Cibersegurança

O kit de exploração Coruna representa uma evolução do framework utilizado na campanha de espionagem Operation Triangulation, que em 2023 visou iPhones através de exploits zero-click no iMessage. Este novo software foi ampliado para atacar hardware moderno, incluindo os chips A17 e M3 da Apple, e sistemas operacionais até iOS 17.2. O Coruna contém cinco cadeias completas de exploits para iOS, aproveitando 23 vulnerabilidades, incluindo CVE-2023-32434 e CVE-2023-38606, que também foram utilizadas na Operation Triangulation. A análise da Kaspersky revelou que o Coruna é uma versão atualizada do exploit original, com melhorias que permitem a exploração de novas arquiteturas de processadores. Os ataques iniciam no Safari, onde um stager coleta informações do dispositivo e seleciona exploits adequados. A Kaspersky alerta que, além de espionagem, o Coruna tem sido usado em campanhas motivadas financeiramente, visando roubo de criptomoedas. A Apple já lançou atualizações de segurança para mitigar essas vulnerabilidades, mas a ameaça permanece significativa, especialmente com a disponibilidade pública de outros kits de exploração como o DarkSword.

Os ataques de fraude modernos se assemelham a uma corrida de revezamento, onde diferentes ferramentas e atores gerenciam cada etapa do processo, desde o cadastro até o saque. A cadeia de ataque típica começa com a automação, onde bots e scripts criam um grande número de contas com esforço humano mínimo, utilizando e-mails comprometidos e credenciais vazadas para parecerem usuários legítimos. Proxies residenciais mascaram o tráfego, fazendo-o parecer de usuários normais. Após a criação das contas, os atacantes mudam para sessões manuais, utilizando táticas como phishing e malware para realizar transações de alto valor. A análise de um único sinal, como IP ou e-mail, pode levar a falsos positivos, pois usuários legítimos podem compartilhar a mesma infraestrutura que os atacantes. Para uma defesa eficaz, é essencial correlacionar sinais de IP, identidade, dispositivo e comportamento em um modelo de risco unificado. Essa abordagem permite identificar padrões de abuso coordenado e reduzir a fricção para usuários genuínos. O artigo destaca a importância de um modelo de múltiplos sinais para melhorar a precisão na detecção de fraudes, essencial para empresas que buscam proteger suas operações e receitas.

O WhatsApp está implementando diversas funcionalidades para melhorar a experiência do usuário, incluindo respostas automáticas baseadas em IA e retouching de fotos. A empresa Meta anunciou que os usuários poderão editar imagens antes de compartilhá-las, utilizando a tecnologia de IA da Meta. Além disso, a nova funcionalidade de ‘Ajuda para Escrita’ permite que os usuários redijam mensagens com base na conversa ativa, garantindo a privacidade através do ‘Processamento Privado’, que assegura que nem a Meta nem o WhatsApp leiam as mensagens. Outra novidade é a possibilidade de usar duas contas simultaneamente no iOS, já disponível no Android, e a transferência de histórico de chats entre dispositivos iOS e Android. Essas atualizações visam facilitar a migração de dados e a gestão de conversas. A Meta também introduziu contas gerenciadas por pais para pré-adolescentes e novas proteções contra fraudes, especialmente após alertas de agências de inteligência sobre ataques de phishing. A empresa lançou ainda uma funcionalidade de segurança para proteger usuários em risco, como jornalistas e figuras públicas, contra ameaças sofisticadas, incluindo spyware.

Recentemente, contas do TikTok for Business estão sendo alvo de uma campanha de phishing que dificulta a análise por bots de segurança. Os atacantes visam essas contas devido ao seu potencial para fraudes publicitárias e distribuição de conteúdo malicioso. A empresa Push Security relaciona essa campanha a uma anterior que afetou contas do Google Ad Manager. Os criminosos utilizam páginas de phishing hospedadas no Cloudflare, registradas em um domínio frequentemente associado a atividades cibernéticas ilícitas. Os usuários são atraídos por links que redirecionam para páginas falsas que imitam o TikTok e o Google Careers, solicitando informações básicas para validar o uso de e-mails corporativos. Após essa validação, uma página de login falsa captura credenciais e cookies de sessão, permitindo que os atacantes acessem contas, mesmo com a autenticação de dois fatores (2FA) ativada. É crucial que os usuários estejam atentos a convites e ofertas de emprego suspeitas e verifiquem sempre os domínios antes de inserir credenciais. A campanha destaca a vulnerabilidade das contas de negócios e a necessidade de medidas de segurança robustas.

O Escritório de Relações Exteriores, Comunidade e Desenvolvimento do Reino Unido (FCDO) impôs sanções ao Xinbi, um mercado online em língua chinesa que comercializa dados roubados e equipamentos de internet via satélite, supostamente utilizado por redes de fraude no Sudeste Asiático. O Xinbi, que opera via Telegram, é acusado de ajudar atores de ameaças da Coreia do Norte a lavar criptomoedas obtidas em grandes roubos. Entre 2021 e 2025, o mercado processou mais de $19,9 bilhões, facilitando desde negociações não licenciadas até a venda de bancos de dados pessoais roubados. As sanções também atingem o #8 Park, um grande centro de fraudes em Camboja, e a Legend Innovation Co, operadora do local. O FCDO busca isolar o Xinbi do ecossistema legítimo de criptomoedas, dificultando suas operações financeiras. O governo britânico enfatiza que não tolerará abusos de direitos humanos associados a esses centros de fraude, que frequentemente coagem trabalhadores a participar de esquemas criminosos globais, como fraudes de investimento em criptomoedas. As sanções são parte de uma ação mais ampla contra redes criminosas que exploram pessoas vulneráveis, com o Reino Unido liderando esforços internacionais para combater o financiamento ilícito.

Recentemente, a Kaspersky revelou que o kit de exploração Coruna, que afeta dispositivos Apple com iOS entre as versões 13.0 e 17.2.1, utiliza uma versão atualizada de um exploit previamente empregado na campanha de ciberespionagem Operation Triangulation, de 2023. O Coruna, inicialmente identificado por Google e iVerify, contém cinco cadeias completas de exploits para iOS e um total de 23 exploits, incluindo os CVEs 2023-32434 e 2023-38606. Esses exploits foram projetados para atacar vulnerabilidades do sistema operacional móvel da Apple, com um foco crescente em dispositivos mais recentes, como os processadores A17 e M3. O kit foi utilizado em ataques de watering hole na Ucrânia e em campanhas de exploração em massa através de sites falsos de jogos e criptomoedas. A Kaspersky alerta que, embora o Coruna tenha sido desenvolvido para fins de ciberespionagem, agora está sendo utilizado por cibercriminosos, colocando milhões de usuários em risco. O uso de exploits modulares e a facilidade de reutilização indicam que outros atores maliciosos podem adotar essa ferramenta em seus ataques.

Nesta semana, o boletim de segurança destaca uma série de ameaças cibernéticas e inovações tecnológicas. A Google anunciou um cronograma acelerado para a migração para a criptografia pós-quântica (PQC), visando proteger dados contra futuros ataques de computadores quânticos. A atualização inclui a integração do algoritmo de assinatura digital ML-DSA no Android 17, aumentando a segurança durante o processo de inicialização. Além disso, o GitHub introduziu detecções de segurança impulsionadas por IA para identificar vulnerabilidades em códigos, melhorando a cobertura de segurança em diversas linguagens e frameworks.

Pesquisadores de cibersegurança identificaram uma vulnerabilidade crítica na extensão do Google Chrome do assistente Claude, da Anthropic, que poderia ser explorada para injetar comandos maliciosos apenas ao visitar uma página da web. A falha, chamada ShadowPrompt, resulta de uma lista de permissões excessivamente permissiva e uma vulnerabilidade de cross-site scripting (XSS) em um componente CAPTCHA da Arkose Labs. Essa combinação permite que um atacante injete código JavaScript que simula um comando legítimo do usuário, possibilitando o roubo de dados sensíveis, acesso ao histórico de conversas e até ações em nome da vítima, como o envio de e-mails. Após a divulgação responsável da vulnerabilidade em dezembro de 2025, a Anthropic lançou uma correção que restringe as permissões da extensão, enquanto a Arkose Labs também corrigiu a falha de XSS. A crescente complexidade e capacidade dos assistentes de IA os tornam alvos valiosos para ataques, destacando a importância de uma segurança robusta nas extensões de navegador.

As VPNs (Redes Privadas Virtuais) são ferramentas essenciais para proteger a privacidade online, mas é crucial entender quais dados elas coletam para operar. Embora uma VPN precise de algumas informações para funcionar, como logs de conexão, que incluem o endereço IP original e os horários de início e término das sessões, a coleta excessiva de dados pode comprometer a privacidade do usuário. VPNs que se autodenominam ‘sem registros’ prometem não armazenar informações sobre as atividades online, mas muitas ainda mantêm dados mínimos para garantir a operação do serviço. É importante diferenciar entre VPNs ‘sem registros’ e ‘zero registros’, sendo que as últimas não mantêm nenhum tipo de log, nem mesmo dados não identificáveis. A coleta de logs de atividade, que pode incluir sites visitados e consultas DNS, é a maior preocupação em termos de privacidade, pois pode permitir a reconstrução das atividades do usuário. Além disso, VPNs gratuitas frequentemente coletam dados de forma excessiva, vendendo informações para terceiros. Para escolher uma VPN confiável, os usuários devem priorizar provedores com práticas transparentes e um histórico sólido de proteção à privacidade.

Pesquisadores de cibersegurança descobriram um novo skimmer de pagamento que utiliza canais de dados WebRTC para receber cargas maliciosas e exfiltrar dados, contornando controles de segurança tradicionais. Em um ataque recente, um site de e-commerce de um fabricante de automóveis foi comprometido devido à vulnerabilidade PolyShell, que afeta o Magento Open Source e o Adobe Commerce. Essa falha permite que atacantes não autenticados carreguem executáveis arbitrários via API REST, resultando em execução de código. Desde 19 de março de 2026, a PolyShell tem sido amplamente explorada, com mais de 50 endereços IP envolvidos na atividade de varredura, afetando 56,7% das lojas vulneráveis. O skimmer estabelece uma conexão peer-to-peer WebRTC com um endereço IP específico e injeta código JavaScript na página da web para roubar informações de pagamento. A utilização de WebRTC representa uma evolução significativa nos ataques de skimmer, pois contorna as diretrizes de Política de Segurança de Conteúdo (CSP), dificultando a detecção do tráfego malicioso. A Adobe lançou uma correção para a vulnerabilidade, mas ainda não está disponível nas versões de produção. Os proprietários de sites são aconselhados a bloquear o acesso a diretórios específicos e a escanear suas lojas em busca de shells web e outros malwares.

O GMKtec NucBox K13 é um mini PC que suporta dual boot entre Windows 11 Pro e Ubuntu, permitindo que os usuários alternem entre os sistemas operacionais sem complicações de particionamento. Equipado com um processador Intel Core Ultra 7 256V, que alcança até 4.8GHz, e uma GPU Intel Arc 140V, o dispositivo promete desempenho adequado para tarefas de IA e desenvolvimento. O NucBox K13 também inclui o OpenClaw, uma ferramenta de IA que facilita a implementação de modelos de inteligência artificial localmente, reduzindo o tempo de configuração de horas para minutos. No entanto, a Microsoft alerta contra o uso do OpenClaw em dispositivos comuns devido a vulnerabilidades conhecidas, o que levanta preocupações sobre a segurança do sistema. O dispositivo é voltado para desenvolvedores e criadores de conteúdo, mas sua capacidade de manter desempenho sob carga intensa de IA ainda não foi testada. O preço do NucBox K13 é de aproximadamente $719.99, com disponibilidade global. Apesar de suas especificações promissoras, a gestão de calor e a performance sob uso contínuo são questões que precisam ser avaliadas.

Um novo malware de roubo de informações, chamado Torg Grabber, está comprometendo dados sensíveis de 850 extensões de navegador, sendo mais de 700 delas voltadas para carteiras de criptomoedas. O acesso inicial é realizado através da técnica ClickFix, que sequestra a área de transferência e engana o usuário para executar um comando PowerShell malicioso. Pesquisadores da Gen Digital relatam que o Torg Grabber está em desenvolvimento ativo, com 334 amostras únicas compiladas em apenas três meses e novos servidores de comando e controle (C2) sendo registrados semanalmente. Além de carteiras de criptomoedas, o malware também rouba dados de 103 gerenciadores de senhas e ferramentas de autenticação de dois fatores. O Torg Grabber evoluiu rapidamente, abandonando métodos anteriores de exfiltração de dados em favor de uma conexão HTTPS, e implementou mecanismos de anti-análise e ofuscação para evitar detecções. O malware é capaz de roubar credenciais, cookies e dados de preenchimento automático, além de coletar informações de aplicativos populares como Discord, Telegram e Steam. A Gen Digital alerta que o Torg Grabber continua a se desenvolver, com uma base de operadores em expansão e um potencial impacto significativo na segurança de dados dos usuários.

Pesquisadores da Kaspersky identificaram uma nova técnica de phishing que utiliza a plataforma de criação de aplicativos sem código, Bubble, para gerar e hospedar aplicativos maliciosos. Esses aplicativos são hospedados em um domínio legítimo (*.bubble.io), o que dificulta a detecção por soluções de segurança de e-mail. Os criminosos cibernéticos redirecionam os usuários para páginas de phishing que imitam portais de login da Microsoft, frequentemente ocultas por verificações do Cloudflare. As credenciais inseridas nessas páginas falsas são capturadas pelos atacantes, que podem acessar dados sensíveis de contas do Microsoft 365. A plataforma Bubble, que permite a criação de aplicativos por meio de uma interface intuitiva, gera códigos complexos que não são facilmente analisados por ferramentas automatizadas de segurança. Os pesquisadores alertam que essa técnica pode ser adotada por plataformas de phishing como serviço (PhaaS), aumentando a furtividade dos ataques. A Kaspersky entrou em contato com a Bubble para discutir as descobertas, mas não obteve resposta até o momento da publicação.

Recentemente, a vulnerabilidade PolyShell, presente nas versões 2 do Magento Open Source e Adobe Commerce, começou a ser explorada em massa, afetando mais de 56% das lojas vulneráveis. A empresa de segurança Sansec relatou que os ataques começaram em 19 de março, apenas dois dias após a divulgação pública do problema. A falha está relacionada à API REST do Magento, que permite o upload de arquivos, possibilitando a execução remota de código e a tomada de controle de contas através de cross-site scripting (XSS) armazenado, dependendo da configuração do servidor web.

O phishing por voz, conhecido como vishing, está se tornando uma tática cada vez mais comum entre os criminosos digitais. De acordo com o relatório M-Trends da Mandiant, subsidiária de cibersegurança do Google, o vishing foi responsável por 11% dos ataques digitais em 2025, tornando-se o segundo método mais utilizado para obter acesso ilegal a sistemas. Em contraste, os golpes por e-mail, que tradicionalmente dominaram o cenário de phishing, caíram para apenas 6% dos casos.

Um novo malware chamado ‘DarkSword’ foi identificado, afetando iPhones com versões antigas do iOS, especificamente entre 18.4 e 18.7. O software malicioso é instalado remotamente através de um link em um site comprometido, permitindo que hackers coletem dados sensíveis dos usuários. A descoberta do malware ocorreu após o vazamento de seu código-fonte no GitHub, o que gerou preocupações entre especialistas em segurança. Embora os dispositivos com iOS 26 estejam protegidos, há indícios de que o desenvolvedor do malware esteja tentando criar uma versão que ataque também as versões mais recentes do sistema operacional da Apple. A Apple já recomendou que os usuários atualizem seus dispositivos para a versão mais recente do iOS e lançou atualizações para iOS 15 e 16, visando proteger aparelhos mais antigos. A situação destaca a importância de manter os sistemas operacionais atualizados para evitar a exploração de vulnerabilidades.

A nova versão do Kali Linux, 2026.1, já está disponível para download e traz diversas novidades para profissionais de cibersegurança. Entre as principais atualizações, destacam-se a adição de 25 novos pacotes e a atualização de 183 outros, além da atualização do kernel para a versão 6.18. O Kali Team introduziu oito novas ferramentas, incluindo o AdaptixC2, um framework extensível para pós-exploração, e o Fluxion, uma ferramenta de auditoria de segurança e pesquisa em engenharia social.

Ferramentas de Inteligência Artificial (IA) estão se tornando parte integrante do cotidiano, sendo amplamente utilizadas em criação de conteúdo, desenvolvimento de software e fluxos de trabalho empresariais. No entanto, essa popularidade também atraiu a atenção de cibercriminosos, que estão explorando um mercado negro crescente para a venda de acessos a plataformas de IA. Pesquisas indicam que contas premium estão sendo revendidas em grupos do Telegram, com métodos de aquisição que incluem roubo de credenciais, criação em massa de contas e abuso de programas promocionais. O acesso a essas ferramentas permite que atores maliciosos automatizem fraudes, criem mensagens de phishing e realizem campanhas de engenharia social de forma mais eficiente. A análise sugere que a venda de contas de IA se tornou um produto valioso no mercado negro, com ofertas que prometem acesso ilimitado ou menos restrições. Para as organizações, isso representa um risco significativo, pois a exploração dessas ferramentas pode resultar em fraudes mais sofisticadas e personalizadas. A necessidade de monitoramento e proteção de contas de IA é mais urgente do que nunca, à medida que a dependência dessas tecnologias cresce.

Pesquisadores de cibersegurança alertam sobre uma campanha ativa de phishing por código de dispositivo que está atacando identidades do Microsoft 365 em mais de 340 organizações nos EUA, Canadá, Austrália, Nova Zelândia e Alemanha. Identificada pela Huntress em 19 de fevereiro de 2026, a campanha utiliza redirecionamentos do Cloudflare Workers e uma infraestrutura hospedada na Railway, transformando-a em um motor de coleta de credenciais. Os setores mais afetados incluem construção, serviços financeiros, saúde e governo. A técnica de phishing por código de dispositivo explora o fluxo de autorização OAuth, permitindo que os atacantes obtenham tokens de acesso persistentes, mesmo após a redefinição de senhas. O ataque começa com um e-mail de phishing que leva a uma página de login legítima da Microsoft, onde a vítima insere seu código de dispositivo e credenciais. A Huntress também atribui a campanha a uma nova plataforma de phishing como serviço chamada EvilTokens, que oferece ferramentas para enviar e-mails de phishing e contornar filtros de spam. A Palo Alto Networks também relatou uma campanha semelhante, destacando o uso de técnicas anti-análise para evitar detecções.

O Departamento de Justiça dos EUA anunciou a condenação de Ilya Angelov, um cidadão russo de 40 anos, a dois anos de prisão e uma multa de $100.000 por gerenciar uma botnet utilizada em ataques de ransomware contra empresas americanas. Angelov, que operava sob os pseudônimos ‘milan’ e ‘okart’, co-gerenciou o grupo cibercriminoso TA551 entre 2017 e 2021. O grupo foi responsável por construir uma rede de computadores comprometidos através da distribuição de arquivos maliciosos anexados a e-mails de spam. Os ataques visavam revender o acesso a esses computadores para outros grupos criminosos, resultando em extorsões que ultrapassaram $14 milhões. A colaboração de Angelov com outros grupos, como o BitPaymer e o IcedID, destaca a complexidade e a sofisticação das operações de ransomware. O caso ressalta a crescente ameaça de cibercrime, especialmente para empresas que podem ser alvos de tais ataques, e a necessidade de medidas de segurança robustas.

Em setembro de 2025, a Anthropic revelou que um ator de ameaça patrocinado por um estado utilizou um agente de codificação de IA para conduzir uma campanha de espionagem cibernética autônoma contra 30 alvos globais. O agente de IA executou de 80% a 90% das operações táticas de forma independente, realizando reconhecimento, escrevendo códigos de exploração e tentando movimentação lateral em alta velocidade. O artigo destaca uma preocupação ainda maior: a possibilidade de um atacante comprometer um agente de IA já presente no ambiente de uma organização, que possui acesso e permissões legítimas para se mover pelos sistemas. O modelo tradicional de cadeia de ataque cibernético, desenvolvido pela Lockheed Martin, presume que os atacantes precisam conquistar cada passo de acesso, mas os agentes de IA não seguem esse padrão. Uma vez comprometido, um agente de IA pode fornecer ao atacante um mapa completo do ambiente, acesso amplo e uma justificativa legítima para movimentar dados, tornando a detecção extremamente difícil. O artigo também menciona a crise do OpenClaw, onde 12% das habilidades em seu mercado público eram maliciosas, evidenciando o risco de agentes de IA comprometidos. Para mitigar esses riscos, a Reco oferece uma solução que descobre e mapeia agentes de IA, avaliando suas permissões e ajudando a identificar comportamentos anômalos.

Pesquisadores de cibersegurança identificaram uma nova evolução da campanha GlassWorm, que agora utiliza um framework de múltiplas etapas para roubo de dados e instalação de um trojan de acesso remoto (RAT). Este malware se disfarça como uma extensão offline do Google Docs e é capaz de registrar teclas, capturar cookies, tokens de sessão e tirar screenshots. A campanha se infiltra em sistemas através de pacotes maliciosos publicados em repositórios como npm e PyPI, e compromete contas de mantenedores de projetos para disseminar atualizações contaminadas.

Ilya Angelov, um cidadão russo de 40 anos, foi condenado a dois anos de prisão após confessar que gerenciou uma botnet de phishing utilizada em ataques de ransomware BitPaymer contra 72 empresas nos Estados Unidos. Angelov, que se apresentou nos EUA após a invasão da Ucrânia, era um dos líderes de uma operação criminosa russa conhecida como Mario Kart, que entre 2017 e 2021, enviou até 700 mil e-mails de spam por dia, infectando cerca de 3 mil computadores diariamente. A gangue não apenas distribuía malware, mas também vendia o acesso a dispositivos infectados para outros cibercriminosos, que realizavam extorsões em criptomoedas, resultando em mais de 14 milhões de dólares em pagamentos de resgate. Além disso, Angelov colaborou com outros grupos de ransomware, como o IcedID, e sua operação foi associada a diversas campanhas de phishing e ransomware, incluindo a parceria com a gangue TrickBot. Outro cidadão russo, Aleksey Volkov, também foi condenado a quase sete anos de prisão por atuar como intermediário em ataques de ransomware Yanluowang. O caso destaca a crescente ameaça de ransomware e phishing, que continua a impactar empresas globalmente.

A Comissão Federal de Comunicações dos EUA (FCC) anunciou a proibição da importação de novos roteadores de consumo fabricados no exterior, citando riscos inaceitáveis à segurança cibernética e nacional. O presidente da FCC, Brendan Carr, afirmou que a medida visa proteger os cidadãos americanos e as redes de comunicação do país. Os roteadores estrangeiros foram incluídos na ‘Covered List’, a menos que tenham recebido uma aprovação condicional do Departamento de Guerra ou do Departamento de Segurança Interna, que ateste a ausência de riscos. A decisão foi motivada por uma determinação de segurança nacional que destaca como esses dispositivos podem ser explorados por atores estatais e não estatais para realizar espionagem cibernética e comprometer a infraestrutura crítica dos EUA. A FCC também mencionou que roteadores comprometidos podem ser usados para ataques em larga escala, como ‘password spraying’ e acesso não autorizado a redes. Embora a nova política não afete roteadores já adquiridos, ela ressalta a vulnerabilidade dos dispositivos fabricados no exterior, especialmente em um contexto onde adversários como grupos patrocinados pelo Estado chinês têm utilizado botnets formadas por esses roteadores para atacar setores críticos. A FCC enfatiza que a segurança das redes americanas é uma prioridade e que as vulnerabilidades introduzidas por roteadores estrangeiros são inaceitáveis.

O grupo de hackers TeamPCP lançou um ataque à cadeia de suprimentos, comprometendo o popular pacote Python LiteLLM, que possui mais de 3,4 milhões de downloads diários. As versões maliciosas 1.82.7 e 1.82.8 foram publicadas no repositório PyPI, contendo um infostealer que coleta dados sensíveis de dispositivos. A pesquisa da Endor Labs revelou que o código malicioso é ativado quando o pacote é importado, permitindo a coleta de credenciais, chaves SSH, tokens de nuvem e segredos do Kubernetes. O ataque é semelhante a uma violação anterior do scanner de vulnerabilidades Trivy, também atribuída ao TeamPCP. A quantidade de dados exfiltrados é estimada em cerca de 500 mil, embora a confirmação independente desses números não tenha sido possível. As versões comprometidas foram removidas do PyPI, e a versão 1.82.6 é agora a mais recente e limpa. Organizações que utilizam o LiteLLM são aconselhadas a verificar instalações das versões afetadas e a rotacionar imediatamente todas as credenciais e segredos expostos.

A Crunchyroll, plataforma de streaming de animes, está investigando uma possível violação de segurança que pode ter exposto dados pessoais de aproximadamente 6,8 milhões de usuários. Segundo informações do Bleeping Computer, um hacker alegou ter roubado 100 GB de dados, incluindo endereços de e-mail, nomes de login, endereços IP, localização geográfica e informações de suporte ao cliente. A empresa declarou estar ciente das alegações e está colaborando com especialistas em segurança cibernética para apurar os fatos. A suspeita inicial é de que a invasão esteja relacionada a um fornecedor terceirizado que presta serviços de atendimento ao cliente. A Crunchyroll tomou conhecimento da violação através de uma conta no X (antigo Twitter), que recebeu uma notificação do hacker, incluindo uma captura de tela como prova do acesso aos sistemas. O ataque pode ter sido facilitado por um malware instalado por um funcionário da Telus, parceira de suporte da Crunchyroll. A investigação ainda está em andamento e mais detalhes não foram divulgados até o momento.

Um novo estudo da equipe Donjon da Ledger revelou uma vulnerabilidade crítica em smartphones Android que utilizam processadores MediaTek. Essa falha permite que hackers acessem dados sensíveis, como PINs e frases-semente de carteiras de criptomoedas, mesmo quando os dispositivos estão desligados. O ataque é realizado através de uma conexão USB, onde os invasores podem extrair chaves criptográficas antes que o sistema operacional seja carregado. Essa vulnerabilidade afeta cerca de um quarto dos smartphones Android no mundo, destacando a fragilidade da segurança em dispositivos móveis. O CTO da Ledger, Charles Guillemet, enfatizou que smartphones não foram projetados para serem cofres e que a atualização de segurança é crucial para mitigar esses riscos. A vulnerabilidade foi divulgada sob o processo padrão de 90 dias, e a MediaTek já começou a implementar patches para os fabricantes de dispositivos. Usuários são aconselhados a instalar atualizações de segurança imediatamente para proteger seus dados.

A Crunchyroll, plataforma de streaming de anime, confirmou ter sido alvo de um ciberataque que resultou no roubo de dados de aproximadamente 6,8 milhões de usuários. O ataque foi realizado por um grupo de hackers que acessou a conta Okta de um agente de suporte, que trabalhava para a Telus International, uma empresa de terceirização. Durante 24 horas, os hackers conseguiram extrair cerca de 8 milhões de tickets de suporte, que incluíam endereços de e-mail, nomes de usuários, endereços IP e informações geográficas. Embora os dados de pagamento não tenham sido diretamente comprometidos, informações sensíveis dos usuários foram expostas. A Crunchyroll está colaborando com especialistas em cibersegurança para investigar o incidente e monitorar a situação. O atacante exigiu um resgate de US$ 5 milhões para não divulgar os dados roubados, mas a empresa não respondeu à demanda. A investigação está em andamento, e a Crunchyroll acredita que o acesso aos sistemas foi limitado ao incidente com o fornecedor terceirizado.

A Comissão Federal de Comunicações dos Estados Unidos (FCC) atualizou sua ‘Covered List’, incluindo todos os roteadores de consumo fabricados no exterior, o que proíbe a venda de novos modelos no país. Essa lista, criada pela Lei de Redes de Comunicações Seguras e Confiáveis de 2019, contém equipamentos e serviços que representam riscos inaceitáveis à segurança nacional. A decisão foi baseada em uma determinação de segurança nacional que identificou riscos na cadeia de suprimentos, podendo afetar a economia dos EUA e sua infraestrutura crítica. A FCC destacou que roteadores estrangeiros foram utilizados em ataques cibernéticos a infraestruturas vitais, como os perpetrados pelos hackers Volt, Flax e Salt Typhoon. Embora a nova regra não afete imediatamente os consumidores, que continuarão a usar roteadores existentes, a disponibilidade de novos modelos pode ser reduzida e os preços podem aumentar devido ao processo de aprovação regulatória. Exceções foram feitas para alguns roteadores utilizados pelo Departamento de Guerra e pelo Departamento de Segurança Interna, que não representam riscos de segurança. Fabricantes estrangeiros ainda podem buscar aprovação nos EUA, desde que divulguem informações sobre sua estrutura corporativa e cadeia de suprimentos.

Uma nova campanha de phishing está atacando ambientes corporativos francófonos, utilizando currículos falsos para implantar mineradores de criptomoedas e ferramentas de roubo de informações. Os pesquisadores da Securonix, Shikha Sangwan, Akshay Gaikwad e Aaron Beardslee, relataram que a campanha, chamada FAUX#ELEVATE, utiliza arquivos VBScript altamente ofuscados disfarçados como documentos de currículos, entregues por meio de e-mails de phishing. Ao serem executados, esses arquivos ativam um kit de ferramentas multifuncional que combina roubo de credenciais, exfiltração de dados e mineração de criptomoedas Monero. A campanha se destaca pelo uso de serviços legítimos, como Dropbox e sites WordPress, para hospedar e distribuir os payloads. O dropper inicial mostra uma mensagem de erro em francês, enganando os usuários e executando um código ofuscado que contorna mecanismos de defesa. Após obter privilégios administrativos, o malware desativa controles de segurança e realiza a exfiltração de dados através de contas de e-mail comprometidas. A rapidez da execução, que leva apenas 25 segundos do início ao fim da cadeia de infecção, e o foco em máquinas corporativas tornam essa ameaça particularmente perigosa para a segurança das empresas.

Uma campanha de malvertising em larga escala, ativa desde janeiro de 2026, está direcionada a indivíduos nos EUA que buscam documentos fiscais, utilizando anúncios fraudulentos para instalar o ConnectWise ScreenConnect. Essa instalação entrega uma ferramenta chamada HwAudKiller, que utiliza a técnica de ‘bring your own vulnerable driver’ (BYOVD) para desativar programas de segurança. A pesquisa da Huntress identificou mais de 60 sessões maliciosas do ScreenConnect ligadas a essa campanha. O ataque se destaca por empregar serviços de camuflagem comercial para evitar a detecção e por abusar de um driver de áudio da Huawei, que é legítimo e assinado, para desarmar soluções de segurança. Embora os objetivos exatos da campanha não sejam claros, há indícios de que o ator da ameaça busca implantar ransomware ou monetizar o acesso obtido. O ataque começa quando usuários clicam em resultados de busca patrocinados que os direcionam a sites falsos, onde o instalador do ScreenConnect é entregue. A complexidade da campanha, que combina ferramentas comerciais e técnicas sofisticadas, destaca a crescente acessibilidade de ataques cibernéticos avançados.

O grupo de ameaças TeamPCP comprometeu o pacote Python litellm, publicando versões maliciosas (1.82.7 e 1.82.8) que contêm um coletor de credenciais, um kit de ferramentas para movimentação lateral no Kubernetes e um backdoor persistente. As versões comprometidas foram removidas do PyPI após a descoberta por empresas de segurança como Endor Labs e JFrog. O ataque é descrito como uma operação em três etapas, começando com a coleta de chaves SSH, credenciais de nuvem e segredos do Kubernetes. O código malicioso é executado automaticamente quando o pacote é importado, e a versão 1.82.8 introduz um vetor mais agressivo que permite a execução em segundo plano. Os dados coletados são enviados para um domínio de comando e controle. A campanha do TeamPCP é uma escalada deliberada de ataques à cadeia de suprimentos, afetando várias ecossistemas, incluindo GitHub Actions e Docker Hub. Especialistas alertam que a situação pode se agravar, com o grupo se comprometendo a continuar suas atividades maliciosas. Usuários são aconselhados a auditar ambientes, isolar hosts afetados e reverter para versões limpas do pacote.

A Prefeitura Municipal de Caieiras, localizada no estado de São Paulo, pode ter sido alvo de um ataque cibernético que resultou no vazamento de mais de 300 mil registros sensíveis de cidadãos. De acordo com informações divulgadas, a violação de segurança comprometeu os sistemas internos da administração, que gerencia serviços essenciais da cidade. Os dados expostos incluem nomes completos, datas de nascimento, CPFs, RGs, endereços de e-mail, números de telefone, registros médicos, localização e imagens. O material coletado está sendo comercializado em fóruns da dark web, o que representa um risco significativo para os cidadãos afetados. Para se proteger, recomenda-se que os usuários verifiquem se seus dados foram comprometidos utilizando ferramentas como o site Have I Been Pwned, além de realizar uma higiene digital, trocando senhas e revisando configurações de e-mail. O incidente destaca a crescente preocupação com a segurança de dados pessoais e a necessidade de medidas preventivas eficazes.

A AstraZeneca, fabricante de vacinas contra a covid-19, pode ter sido alvo de um grave vazamento de dados, conforme reportado pelo Daily Dark Web. O grupo hacker LAPSUS$ assumiu a responsabilidade pelo ataque, que resultou no roubo de aproximadamente 3 GB de dados internos da empresa. Os criminosos divulgaram a invasão em um fórum clandestino, onde pretendem vender os dados roubados, marcando uma mudança em sua abordagem, que anteriormente se concentrava em extorsão pública.

Um grave vazamento de dados ocorreu na Pefisa S.A., uma instituição financeira do grupo Pernambucanas, expondo 28 mil chaves Pix de clientes. O incidente, que se deu entre agosto de 2025 e fevereiro de 2026, afetou informações cadastrais, incluindo nome, CPF, instituição financeira e dados da conta, mas não comprometeu dados sensíveis como senhas ou informações financeiras. O Banco Central (BC) alertou os clientes para que fiquem atentos a comunicações oficiais e desconsiderem tentativas de contato que solicitem informações pessoais. A Pefisa notificará os usuários afetados pelo aplicativo, enquanto o BC investiga o caso e implementa medidas para mitigar os danos. Apesar da gravidade do vazamento, a falta de acesso direto às contas dos clientes reduz o risco imediato, mas a situação ainda gera preocupação em relação à segurança dos dados pessoais.

Aleksey Olegovich Volkov, um cidadão russo de 26 anos, foi condenado a quase 7 anos de prisão após se declarar culpado por atuar como um corretor de acesso inicial (IAB) em ataques de ransomware da gangue Yanluowang. Entre julho de 2021 e novembro de 2022, ele invadiu pelo menos oito empresas nos Estados Unidos, vendendo o acesso a redes corporativas para a operação de ransomware, cujos afiliados exigiam resgates que variavam de US$ 300 mil a US$ 15 milhões. Volkov foi extraditado para os EUA após ser preso na Itália em janeiro de 2024. Durante a investigação, o FBI recuperou registros de conversas, dados roubados e credenciais de rede das vítimas, além de rastrear a identidade de Volkov por meio de dados do iCloud e registros de troca de criptomoedas. Ele admitiu que sua parte nos resgates coletados chegou a US$ 1,5 milhão e foi condenado a pagar mais de US$ 9 milhões em restituição às vítimas. O caso destaca a crescente ameaça de ransomware e a complexidade das operações criminosas que envolvem múltiplos atores e tecnologias.

A Infinite Campus, um sistema de informações estudantis amplamente utilizado nas escolas K-12 dos EUA, notificou seus clientes sobre uma violação de dados após uma tentativa de extorsão por um grupo de hackers. Segundo a notificação, os invasores acessaram a conta Salesforce de um funcionário, expondo informações que, em sua maioria, eram publicamente disponíveis. O grupo de extorsão ShinyHunters reivindicou a responsabilidade pelo ataque e ameaçou vazar todos os dados supostamente roubados, dando um prazo até 25 de março para que a empresa iniciasse negociações. A Infinite Campus, no entanto, afirmou que não irá negociar com os atacantes. Embora a empresa tenha confirmado que não houve acesso a bancos de dados de clientes, os dados expostos incluem nomes e informações de contato de funcionários escolares, que são informações geralmente disponíveis em diretórios públicos. Para mitigar riscos, a Infinite Campus desativou serviços voltados para clientes sem restrições de IP e está em contato com os distritos potencialmente afetados. O incidente é comparável a um ataque anterior à PowerSchool, que expôs informações sensíveis de milhões de estudantes.

A plataforma de bug bounty HackerOne notificou centenas de funcionários sobre o roubo de seus dados após um ataque cibernético à Navia, uma administradora de benefícios nos EUA. O incidente expôs informações sensíveis de 287 funcionários, incluindo números de Seguro Social, nomes completos, endereços, números de telefone, datas de nascimento e detalhes de planos de benefícios. A vulnerabilidade que permitiu o acesso não autorizado foi identificada como uma falha de autorização de nível de objeto quebrada (BOLA), que permitiu que um ator desconhecido acessasse os dados entre 22 de dezembro de 2025 e 15 de janeiro de 2026. A Navia tomou conhecimento da atividade suspeita em 23 de janeiro de 2026 e notificou as empresas afetadas em cartas datadas de 20 de fevereiro de 2026. Embora a Navia tenha afirmado que o incidente não afetou as reivindicações ou informações financeiras dos indivíduos impactados, os dados expostos são suficientes para que ataques de phishing e engenharia social sejam realizados. HackerOne aconselhou os funcionários afetados a monitorar suas contas financeiras e a considerar a alteração de senhas. Até o momento, nenhum grupo de cibercrime assumiu a responsabilidade pelo ataque.

O conceito tradicional de ‘perímetro seguro’ na cibersegurança se tornou obsoleto com a transição para modelos de trabalho híbridos. As organizações não podem mais assumir que tudo dentro da rede corporativa é seguro. O modelo Zero Trust, que se baseia no princípio de ’nunca confiar, sempre verificar’, surge como uma solução essencial, especialmente em um cenário onde as violações de segurança estão em ascensão. Embora muitas empresas tenham adotado autenticação multifatorial (MFA) e políticas de acesso condicional, essas medidas não são suficientes. A falha está na falta de conexão entre a identificação do usuário e a autorização da sessão, especialmente em dispositivos que podem estar comprometidos. A confiança no dispositivo é crucial, pois um usuário pode ser autenticado, mas se estiver usando um dispositivo infectado, a sessão se torna vulnerável. A implementação de soluções que integrem verificações de postura do dispositivo no fluxo de autenticação é fundamental para garantir que o acesso seja concedido apenas quando tanto a identidade quanto a saúde do dispositivo estiverem seguras. O Zero Trust deve ser um esforço contínuo, com monitoramento em tempo real para detectar atividades incomuns e responder rapidamente a ameaças.

Em 25 de fevereiro de 2026, a Gartner lançou seu primeiro Market Guide para Guardian Agents, uma nova categoria emergente no campo da cibersegurança. Os Guardian Agents são definidos como supervisores de agentes de IA, garantindo que suas ações estejam alinhadas com os objetivos e limites estabelecidos. A adoção de agentes de IA nas empresas está crescendo rapidamente, com quase 70% já utilizando esses sistemas, mas a Gartner alerta que essa rápida implementação está superando os controles de governança tradicionais, aumentando os riscos de falhas operacionais e não conformidade. O artigo destaca a importância da supervisão dos agentes de IA, apresentando três áreas principais de capacidades essenciais: visibilidade e rastreabilidade, garantia contínua e avaliação, e inspeção e aplicação em tempo de execução. Além disso, a Gartner identifica seis abordagens emergentes para a entrega e integração de soluções de Guardian Agents, cada uma com suas vantagens e desvantagens. A crescente complexidade e os riscos associados à implementação de agentes de IA exigem que as empresas adotem uma governança robusta e um controle eficaz para mitigar potenciais incidentes de segurança.

Pesquisadores de cibersegurança descobriram uma nova campanha maliciosa, chamada Ghost, que utiliza pacotes npm para roubar carteiras de criptomoedas e dados sensíveis. Os pacotes, publicados por um usuário identificado como ‘mikilanjillo’, incluem nomes como ‘react-performance-suite’ e ‘coinbase-desktop-sdk’. Esses pacotes enganam os usuários ao solicitar a senha sudo durante a instalação, enquanto ocultam suas verdadeiras intenções. O processo de instalação é disfarçado com logs falsos e atrasos aleatórios, criando a ilusão de que a instalação está em andamento. Ao inserir a senha, o malware é ativado, permitindo o download de um trojan de acesso remoto que coleta dados e aguarda instruções de um servidor externo. A campanha Ghost apresenta semelhanças com outra atividade chamada GhostClaw, que também utiliza repositórios do GitHub para disseminar malware, disfarçado como ferramentas legítimas. Ambas as campanhas destacam uma nova abordagem dos atacantes, que exploram ecossistemas confiáveis para introduzir código malicioso. A situação é preocupante, pois pode impactar desenvolvedores e empresas que utilizam essas bibliotecas, especialmente no Brasil, onde o uso de tecnologias como Node.js e npm é comum.

O gerente de tecnologia da Kingston Brasil, Iuri Santos, alerta que ter uma rotina de backups não garante a recuperação de dados quando necessário. Durante sua participação no Podcast Canaltech, ele destacou que a falta de testes de restauração é um dos principais problemas nas estratégias de proteção de dados. Muitas empresas só descobrem que seus backups estão corrompidos no momento crítico de precisar restaurá-los, o que pode resultar em perdas financeiras significativas. Segundo o relatório ‘IBM Cost of a Data Breach 2025’, o custo médio de uma violação de dados no Brasil é de R$ 7,19 milhões, um aumento de 6,5% em relação ao ano anterior. Santos explicou que falhas nos backups podem ocorrer por diversos motivos, como instabilidade de rede, danos físicos em mídias de armazenamento e ataques cibernéticos. Ele recomenda que as empresas mantenham pelo menos duas cópias de backup em locais diferentes, além de utilizar a nuvem como uma das opções, enfatizando a importância de testar regularmente esses backups para garantir sua integridade e eficácia.

A Autoridade de Conduta Financeira do Reino Unido (FCA) firmou um contrato de três meses com a empresa americana Palantir, no valor de mais de £30.000 por semana, para analisar dados financeiros com o objetivo de combater crimes financeiros, como fraudes e lavagem de dinheiro. A Palantir terá acesso a informações altamente sensíveis, incluindo dados de casos de fraude, relatórios bancários e informações pessoais identificáveis. Críticos levantam preocupações sobre a privacidade, dado o histórico da Palantir com agências como a ICE nos EUA e seu envolvimento em questões de direitos humanos. Apesar de a FCA afirmar que os dados serão armazenados no Reino Unido e que a empresa deve deletá-los após o término do contrato, a utilização de dados reais em vez de dados sintéticos para o projeto piloto gerou controvérsias. A FCA garante que implementou controles rigorosos para proteger os dados, mas a crescente presença da Palantir no governo britânico, com contratos que totalizam mais de £500 milhões, levanta questões sobre a privacidade e a segurança de informações sensíveis.

Recentemente, dois workflows do GitHub Actions, mantidos pela empresa de segurança da cadeia de suprimentos Checkmarx, foram comprometidos por um malware conhecido como ‘TeamPCP Cloud stealer’. Este ataque, que segue a violação do scanner de vulnerabilidades Trivy, permite que os atacantes roubem credenciais e segredos relacionados a serviços como AWS, Google Cloud e Azure. O malware foi identificado como parte de um ataque em cadeia, onde as credenciais roubadas são utilizadas para comprometer ações adicionais em repositórios afetados. O CVE associado ao ataque é o CVE-2026-33634, com uma pontuação CVSS de 9.4, indicando um risco crítico. Os atacantes utilizam técnicas de engano, como domínios semelhantes aos de fornecedores legítimos, para evitar a detecção. Além disso, o malware pode se instalar de forma persistente em sistemas não-CI, aumentando o risco de novos ataques. Para mitigar essa ameaça, recomenda-se a rotação imediata de segredos e tokens, auditoria de logs e monitoramento de conexões de rede suspeitas. A situação destaca a importância da segurança em ambientes de CI/CD e a necessidade de vigilância constante contra ameaças emergentes.

A OpenAI anunciou a implementação de uma nova funcionalidade chamada ‘Library’ para o ChatGPT, que permite aos usuários armazenar arquivos pessoais e imagens na nuvem da OpenAI. Esta funcionalidade está disponível para assinantes dos planos Plus, Pro e Business, mas não está sendo lançada para clientes na Área Econômica Europeia, Suíça e Reino Unido. Ao acessar a nova seção, os usuários descobrirão que o ChatGPT já salvou automaticamente alguns arquivos enviados nas últimas duas semanas, uma prática padrão que visa facilitar o acesso a documentos, planilhas e imagens em conversas futuras. Os arquivos são armazenados em um local seguro e permanecem na conta do usuário até que sejam deletados manualmente. É importante notar que a exclusão de um chat não remove os arquivos da Library. Para deletar um arquivo, o usuário deve selecioná-lo na aba ‘Library’ e clicar em ‘Delete’. A OpenAI se compromete a remover os arquivos de seus servidores dentro de 30 dias após a exclusão, embora a razão para esse prazo prolongado não esteja clara, podendo estar relacionada a questões legais. Essa nova funcionalidade pode impactar a forma como os usuários interagem com o ChatGPT, especialmente em termos de privacidade e armazenamento de dados.

Um documentário da BBC, intitulado ‘Inside the Rage Machine’, revelou que Meta e TikTok estariam permitindo a disseminação de conteúdos nocivos em suas plataformas para aumentar o engajamento dos usuários. Ex-funcionários das empresas relataram que, sob pressão para melhorar a interação, as direções das companhias incentivaram a inclusão de conteúdos como violência, misoginia e teorias da conspiração nos feeds. Um engenheiro da Meta mencionou que recebeu ordens para permitir esses conteúdos de forma ‘controlada’, justificando que a queda nas ações da empresa exigia tal abordagem. No TikTok, um funcionário destacou que as prioridades políticas estavam sendo priorizadas em detrimento de denúncias de conteúdos violentos, especialmente envolvendo crianças. O documentário também apontou que o Instagram, através do Reels, concentrou uma quantidade maior de discursos de ódio e assédio, com 75% a mais de bullying em comparação ao feed principal. Em resposta, Meta e TikTok negaram as acusações, afirmando que não promovem intencionalmente conteúdos nocivos. Essa situação levanta preocupações sobre a segurança digital e a responsabilidade das plataformas em moderar o conteúdo que promovem.

A Humana, uma das maiores seguradoras de saúde dos EUA, confirmou que notificou um número não divulgado de pessoas sobre uma violação de dados ocorrida em agosto de 2025. Os dados comprometidos incluem números de Seguro Social, informações de faturamento médico, datas de serviço, nomes de prestadores, números de identificação da Humana, números de contas de pacientes e informações de seguro de saúde. A subsidiária da Humana, Centerwell, também começou a emitir notificações sobre a violação. O procurador-geral do Texas relatou que 4.618 pessoas no estado foram notificadas. A violação foi atribuída a um grupo de cibercriminosos chamado Clop, que reivindicou a responsabilidade pelo ataque. A Humana ofereceu aos afetados 24 meses de monitoramento de crédito gratuito e serviços de restauração de identidade. O ataque foi causado por uma vulnerabilidade de software de um fornecedor, e a Humana não confirmou se pagou um resgate. O grupo Clop é conhecido por explorar vulnerabilidades de software e já realizou 456 ataques em 2025, com 119 deles relacionados a uma vulnerabilidade da Oracle. A situação destaca a crescente ameaça de ransomware no setor de saúde, que já afetou mais de 196 milhões de pessoas nos EUA.

Os hackers do TeamPCP, responsáveis pelo ataque à cadeia de suprimentos Trivy, continuam a direcionar suas ações contra a Aqua Security, comprometendo sua organização no GitHub e publicando imagens Docker maliciosas. O ataque, que ocorreu após a violação do pipeline de construção do GitHub do Trivy, resultou na entrega de malware voltado para roubo de informações. O Trivy, amplamente utilizado para detectar vulnerabilidades e configurações inadequadas, teve suas versões 0.69.5 e 0.69.6 publicadas sem correspondência nas liberações do GitHub, levantando suspeitas de comprometimento. A Aqua Security, após identificar a violação, lançou novas versões seguras do Trivy e contratou uma empresa de resposta a incidentes para investigar a situação. Apesar de novas atividades suspeitas terem sido detectadas, a empresa afirma que o Trivy não foi impactado. A análise sugere que o acesso dos hackers se deu por meio de uma conta de serviço com um token de acesso pessoal, que não possui proteção de autenticação multifatorial. A situação destaca a importância da segurança na cadeia de suprimentos e a necessidade de vigilância contínua em ambientes de desenvolvimento.

A plataforma de streaming de anime Crunchyroll está investigando um possível vazamento de dados após hackers afirmarem ter roubado informações pessoais de cerca de 6,8 milhões de usuários. A empresa confirmou que está colaborando com especialistas em cibersegurança para apurar a situação. O ataque teria ocorrido em 12 de março, quando os invasores acessaram a conta de SSO Okta de um agente de suporte da Crunchyroll, que trabalhava para a Telus International, uma empresa de terceirização de processos de negócios. Os hackers alegam ter utilizado malware para infectar o computador do agente e obter suas credenciais, o que lhes permitiu acessar diversas aplicações da Crunchyroll, incluindo Zendesk e Google Workspace. Com esse acesso, os atacantes teriam baixado 8 milhões de registros de tickets de suporte, dos quais 6,8 milhões continham endereços de e-mail únicos. Embora alguns dados de cartão de crédito tenham sido expostos, isso ocorreu apenas quando os clientes os compartilharam nos tickets de suporte. Os hackers também enviaram e-mails de extorsão à Crunchyroll, exigindo US$ 5 milhões para não divulgar os dados publicamente. Este incidente destaca a vulnerabilidade das empresas de terceirização, que têm se tornado alvos frequentes de ataques cibernéticos.

O grupo de hackers TeamPCP está direcionando ataques a clusters Kubernetes com um script malicioso que apaga todos os dados de máquinas configuradas para o Irã. Este grupo é responsável por um recente ataque à cadeia de suprimentos no scanner de vulnerabilidades Trivy e por uma campanha baseada em NPM chamada ‘CanisterWorm’, que começou em 20 de março. A nova campanha utiliza o mesmo código de comando e controle (C2) e o mesmo caminho de instalação do backdoor que foram observados nos incidentes anteriores do CanisterWorm, mas com uma diferença significativa: um payload destrutivo que visa especificamente sistemas iranianos. O malware é projetado para destruir qualquer máquina que corresponda ao fuso horário e à localidade do Irã, independentemente da presença do Kubernetes. Em sistemas identificados como iranianos, o script apaga todos os diretórios principais do sistema, enquanto em outros locais, ele instala um backdoor. A Aikido, empresa de segurança de aplicações, destaca que a nova versão do malware também utiliza propagação via SSH, buscando credenciais válidas em logs de autenticação. Os pesquisadores identificaram indicadores de atividade maliciosa, como conexões SSH de saída com configurações específicas e conexões ao Docker API. Este cenário representa uma ameaça significativa, especialmente para organizações que operam em ambientes Kubernetes.