servidores na China. As extensões, que somam 1,5 milhão de instalações, são ‘ChatGPT - 中文版’ e ‘ChatGPT - ChatMoss（CodeMoss）’. Ambas capturam arquivos abertos e modificações de código, enviando essas informações sem o consentimento dos usuários. O código malicioso é projetado para ler o conteúdo de cada arquivo aberto, codificá-lo em formato Base64 e transmiti-lo para um servidor específico. Além disso, as extensões incluem um recurso de monitoramento em tempo real que pode ser ativado remotamente, permitindo a exfiltração de até 50 arquivos de uma vez. A descoberta foi feita pela Koi Security, que também identificou vulnerabilidades em gerenciadores de pacotes JavaScript que podem ser exploradas para contornar controles de segurança. A situação é alarmante, pois as extensões funcionam como prometido, o que reduz a desconfiança dos usuários. A Microsoft e GitHub foram alertadas sobre as falhas e a necessidade de ações corretivas para proteger a cadeia de suprimentos de software.

Pesquisadores de cibersegurança identificaram uma campanha em andamento que visa usuários indianos, utilizando um backdoor em múltiplas etapas como parte de uma suspeita de espionagem cibernética. Segundo a eSentire Threat Response Unit (TRU), os atacantes estão enviando e-mails de phishing que se disfarçam como notificações do Departamento de Imposto de Renda da Índia, induzindo as vítimas a baixar um arquivo ZIP malicioso. Este arquivo contém um executável que, ao ser executado, instala um trojan bancário conhecido como Blackmoon e uma ferramenta legítima chamada SyncFuture TSM, que foi reconfigurada para fins de espionagem.

Pesquisadores de segurança das equipes Carbon Black e Symantec relataram detalhes sobre o novo ransomware Osiris, que vem afetando países da Ásia desde novembro de 2025. Este ransomware, que é vendido como ransomware-as-a-service, utiliza um driver malicioso chamado POORTRY, projetado para desativar aplicativos de segurança nas máquinas das vítimas. Diferente de variantes anteriores, o Osiris não possui relação com o ransomware Locky, que surgiu em 2016. Os ataques são classificados como ’living-off-the-land’, extraindo dados através de buckets Wasabi e utilizando ferramentas como Mimikatz, Netscan, Netexec, MeshAgent e Rustdesk. O uso do driver POORTRY é um diferencial, pois ele é especificamente desenhado para elevar privilégios e fechar ferramentas de segurança, em vez de simplesmente entregar programas vulneráveis. No Brasil, o grupo Makop também tem realizado atividades semelhantes, visando sistemas remotos e utilizando drivers maliciosos. Para se proteger, especialistas recomendam monitorar ferramentas de uso duplo, restringir acessos a sistemas remotos, reforçar a autenticação em duas etapas e proibir aplicativos suspeitos.

Pesquisadores da Okta alertam sobre a crescente sofisticação dos kits de vishing, uma variante de phishing que utiliza chamadas de voz para enganar as vítimas. Esses kits são capazes de criar sites falsos personalizados que imitam serviços populares, como Google e Microsoft, e coletar credenciais de login e códigos de autenticação em tempo real. O processo começa com o perfilamento da vítima, seguido pela construção de um site de phishing que é apresentado durante uma ligação feita por um número falsificado ou roubado. Os golpistas orientam a vítima a inserir suas informações, que são imediatamente utilizadas para tentar acessar as contas reais. A capacidade de atualizar o site em tempo real para capturar códigos de autenticação de dois fatores torna esse ataque particularmente perigoso. Para se proteger, a Okta recomenda o uso de autenticação avançada e chaves de acesso, além de medidas anti-phishing. Essa evolução no vishing representa um risco significativo para usuários e empresas, especialmente em um cenário onde a segurança digital é cada vez mais crítica.

Hackers do grupo Konni, da Coreia do Norte, estão utilizando ferramentas de inteligência artificial para criar e espalhar um malware em PowerShell, visando roubar informações de equipes de engenharia de blockchain. A campanha de spear-phishing, iniciada em janeiro de 2026, tem se concentrado em países como Japão, Austrália e Índia. Os ataques se disfarçam como alertas financeiros, levando as vítimas a baixar arquivos ZIP que contêm um atalho do Windows disfarçado de documento PDF. Esse atalho executa um script AutoIt que instala o trojan EndRAT, que, por sua vez, ativa um loader do PowerShell para extrair documentos do Microsoft Word, distraindo a vítima enquanto um backdoor é instalado. Este backdoor permite que os hackers elevem seus privilégios no sistema e se comuniquem com um servidor C2 criptografado, enviando metadados do usuário. O uso de IA para gerar o malware indica uma evolução nas técnicas de ataque, permitindo uma automação maior e uma padronização do código malicioso, o que pode aumentar a eficácia dos ataques.

Pesquisadores da Palo Alto Networks, através da unidade Unit 42, alertam que hackers estão utilizando Inteligência Artificial Generativa (GenAI) para desenvolver ataques de phishing mais sofisticados e personalizados. A técnica envolve a criação de páginas de phishing dinâmicas que se adaptam ao usuário, utilizando APIs de Modelos de Linguagem de Grande Escala (LLMs) para gerar códigos JavaScript únicos em tempo real. Isso dificulta a detecção por métodos tradicionais, pois o código malicioso não é entregue de forma estática, mas sim gerado na hora, tornando a análise prévia quase impossível. Embora ainda seja uma prova de conceito, a pesquisa indica que os fundamentos para esses ataques já estão sendo explorados, com um aumento no uso de malware e ransomware assistidos por LLMs. Os especialistas recomendam que as empresas restrinjam o uso de serviços LLM não autorizados e implementem medidas de segurança mais robustas para prevenir esses novos tipos de ataques.

A Shadowserver, entidade de monitoramento de segurança na internet, identificou quase 800 mil endereços IP com impressões digitais de Telnet, em meio a ataques que exploram uma vulnerabilidade crítica de bypass de autenticação no servidor telnetd do GNU InetUtils. Essa falha de segurança, identificada como CVE-2026-24061, afeta versões do GNU InetUtils de 1.9.3 a 2.7, sendo corrigida na versão 2.8, lançada em 20 de janeiro. A vulnerabilidade permite que um cliente malicioso se conecte ao servidor telnetd e se logue como root, ignorando os processos normais de autenticação, ao enviar um valor específico na variável de ambiente USER. A atividade maliciosa começou logo após a divulgação da vulnerabilidade, com tentativas de exploração detectadas em 21 de janeiro, utilizando 18 endereços IP em 60 sessões Telnet. Embora a maioria dos ataques pareça automatizada, alguns foram realizados por operadores humanos. Administradores de sistemas são aconselhados a desativar o serviço telnetd vulnerável ou bloquear a porta TCP 23 em seus firewalls, caso não consigam atualizar imediatamente seus dispositivos.

O cenário da cibersegurança está passando por uma transformação significativa devido ao uso crescente de inteligência artificial (IA) por atacantes. Um relatório do Google Threat Intelligence Group destaca como adversários estão utilizando Modelos de Linguagem Grande (LLMs) para ocultar códigos e gerar scripts maliciosos em tempo real, dificultando a detecção por defesas convencionais. Em novembro de 2025, a Anthropic revelou a primeira campanha de espionagem cibernética orquestrada por IA, onde o ataque foi realizado de forma quase autônoma. Além disso, técnicas de esteganografia estão sendo empregadas para esconder malware em arquivos de imagem, enganando usuários e permitindo a instalação de trojans de acesso remoto (RATs) e outros malwares.

O artigo destaca a crescente vulnerabilidade em sistemas de segurança, evidenciada por falhas em ferramentas amplamente utilizadas. Um exemplo crítico é a exploração de uma vulnerabilidade de autenticação em firewalls da Fortinet, que, mesmo após atualizações, ainda apresenta riscos. A empresa confirmou que a falha, relacionada aos CVEs 2025-59718 e 2025-59719, permite que atacantes contornem a autenticação SSO, mesmo em dispositivos atualizados. Além disso, o surgimento de malware como o VoidLink, gerado quase inteiramente por inteligência artificial, representa uma nova era na criação de software malicioso, complicando a atribuição de ataques. Outro ponto alarmante é a vulnerabilidade crítica no daemon telnetd do GNU InetUtils, que permite acesso não autorizado a sistemas, afetando versões desde 1.9.3 até 2.7. O uso de técnicas de vishing e campanhas de malvertising também são destacados, mostrando que os atacantes estão se adaptando rapidamente. O cenário atual exige atenção redobrada das empresas, especialmente em relação à proteção de dados e conformidade com a LGPD.

O grupo de ameaças cibernéticas norte-coreano conhecido como Konni tem sido observado utilizando malware PowerShell gerado por ferramentas de inteligência artificial (IA) para atacar desenvolvedores e equipes de engenharia no setor de blockchain. A campanha de phishing, que se expandiu para além da Coreia do Sul, agora mira países como Japão, Austrália e Índia. Konni, ativo desde 2014, é conhecido por suas táticas de engenharia social, como o uso de e-mails de spear-phishing que disfarçam links maliciosos como URLs de publicidade legítimas. Recentemente, a campanha denominada Operação Poseidon tem se concentrado em imitar organizações de direitos humanos e instituições financeiras sul-coreanas. Os ataques utilizam sites WordPress mal configurados para distribuir malware e infraestrutura de comando e controle. O malware, chamado EndRAT, é entregue através de arquivos ZIP que contêm atalhos do Windows projetados para executar scripts maliciosos. A análise sugere que a estrutura modular do backdoor PowerShell pode ter sido criada com a ajuda de ferramentas de IA, indicando uma evolução nas táticas do grupo, que agora busca comprometer ambientes de desenvolvimento para acesso mais amplo a projetos e serviços.

A OpenAI está implementando uma atualização significativa para o recurso de chat temporário do ChatGPT, que permitirá aos usuários manter a personalização durante as conversas temporárias, enquanto ainda bloqueia a influência desse chat na conta principal. O chat temporário é uma funcionalidade que inicia uma conversa sem histórico, não utilizando memórias ou conversas anteriores, mesmo com a memória ativada. Com a nova atualização, o chat temporário poderá acessar preferências de personalização, como estilo e tom, mas essa função pode ser desativada a qualquer momento. Além disso, a OpenAI poderá manter uma cópia do chat por até 30 dias por motivos de segurança. Recentemente, a empresa também introduziu um modelo de previsão de idade, que pode restringir contas de usuários adultos que são erroneamente identificados como adolescentes, limitando suas interações em tópicos sensíveis. Embora as contas restritas ainda possam aprender e criar, elas não poderão discutir certos assuntos. A OpenAI alerta que seu modelo de IA não é infalível e pode levar a erros de classificação. Essas mudanças visam melhorar a experiência do usuário, mas também levantam questões sobre privacidade e segurança de dados.

O gerenciador de senhas 1Password implementou uma nova funcionalidade para proteger seus usuários contra URLs de phishing, alertando-os sobre possíveis páginas maliciosas. Essa ferramenta, amplamente utilizada em ambientes corporativos, não preenche automaticamente os dados de login em sites cujos URLs não correspondem aos armazenados no cofre do usuário. Apesar dessa proteção, a empresa reconhece que muitos usuários podem não perceber erros sutis, como domínios com grafias incorretas, e ainda assim inserir suas credenciais. Para mitigar esse risco, o 1Password agora exibe um pop-up que alerta os usuários sobre possíveis tentativas de phishing, incentivando-os a verificar cuidadosamente o URL antes de prosseguir. Essa funcionalidade será ativada automaticamente para usuários individuais e de planos familiares, enquanto administradores poderão habilitá-la manualmente para funcionários de empresas. A pesquisa realizada pela 1Password revelou que 61% dos entrevistados já foram vítimas de phishing, e 75% não verificam URLs antes de clicar em links. Diante do aumento das ameaças de phishing, especialmente com o uso de ferramentas de IA por atacantes, essa nova camada de proteção é crucial para a segurança dos usuários.

O artigo aborda os riscos associados aos metadados presentes em fotos e documentos digitais, que podem comprometer a privacidade dos usuários. Metadados são informações ocultas que acompanham arquivos, como data, hora, modelo da câmera e até coordenadas de GPS. Esses dados podem ser utilizados por pessoas mal-intencionadas para rastrear a localização de indivíduos, facilitando casos de stalking e engenharia social. Embora plataformas como Instagram e Facebook removam metadados durante a publicação, o compartilhamento de arquivos originais via e-mail ou serviços de armazenamento pode expor informações sensíveis. O texto também oferece orientações sobre como visualizar e remover metadados em diferentes sistemas operacionais, destacando a importância de gerenciar essas informações para proteger a privacidade. Apesar de serem úteis para organizar arquivos, os metadados podem se tornar uma ameaça se não forem tratados com cautela.

Durante períodos de férias, os golpistas aproveitam para aplicar o golpe da falsa agência de viagens, criando sites que imitam agências legítimas. Esses sites frequentemente apresentam ofertas irresistíveis, como pacotes de resorts a preços muito baixos, utilizando gatilhos mentais de urgência para forçar pagamentos rápidos. O usuário, atraído por essas ofertas, pode acabar fornecendo dados pessoais e financeiros, que são utilizados para fraudes. Para evitar cair nesse tipo de golpe, é essencial ter atenção redobrada. Descontos acima de 50% devem levantar suspeitas, assim como a exigência de pagamentos via Pix ou transferências para CPFs. Verificar a legitimidade da agência através de ferramentas como o Cadastur e consultar o CNPJ no Ministério do Turismo são passos fundamentais. Caso alguém caia no golpe, é recomendado registrar um boletim de ocorrência e tentar reaver o valor pago, embora a recuperação seja difícil devido à rapidez com que os golpistas movimentam o dinheiro. A melhor defesa é o ceticismo e a pesquisa minuciosa antes de qualquer compra.

A Microsoft está investigando relatos de que alguns dispositivos com Windows 11 estão apresentando falhas de inicialização com o erro ‘UNMOUNTABLE_BOOT_VOLUME’ após a instalação das atualizações de segurança de janeiro de 2026. O problema afeta a versão 25H2 e todas as edições da versão 24H2 do Windows 11, especificamente após a instalação da atualização cumulativa KB5074109. Os usuários afetados relatam que seus sistemas não conseguem iniciar e exibem uma tela preta com a mensagem de erro. A empresa confirmou que apenas dispositivos físicos estão sendo impactados, sem relatos de máquinas virtuais afetadas até o momento. A Microsoft está coletando feedback dos usuários através do aplicativo Feedback Hub e investiga se o problema está relacionado a uma atualização do Windows. Além disso, a empresa lançou atualizações de emergência para resolver um problema que causava travamentos no Microsoft Outlook ao lidar com arquivos PST armazenados em serviços de nuvem. A situação requer atenção, pois pode afetar a operação de empresas que utilizam amplamente o Windows 11 em seus ambientes de trabalho.

Ataques digitais sofisticados estão colocando em risco a segurança de aplicativos de mensagens como WhatsApp e Telegram, utilizados por milhões de brasileiros. Esses ataques, conhecidos como ‘zero clique’, não requerem que o usuário clique em links suspeitos ou interaja com arquivos, explorando vulnerabilidades invisíveis nos aplicativos. Segundo Paulo Trindade, especialista em inteligência de ameaças, os invasores utilizam falhas de software para instalar códigos maliciosos que comprometem o dispositivo de forma silenciosa, muitas vezes apenas com o recebimento de um conteúdo malicioso. A identificação desses ataques é complexa, pois os sinais de comprometimento são sutis, podendo se manifestar como lentidão momentânea no aparelho. Para mitigar os riscos, Trindade recomenda práticas preventivas, como evitar grupos desconhecidos e manter os aplicativos atualizados, uma vez que as atualizações corrigem brechas de segurança. O artigo destaca a importância de estar ciente dessas ameaças, especialmente em um cenário onde a comunicação digital é essencial para a vida cotidiana.

Um ciberataque direcionado à rede elétrica da Polônia, ocorrido entre 29 e 30 de dezembro de 2025, foi atribuído ao grupo de hackers Sandworm, supostamente patrocinado pelo Estado russo. Durante o ataque, o grupo tentou implantar um novo malware destrutivo chamado DynoWiper, que tem a capacidade de apagar dados de forma irreversível. O ataque visou duas usinas de cogeração e um sistema de gerenciamento de energia renovável, resultando em um impacto significativo na infraestrutura elétrica do país. O malware DynoWiper, identificado como Win32/KillFiles.NMO, apaga arquivos do sistema, tornando-o inutilizável. O primeiro-ministro polonês, Donald Tusk, afirmou que as evidências indicam que o ataque foi preparado por grupos ligados aos serviços russos. Embora detalhes técnicos sobre o DynoWiper sejam escassos, a ESET, empresa de segurança cibernética, está monitorando a situação. Este ataque é parte de uma série de ações do Sandworm, que anteriormente já havia realizado ataques semelhantes na Ucrânia, afetando setores críticos como energia e educação. A situação destaca a crescente ameaça de ciberataques a infraestruturas críticas na Europa, especialmente em um contexto geopolítico tenso.

A Microsoft lançou atualizações de emergência para Windows 10, Windows 11 e Windows Server, visando resolver um problema que impedia a abertura do Microsoft Outlook clássico ao usar arquivos PST armazenados em serviços de nuvem como OneDrive e Dropbox. Desde a liberação das atualizações de Patch Tuesday de janeiro de 2026, usuários do Outlook têm enfrentado congelamentos ao tentar abrir o aplicativo com arquivos PST na nuvem. Esses arquivos são utilizados para armazenar e-mails e dados localmente, sendo comuns em ambientes corporativos para acesso offline e backup de mensagens importantes. A Microsoft alertou que, após a instalação das atualizações de janeiro, alguns aplicativos podem se tornar não responsivos ao abrir ou salvar arquivos em armazenamento em nuvem. Para mitigar esses problemas, foram disponibilizadas atualizações específicas, como KB5078127 para Windows 11 e KB5078129 para Windows 10. Os usuários afetados podem instalar as atualizações via Windows Update ou pelo Catálogo de Download da Microsoft. Caso não sejam impactados, não há necessidade de instalação imediata. As atualizações também incluem correções para outros bugs relacionados ao Microsoft 365 Cloud PC e problemas de desligamento em PCs com Secure Launch habilitado.

O grupo de hackers norte-coreano Konni (também conhecido como Opal Sleet ou TA406) está utilizando malware PowerShell gerado por inteligência artificial para atacar desenvolvedores e engenheiros no setor de blockchain. Ativo desde 2014, o grupo é associado a atividades de APT37 e Kimsuky, e tem como alvo organizações na Coreia do Sul, Rússia, Ucrânia e diversos países da Europa. A mais recente campanha do grupo foca na região da Ásia-Pacífico, com amostras de malware enviadas de países como Japão, Austrália e Índia.

Uma nova campanha de phishing multifásica foi identificada, visando usuários na Rússia com ransomware e um trojan de acesso remoto chamado Amnesia RAT. O ataque começa com documentos de aparência rotineira que utilizam engenharia social para enganar as vítimas. Esses documentos contêm scripts maliciosos que operam em segundo plano, enquanto distraem o usuário com tarefas falsas. A campanha se destaca pelo uso de serviços de nuvem públicos, como GitHub e Dropbox, para distribuir diferentes tipos de cargas úteis, dificultando a remoção. Além disso, um recurso chamado defendnot é utilizado para desativar o Microsoft Defender, permitindo que o malware opere sem ser detectado. O ataque utiliza arquivos de atalho maliciosos que, ao serem executados, baixam scripts adicionais que estabelecem um ponto de controle no sistema. O Amnesia RAT, uma das cargas finais, é capaz de roubar dados sensíveis e controlar remotamente o sistema, enquanto um ransomware derivado da família Hakuna Matata criptografa arquivos e altera endereços de carteiras de criptomoedas. A campanha evidencia como ataques modernos podem comprometer sistemas sem explorar vulnerabilidades de software, utilizando recursos nativos do Windows para desativar defesas e implantar ferramentas de vigilância e cargas destrutivas.

A luta da Rússia para estabelecer uma internet nacional e fechada se intensificou, com o órgão de censura Roskomnadzor bloqueando 1,3 milhão de páginas da web em um ano, um aumento de 59% em relação ao ano anterior. Em resposta, as redes privadas virtuais (VPNs) tornaram-se essenciais para os usuários que desejam acessar conteúdos bloqueados, mas agora também estão sob ataque, sendo a categoria de sites bloqueados que mais cresce. Especialistas afirmam que a maioria dos protocolos de VPN está bloqueada no país, restando apenas alguns que se disfarçam como outros protocolos de rede. A situação se agravou com a aprovação de um decreto que permite ao Roskomnadzor bloquear serviços diretamente, tornando-o um ‘super-regulador’. Embora alguns serviços de VPN ocidentais ainda funcionem, muitos enfrentam dificuldades significativas, com um recente bloqueio que resultou em uma queda de 90% no tráfego russo. Para 2026, espera-se que o bloqueio de VPNs se intensifique, com o governo alocando recursos significativos para tecnologias de bloqueio. A crescente repressão à internet na Rússia levanta preocupações sobre a liberdade digital e a privacidade, refletindo uma tendência que pode se espalhar para outras democracias ocidentais.

A Agência de Segurança Cibernética e Infraestrutura dos EUA (CISA) incluiu uma falha crítica no VMware vCenter Server, identificada como CVE-2024-37079, em seu catálogo de Vulnerabilidades Conhecidas e Exploradas (KEV). Com uma pontuação CVSS de 9.8, essa vulnerabilidade permite a execução remota de código por meio de um estouro de heap no protocolo DCE/RPC, possibilitando que um invasor com acesso à rede do vCenter envie pacotes de rede especialmente elaborados. A Broadcom, responsável pela correção da falha em junho de 2024, confirmou que a exploração da vulnerabilidade está ocorrendo ativamente. Pesquisadores da empresa de cibersegurança chinesa QiAnXin LegendSec descobriram essa e outras falhas relacionadas, que podem ser encadeadas para obter acesso não autorizado ao sistema ESXi. Embora ainda não se saiba a extensão dos ataques ou os grupos responsáveis, a Broadcom atualizou seu aviso para alertar sobre o abuso da vulnerabilidade. As agências do governo federal dos EUA devem atualizar para a versão mais recente até 13 de fevereiro de 2026 para garantir proteção adequada.

Os agentes de inteligência artificial (IA) estão transformando a forma como as empresas operam, aumentando a produtividade ao automatizar tarefas como agendamento de reuniões e acesso a dados. No entanto, essa rápida adoção levanta preocupações significativas de segurança, especialmente em relação à aprovação e responsabilidade pelo uso desses agentes. Diferente de usuários humanos ou contas de serviço tradicionais, os agentes de IA operam com autoridade delegada, permitindo-lhes agir em nome de múltiplos usuários sem supervisão contínua. Isso resulta em um fenômeno conhecido como ‘desvio de acesso’, onde os agentes acumulam permissões que podem exceder o que um usuário individual estaria autorizado a fazer. O artigo classifica os agentes de IA em três categorias: pessoais, de terceiros e organizacionais, sendo estes últimos os mais arriscados devido à falta de um proprietário claro e à possibilidade de ações não autorizadas. Para mitigar esses riscos, as organizações precisam redefinir a gestão de acesso, estabelecendo propriedade clara e mapeando como os usuários interagem com os agentes. A segurança dos agentes de IA deve ser tratada como uma prioridade, considerando seu potencial de criar caminhos de autorização que podem ser explorados maliciosamente.

O grupo de hackers de nação estatal russo, conhecido como Sandworm, foi responsabilizado por um dos maiores ataques cibernéticos direcionados ao sistema de energia da Polônia na última semana de dezembro de 2025. Embora o ataque tenha sido classificado como o mais forte em anos, o ministro da energia polonês, Milosz Motyka, afirmou que não houve sucesso na tentativa de desestabilização. O ataque, que ocorreu em 29 e 30 de dezembro, visou duas usinas de cogeração e um sistema de gerenciamento de energia renovável. A ESET, empresa de cibersegurança, identificou o uso de um malware destrutivo inédito, denominado DynoWiper, vinculado a atividades anteriores do Sandworm, especialmente após a invasão da Ucrânia pela Rússia em 2022. O primeiro-ministro polonês, Donald Tusk, indicou que as investigações apontam para a responsabilidade de grupos associados aos serviços russos, e o governo está implementando medidas de segurança adicionais, incluindo uma nova legislação de cibersegurança. Este ataque coincide com o décimo aniversário do ataque de Sandworm à rede elétrica da Ucrânia em 2015, que resultou em apagões significativos. O Sandworm tem um histórico de ataques cibernéticos disruptivos, especialmente contra a infraestrutura crítica da Ucrânia.

O grupo de extorsão ShinyHunters está por trás de uma série de ataques de vishing, visando contas de autenticação única (SSO) em plataformas como Okta, Microsoft e Google. Os atacantes se passam por suporte de TI e ligam para funcionários, induzindo-os a inserir suas credenciais e códigos de autenticação multifator (MFA) em sites de phishing que imitam portais de login corporativos. Uma vez que as contas SSO são comprometidas, os atacantes têm acesso a uma gama de aplicativos e serviços conectados, como Salesforce e Microsoft 365, facilitando o roubo de dados corporativos. A Okta confirmou a utilização de kits de phishing que permitem aos atacantes manipular o que a vítima vê em tempo real durante a ligação, guiando-os no processo de login e autenticação. O grupo ShinyHunters também afirmou que está utilizando dados de violações anteriores para identificar e contatar os funcionários, tornando os ataques mais convincentes. A situação é preocupante, pois as contas SSO comprometidas podem servir como portas de entrada para sistemas corporativos inteiros, aumentando o risco de extorsão e vazamento de dados.

A Microsoft anunciou a implementação de um novo recurso de segurança no Microsoft Teams, chamado “Brand Impersonation Protection” (Proteção contra Falsificação de Marca), que visa proteger os usuários contra fraudes em chamadas VoIP. A partir de fevereiro, a ferramenta começará a ser disponibilizada em um canal de distribuição selecionado. O objetivo principal é alertar os usuários sobre chamadas externas que possam utilizar engenharia social para roubar dados. O sistema realiza uma verificação das chamadas recebidas de contatos externos pela primeira vez, identificando possíveis fraudes antes mesmo que a ligação seja atendida. Caso o usuário aceite uma chamada sinalizada como suspeita, os avisos continuarão durante a conversa, caso os sinais de fraude persistam. A Microsoft destaca que essa medida é crucial para proteger informações confidenciais, especialmente em um ambiente corporativo onde o Teams é amplamente utilizado. A expectativa é que essa nova funcionalidade ajude a mitigar ataques de engenharia social, que podem resultar em prejuízos significativos para as empresas, especialmente em fraudes bancárias.

No final de 2025, a Under Armour, empresa de artigos esportivos, foi alvo de um ataque hacker que expôs dados de aproximadamente 72,2 milhões de contas de clientes. O incidente, supostamente liderado pela gangue de ransomware Everest, ocorreu em novembro e envolveu a tentativa de extorsão, onde os hackers exigiram um pagamento para não vazar os dados. Apesar das alegações da gangue, a Under Armour não confirmou nem desmentiu a invasão, mantendo-se em silêncio sobre o assunto. Os dados vazados incluem informações sensíveis como nomes, e-mails, datas de nascimento, gênero, localização e histórico de compras. A plataforma Have I Been Pwned? adicionou essas contas ao seu banco de dados, permitindo que usuários verifiquem se suas informações foram comprometidas. A situação é preocupante, pois 76% dos e-mails vazados já estavam presentes em brechas anteriores, o que pode aumentar o risco de ataques de phishing. Além disso, um processo judicial foi movido contra a empresa, sugerindo uma possível ação coletiva devido ao incidente.

O fundador do curl, Daniel Stenberg, anunciou que o projeto não participará mais do programa de recompensas por bugs da HackerOne, devido ao aumento de relatos de vulnerabilidades de baixa qualidade, muitos dos quais foram gerados por inteligência artificial. Essa decisão, que entra em vigor em 1º de fevereiro de 2026, foi motivada pela pressão sobre a pequena equipe do curl, que enfrentou um aumento significativo de relatos inválidos, afetando sua saúde mental. O curl, uma ferramenta de linha de comando amplamente utilizada para transferência de dados, tinha um programa de recompensas ativo desde 2019, mas a qualidade dos relatos se deteriorou, com Stenberg relatando que, em uma semana, foram recebidos sete relatos, todos sem identificação de vulnerabilidades reais. A partir de agora, os relatos serão aceitos apenas através do GitHub, e aqueles que enviarem informações irrelevantes poderão ser banidos e expostos publicamente. Essa mudança reflete um desafio crescente na cibersegurança, onde a automação e a IA estão impactando a qualidade das informações recebidas por projetos de segurança.

A Microsoft emitiu um alerta sobre um erro de programação que causa o travamento do Outlook em dispositivos iOS, especialmente em iPads. O problema, identificado na versão 5.2602.0 do aplicativo, ocorre durante a inicialização do Outlook, resultando em um congelamento inesperado. A falha foi atribuída a uma atualização recente que, em vez de apenas atualizar as guias do aplicativo, reiniciava a plataforma, levando ao travamento. Para contornar a situação, a Microsoft recomenda que os usuários ativem o ‘Modo Avião’ antes de abrir o Outlook e, em seguida, reativem a conexão Wi-Fi ou de dados móveis. A empresa já desenvolveu uma correção, que deve estar disponível na App Store dentro de 24 horas a partir do dia 23 de janeiro de 2026, após o processo de revisão da Apple. Este incidente é considerado crítico, pois pode impactar significativamente a experiência do usuário e a produtividade de empresas que utilizam o Outlook como ferramenta de comunicação.

Uma campanha coordenada está explorando uma vulnerabilidade crítica no servidor telnetd do GNU InetUtils, que existe há 11 anos. A falha, identificada como CVE-2026-24061, permite que atacantes contornem a autenticação e obtenham acesso root ao sistema. O problema se origina do manuseio inadequado de variáveis de ambiente, especificamente a variável USER, que é passada sem sanitização para o comando de login. Essa vulnerabilidade afeta versões do GNU InetUtils de 1.9.3 a 2.7, sendo corrigida apenas na versão 2.8. Para sistemas que não podem ser atualizados, recomenda-se desativar o serviço telnetd ou bloquear a porta TCP 23. Embora o Telnet seja um protocolo legado e inseguro, ainda é utilizado em muitos sistemas industriais e dispositivos IoT. A atividade de exploração observada foi limitada, mas os sistemas afetados devem ser corrigidos ou reforçados para evitar possíveis ataques futuros.

Dois cidadãos venezuelanos, Luz Granados e Johan Gonzalez-Jimenez, foram condenados por um esquema de jackpotting que resultou no roubo de centenas de milhares de dólares de bancos nos Estados Unidos. Eles se declararam culpados de conspiração e crimes cibernéticos, utilizando laptops para instalar malware em caixas eletrônicos (ATMs) mais antigos, o que permitiu que os dispositivos dispensassem todo o dinheiro disponível. O golpe afetou instituições financeiras em estados como Carolina do Sul, Geórgia, Carolina do Norte e Virgínia. O Departamento de Justiça dos EUA informou que os criminosos abordavam os ATMs à noite, removendo a carcaça externa e conectando um computador para instalar o malware, que burlava os protocolos de segurança. Gonzalez-Jimenez foi sentenciado a 18 meses de prisão e deve pagar uma restituição de mais de 285 mil dólares, enquanto Granados aguarda deportação após cumprir pena. A investigação também levou a indiciamentos de 54 indivíduos em um esquema relacionado em Nebraska, incluindo uma líder de gangue venezuelana. O uso de variantes de malware, como o Ploutus, foi destacado, evidenciando a sofisticação dos ataques, que incluíam a remoção do disco rígido do ATM para instalação direta do malware.

Duas extensões maliciosas disponíveis no Marketplace do Visual Studio Code (VSCode) foram instaladas 1,5 milhão de vezes e estão exfiltrando dados de desenvolvedores para servidores localizados na China. Ambas as extensões, apresentadas como assistentes de codificação baseados em inteligência artificial, não informam os usuários sobre a coleta de dados nem solicitam consentimento. Pesquisadores da Koi Security identificaram a campanha ‘MaliciousCorgi’, que utiliza o mesmo código para roubar informações. As extensões, ‘ChatGPT – 中文版’ e ‘ChatMoss’, empregam três mecanismos distintos para coletar dados: monitoramento em tempo real de arquivos abertos, comandos de coleta de arquivos e carregamento de SDKs de análise comercial para rastrear o comportamento do usuário. O uso dessas extensões pode expor códigos-fonte privados, arquivos de configuração e credenciais de serviços em nuvem, representando um risco significativo para a segurança dos desenvolvedores. A Microsoft foi contatada sobre a presença dessas extensões, mas ainda não se manifestou. Este incidente destaca a necessidade de vigilância constante em relação a complementos de software, especialmente aqueles que prometem funcionalidades avançadas sem transparência.

O governo australiano está investigando a vulnerabilidade de ônibus elétricos fabricados pela Yutong Bus, uma empresa chinesa, que circulam no país. A falha identificada refere-se a um mecanismo de desligamento que pode ser acessado remotamente, levantando preocupações sobre a possibilidade de o governo chinês ou hackers maliciosos desativarem a frota em momentos críticos. Embora os pesquisadores tenham destacado que as vulnerabilidades encontradas não são incomuns em tecnologias integradas, a situação gera apreensão em relação à segurança nacional. Além disso, a Yutong já enfrentou polêmicas anteriormente, incluindo investigações sobre a origem de suas baterias. Em testes realizados na Noruega, foi confirmado que os ônibus possuem uma conexão remota, o que permite a desativação dos veículos pela fabricante. Os pesquisadores também identificaram falhas na atualização de software, embora não tenham encontrado evidências de que os mecanismos de desativação tenham sido projetados para fins maliciosos. O caso destaca a necessidade de monitoramento e avaliação contínua das tecnologias utilizadas no transporte público.

A Fortinet confirmou que uma falha crítica em seu firewall FortiGate não foi completamente corrigida, mesmo após uma atualização. A vulnerabilidade está relacionada a um problema na ferramenta de autenticação do FortiCloud, permitindo que hackers acessem indevidamente contas de administradores. Nos últimos dias, a empresa recebeu relatos de dispositivos comprometidos, mesmo aqueles que estavam atualizados para a versão mais recente do firmware. A Fortinet está ciente da situação e sua equipe de segurança está trabalhando em uma solução definitiva. Enquanto isso, recomenda que os usuários desativem o recurso FortiCloud SSO e implementem políticas de acesso local para limitar os endereços IP que podem acessar os administradores. A situação é preocupante, pois a falha foi explorada em ataques automatizados, onde criminosos criaram contas com acesso de VPN para roubar configurações. A empresa já emitiu orientações sobre como proceder caso os dispositivos estejam comprometidos, incluindo a restauração das configurações e a verificação de credenciais.

Recentemente, dispositivos Fortinet FortiGate têm sido alvo de ataques automatizados que exploram uma vulnerabilidade na funcionalidade de single sign-on (SSO), permitindo a criação de contas de administrador e o roubo de dados de configuração do firewall. Pesquisadores da Arctic Wolf identificaram que os hackers estão utilizando um script automatizado para abusar dessa falha, semelhante a uma campanha observada em dezembro de 2025, que explorou as vulnerabilidades CVE-2025-59718 e CVE-2025-59719. A Fortinet confirmou que o patch da versão FortiOS 7.4.10 não resolve completamente a vulnerabilidade, e novas versões (7.4.11, 7.6.6 e 8.0.0) estão previstas para lançamento em breve. Os dados roubados podem expor a topologia da rede, regras de segurança e configurações de VPN, permitindo que os atacantes identifiquem serviços vulneráveis e mantenham acesso à rede. Para mitigar riscos, recomenda-se desativar temporariamente a funcionalidade de login do FortiCloud até que os patches sejam aplicados.

Recentemente, a Fortinet confirmou que está trabalhando para corrigir uma vulnerabilidade crítica de bypass de autenticação no FortiCloud SSO, identificada como CVE-2025-59718. Apesar de um patch ter sido disponibilizado em dezembro, administradores relataram que seus firewalls totalmente atualizados estavam sendo comprometidos. A empresa Arctic Wolf informou que os ataques começaram em 15 de janeiro, com invasores criando contas com acesso VPN e roubando configurações de firewall em questão de segundos, sugerindo que os ataques são automatizados. Logs compartilhados por clientes da Fortinet indicam que os invasores criaram usuários administrativos após um login SSO. O CISO da Fortinet, Carl Windsor, alertou que o problema afeta todas as implementações SAML SSO, não apenas o FortiCloud. Enquanto a correção não é disponibilizada, a Fortinet recomenda que os clientes restrinjam o acesso administrativo e desativem o FortiCloud SSO. A CISA já incluiu a CVE-2025-59718 em sua lista de vulnerabilidades ativamente exploradas, exigindo que agências federais apliquem patches rapidamente. Atualmente, quase 11.000 dispositivos Fortinet estão expostos online com o FortiCloud SSO habilitado.

O concurso Pwn2Own Automotive 2026, realizado entre 21 e 23 de janeiro em Tóquio, Japão, resultou na exploração de 76 vulnerabilidades zero-day, gerando prêmios totais de $1.047.000 para os pesquisadores de segurança. O evento, que ocorreu durante a Automotive World, focou em tecnologias automotivas, incluindo sistemas de infotainment (IVI) e carregadores de veículos elétricos (EV). A equipe Fuzzware.io destacou-se, arrecadando $215.000, ao explorar falhas em estações de carregamento e sistemas de navegação. A competição permitiu que os fornecedores tivessem um prazo de 90 dias para corrigir as vulnerabilidades antes de sua divulgação pública. O evento anterior, Pwn2Own Automotive 2024, já havia visto hackers arrecadarem $1.323.750, evidenciando a crescente preocupação com a segurança em tecnologias automotivas. A exploração de zero-days em sistemas críticos, como o infotainment da Tesla, ressalta a necessidade urgente de medidas de segurança robustas na indústria automotiva.

A Microsoft confirmou que a versão 5.2602.0 do Outlook para iOS está apresentando falhas em dispositivos iPad, resultando em travamentos ou congelamentos ao ser iniciada. O problema é atribuído a um erro de codificação relacionado a uma atualização que deveria apenas atualizar as abas, mas acabou causando reinicializações indesejadas. Para contornar essa situação, a Microsoft recomenda que os usuários ativem o Modo Avião antes de abrir o aplicativo, permitindo que o Outlook funcione normalmente após a reativação da conexão Wi-Fi ou de dados móveis. A empresa já está trabalhando em uma correção, que deve ser disponibilizada na App Store em até 24 horas, após o processo de revisão da Apple. Embora a Microsoft não tenha divulgado o número exato de usuários afetados, o incidente foi classificado como crítico no centro de administração do Microsoft 365. Além disso, a Microsoft também está lidando com outros problemas relacionados ao Outlook, incluindo falhas após atualizações de segurança e dificuldades de acesso ao Exchange Online em alguns países. Essas questões ressaltam a importância de monitorar atualizações e falhas em serviços amplamente utilizados, especialmente em um cenário corporativo.

O uso de modelos de IA para auxiliar na escrita de código, conhecido como “vibe coding”, tem se tornado comum entre equipes de desenvolvimento, oferecendo economia de tempo, mas também introduzindo riscos de segurança. Um estudo de caso da Intruder ilustra como um código gerado por IA pode criar vulnerabilidades. Ao desenvolver um honeypot para coletar tentativas de exploração, a equipe utilizou IA para criar um protótipo. Após a implementação, logs mostraram que cabeçalhos de IP fornecidos pelo cliente estavam sendo tratados como IPs de visitantes, permitindo que atacantes injetassem cargas úteis. Essa falha, que poderia ter consequências graves, foi detectada apenas após uma revisão manual, evidenciando a limitação da análise estática de código. A experiência ressalta a necessidade de cautela ao confiar em código gerado por IA, especialmente por equipes sem formação em segurança. Com o aumento das ameaças cibernéticas, é crucial que as organizações revisitem seus processos de revisão de código e detecção de vulnerabilidades para evitar que problemas semelhantes passem despercebidos.

Pesquisadores de cibersegurança revelaram uma nova campanha de ataque que utiliza credenciais roubadas para implantar software legítimo de Monitoramento e Gerenciamento Remoto (RMM), permitindo acesso remoto persistente a sistemas comprometidos. Os atacantes, em vez de usar vírus personalizados, exploram ferramentas de TI confiáveis pelos administradores, transformando-as em portas dos fundos. A campanha ocorre em duas fases: inicialmente, e-mails falsos disfarçados de convites da plataforma Greenvelope são enviados para roubar credenciais de serviços como Microsoft Outlook e Yahoo!. Após obter essas informações, os atacantes registram-se no LogMeIn com o e-mail comprometido para gerar tokens de acesso RMM. Um executável chamado ‘GreenVelopeCard.exe’, assinado com um certificado válido, é então utilizado para instalar o LogMeIn Resolve, permitindo que os atacantes alterem configurações de serviço e criem tarefas agendadas ocultas para garantir acesso contínuo. Para mitigar essa ameaça, recomenda-se que as organizações monitorem instalações e padrões de uso não autorizados de RMM.

Na última sexta-feira, 23 de janeiro de 2026, o TikTok anunciou a formação de uma joint venture chamada TikTok USDS Joint Venture LLC, permitindo que a popular plataforma de compartilhamento de vídeos continue suas operações nos Estados Unidos. A criação da joint venture está em conformidade com uma ordem executiva assinada pelo ex-presidente Donald Trump em setembro de 2025, que exigia que a empresa chinesa ByteDance, proprietária do TikTok, vendesse a maior parte de sua participação para investidores majoritariamente americanos, mantendo apenas 19,9% do negócio.

A Fortinet confirmou que está lidando com uma vulnerabilidade de bypass na autenticação SSO do FortiCloud, após relatos de exploração em firewalls que estavam totalmente atualizados. O CISO da empresa, Carl Windsor, destacou que a exploração foi observada em dispositivos que já haviam recebido patches para as vulnerabilidades CVE-2025-59718 e CVE-2025-59719. Essas falhas permitem que atacantes não autenticados contornem a autenticação SSO por meio de mensagens SAML manipuladas, caso o recurso SSO do FortiCloud esteja habilitado. Recentemente, foram registrados logins maliciosos em dispositivos FortiGate, onde contas genéricas foram criadas para garantir acesso persistente e realizar alterações na configuração, incluindo acesso VPN. A Fortinet recomenda que os administradores restrinjam o acesso administrativo e desativem os logins SSO do FortiCloud como medidas de mitigação. A empresa também alertou que, embora a exploração observada tenha sido específica para o FortiCloud SSO, o problema pode afetar todas as implementações SAML SSO.

A Agência de Segurança Cibernética e Infraestrutura dos EUA (CISA) incluiu quatro novas vulnerabilidades em seu catálogo de Vulnerabilidades Conhecidas e Exploradas (KEV), destacando a exploração ativa dessas falhas. Entre elas, a CVE-2025-68645, com uma pontuação CVSS de 8.8, é uma vulnerabilidade de inclusão remota de arquivos no Synacor Zimbra Collaboration Suite, permitindo que atacantes remotos incluam arquivos arbitrários sem autenticação. Outra vulnerabilidade crítica é a CVE-2025-34026, com pontuação 9.2, que permite a bypass de autenticação na plataforma Versa Concerto SD-WAN, possibilitando acesso a endpoints administrativos. A CVE-2025-31125, com pontuação 5.3, refere-se a um controle de acesso inadequado no Vite Vitejs, enquanto a CVE-2025-54313, com pontuação 7.5, envolve um ataque à cadeia de suprimentos que comprometeu o eslint-config-prettier e outros pacotes npm, permitindo a execução de um DLL malicioso. A CISA exige que as agências federais apliquem correções até 12 de fevereiro de 2026 para proteger suas redes contra essas ameaças ativas.

A Microsoft alertou sobre uma campanha de phishing em múltiplas etapas, conhecida como adversário-no-meio (AitM), que está afetando organizações do setor de energia. Os atacantes utilizam serviços de compartilhamento de arquivos do SharePoint para entregar cargas maliciosas, criando regras de caixa de entrada para manter a persistência e evitar a detecção. O ataque começa com um e-mail de phishing, aparentemente enviado de uma organização confiável, que foi comprometida anteriormente. Os criminosos exploram essa confiança para enviar mensagens que imitam fluxos de trabalho de compartilhamento de documentos do SharePoint, induzindo os destinatários a clicarem em links maliciosos. Após a exploração inicial, os atacantes utilizam identidades internas confiáveis para realizar campanhas de phishing em larga escala, enviando mais de 600 e-mails para contatos da vítima, tanto internos quanto externos. A Microsoft enfatiza que a simples redefinição de senhas não é suficiente para mitigar a ameaça, sendo necessário revogar cookies de sessão ativos e remover regras de caixa de entrada criadas pelos atacantes. As organizações são aconselhadas a implementar controles de segurança robustos, como autenticação multifator resistente a phishing e políticas de acesso condicional.