Cibersegurança

Um grupo de ameaças cibernéticas suspeito de espionagem, atribuído ao Irã, tem utilizado backdoors como TWOSTROKE e DEEPROOT para atacar indústrias de defesa e aviação no Oriente Médio. O grupo, identificado como UNC1549, foi monitorado entre 2023 e 2025, empregando técnicas sofisticadas para obter acesso inicial, como o abuso de relacionamentos com terceiros e campanhas de phishing direcionadas. Recentemente, a empresa PRODAFT associou o grupo a uma campanha que comprometeu 11 empresas de telecomunicações na Europa, utilizando engenharia social via LinkedIn. As cadeias de infecção incluem phishing para roubo de credenciais e exploração de vulnerabilidades em serviços como Citrix e Azure. Após a infiltração, as atividades dos atacantes incluem reconhecimento, movimentação lateral e roubo de informações sensíveis. Ferramentas personalizadas, como MINIBIKE e TWOSTROKE, são utilizadas para coletar dados do sistema e manter a persistência na rede alvo. O grupo se destaca por sua capacidade de evitar detecções e garantir acesso contínuo, utilizando técnicas como shells reversos SSH e domínios que imitam a indústria das vítimas.

Pesquisadores de cibersegurança revelaram detalhes sobre um ataque cibernético que visou uma grande empresa imobiliária dos EUA, utilizando um novo framework de comando e controle (C2) chamado Tuoni. O ataque ocorreu em meados de outubro de 2025 e, segundo a Morphisec, os invasores provavelmente usaram engenharia social por meio de uma imitação no Microsoft Teams para obter acesso inicial. Os atacantes se passaram por fornecedores ou colegas de confiança para induzir um funcionário a executar um comando PowerShell. Esse comando baixou um segundo script PowerShell de um servidor externo, que utilizou técnicas de esteganografia para ocultar um payload dentro de uma imagem bitmap. O objetivo principal era extrair e executar shellcode diretamente na memória, resultando na execução do ‘TuoniAgent.dll’, que permitiu o controle remoto da máquina alvo. Embora o ataque tenha sido frustrado, ele evidencia o uso indevido de ferramentas de red teaming para fins maliciosos. A Morphisec também observou que o mecanismo de entrega do ataque apresentava indícios de assistência de inteligência artificial na geração de código, refletindo uma tendência preocupante no uso de tecnologias emergentes para atividades ilícitas.

No dia 18 de novembro de 2025, o Google lançou atualizações de segurança para seu navegador Chrome, abordando duas falhas críticas, incluindo uma que está sendo ativamente explorada. A vulnerabilidade identificada como CVE-2025-13223, com uma pontuação CVSS de 8.8, é uma falha de confusão de tipo no motor V8 do JavaScript e WebAssembly, que pode permitir a execução de código arbitrário ou causar falhas no programa. Segundo o NIST, essa falha pode ser explorada por atacantes remotos através de uma página HTML manipulada. O especialista Clément Lecigne, do Google Threat Analysis Group, descobriu a vulnerabilidade em 12 de novembro de 2025. O Google confirmou que um exploit para essa falha já está disponível na internet. Além disso, a atualização também corrige outra vulnerabilidade de confusão de tipo (CVE-2025-13224), também com pontuação 8.8, identificada por um agente de inteligência artificial do Google. Para se proteger, os usuários devem atualizar o Chrome para as versões 142.0.7444.175/.176 para Windows, 142.0.7444.176 para macOS e 142.0.7444.175 para Linux. É recomendado que usuários de navegadores baseados em Chromium, como Microsoft Edge e Brave, também apliquem as correções assim que disponíveis.

A Microsoft anunciou a neutralização de um ataque de negação de serviço distribuído (DDoS) que atingiu 15,72 terabits por segundo (Tbps) e 3,64 bilhões de pacotes por segundo (pps), o maior já observado na nuvem. O ataque, originado de uma botnet de Internet das Coisas (IoT) chamada AISURU, envolveu mais de 500.000 endereços IP de origem. Os ataques foram caracterizados por inundações UDP de alta taxa, com pouca falsificação de origem, o que facilitou a rastreabilidade. A botnet AISURU, composta por cerca de 300.000 dispositivos infectados, como roteadores e câmeras de segurança, é responsável por alguns dos maiores ataques DDoS registrados. Embora a Microsoft tenha conseguido neutralizar o ataque, a vulnerabilidade dos dispositivos comprometidos ainda representa um risco. Além disso, a botnet também é utilizada para outras atividades ilícitas, como phishing e scraping. A crescente capacidade de ataque é impulsionada pelo aumento da velocidade da internet e pela potência dos dispositivos IoT. Este incidente destaca a necessidade de vigilância contínua e medidas de segurança robustas para proteger infraestruturas críticas.

Pesquisadores da Oligo identificaram vulnerabilidades graves em motores de inferência de inteligência artificial, impactando grandes empresas como Meta, Microsoft e Nvidia. As falhas, que permitem a execução de código remoto, estão ligadas ao uso inseguro do ZeroMQ e à desserialização de dados com o módulo pickle do Python, resultando em um padrão de vulnerabilidade denominado ShadowMQ. A principal brecha foi encontrada no framework Llama da Meta, classificada como CVE-2024-50050, com um score CVSS de 6,3/9,3, que foi corrigida em outubro de 2025. Outras tecnologias, como a TensorRT-LLM da Nvidia e o Sarathi-Serve da Microsoft, também apresentaram falhas, com algumas ainda sem correção. A exploração dessas vulnerabilidades pode permitir que invasores executem códigos arbitrários, aumentem privilégios e até roubem modelos de IA. A situação é crítica, pois comprometer um único motor de inferência pode ter consequências severas, como a inserção de agentes maliciosos nas LLMs. O alerta é para que as empresas revisem suas implementações e apliquem as correções necessárias para evitar possíveis ataques.

A Tata Motors, proprietária da Jaguar Land Rover (JLR), divulgou que um ciberataque de ransomware ocorrido em setembro resultou em um prejuízo de £ 196 milhões (aproximadamente R$ 1,3 bilhão). O ataque interrompeu a produção nas fábricas da JLR por quase um mês, impactando significativamente os resultados financeiros da empresa. No relatório do segundo semestre, a JLR registrou uma queda de 24% na receita em comparação ao ano anterior, totalizando £ 4,9 bilhões (R$ 34 bilhões). O prejuízo total do período foi de £ 485 milhões (R$ 3,3 bilhões), enquanto no ano anterior a empresa havia reportado um lucro de £ 398 milhões (R$ 2,7 bilhões).

A Logitech confirmou ter sido alvo de um ataque de dia zero, resultando em um vazamento de dados considerado ’limitado’. O grupo de cibercrime Clop, conhecido por suas práticas de extorsão, foi identificado como responsável pelo ataque. Embora a empresa tenha garantido que a violação não afetou seus produtos ou operações, especialistas acreditam que informações sobre funcionários, consumidores e fornecedores podem ter sido comprometidas. A Logitech não tem certeza sobre quais dados específicos foram roubados, mas afirma que informações sensíveis, como registros de identidade e dados de cartão de crédito, não estavam armazenadas no sistema afetado. A vulnerabilidade explorada estava em uma plataforma de software de terceiros, que foi corrigida imediatamente após a descoberta. O incidente destaca a crescente preocupação com a segurança cibernética, especialmente em um cenário onde grupos como o Clop têm intensificado suas atividades de ransomware, afetando diversas empresas ao redor do mundo.

Pesquisadores de cibersegurança identificaram campanhas de malware que utilizam a tática de engenharia social ClickFix para implantar o Amatera Stealer e o NetSupport RAT. O Amatera, uma evolução do ACR Stealer, foi observado pela primeira vez em junho de 2025 e está disponível por meio de planos de assinatura que variam de $199 a $1.499 por ano. Este malware é projetado para exfiltrar dados sensíveis de carteiras de criptomoedas, navegadores e aplicativos de mensagens, utilizando técnicas avançadas para evitar detecções por soluções de segurança.

A Microsoft anunciou a implementação de um novo recurso no Teams, destinado a usuários premium, que bloqueia automaticamente a captura de tela durante reuniões. Denominada ‘prevent screen capture’, essa funcionalidade visa aumentar a segurança digital, evitando o vazamento de informações sensíveis. Quando ativado, o recurso impede que os usuários capturem a tela durante chamadas de vídeo, resultando em um retângulo preto na tela para usuários de Windows ou uma mensagem de restrição para aqueles em dispositivos Android. É importante ressaltar que o bloqueio não é ativado por padrão; os organizadores das reuniões devem habilitá-lo manualmente. Essa medida é especialmente relevante em um contexto corporativo, onde a proteção de dados é crucial. A Microsoft também destacou que o bloqueio não se aplica a plataformas que não suportam essa funcionalidade, limitando o acesso a áudio apenas. Com essa atualização, a empresa busca reforçar a segurança em um ambiente de trabalho cada vez mais digitalizado e vulnerável a ataques cibernéticos.

O Centro de Resposta Nacional de Emergência de Vírus de Computador da China (CVERC) acusou os Estados Unidos de terem roubado 127.272 bitcoins, equivalentes a aproximadamente R$ 69 bilhões, em um ataque hacker ocorrido em dezembro de 2020. O ataque teria sido direcionado à LuBian, uma das maiores mineradoras de criptomoedas do mundo. Segundo informações do site Nikkei Asia, os bitcoins subtraídos permaneceram inativos por mais de quatro anos, até que, em 2024, os EUA teriam movimentado os fundos após a acusação formal de Chen Zhi, um empresário ligado a centros de golpe no Camboja. O governo chinês sugere que a operação foi orquestrada por uma organização hacker nacional, e não por hackers comuns. Este incidente é o maior confisco de criptomoedas da história, superando o valor anteriormente confiscado pelo Reino Unido. A situação é complexa, pois as criptomoedas não têm jurisdição específica, o que dificulta a transparência nas operações. A recente divulgação da China sobre o caso levanta questões sobre a motivação por trás do comunicado, especialmente em um contexto de trégua comercial entre os dois países.

Um vazamento significativo de dados da empresa chinesa Knownsec, especializada em cibersegurança, revelou informações que sugerem um possível envolvimento do governo da China em atividades de ciberespionagem. O incidente, que ocorreu no início de novembro de 2025, expôs cerca de 12 mil arquivos, totalizando aproximadamente 95 GB de registros de imigração da Índia, 3 TB de registros de chamadas da operadora sul-coreana LG Uplus e 459 GB de dados sobre transporte em Taiwan. Os documentos vazados indicam que a Knownsec, que frequentemente colabora com órgãos governamentais, poderia estar desenvolvendo “armas cibernéticas” para espionagem. Além disso, foram encontrados dados sensíveis de mais de 20 países, incluindo Japão e Reino Unido, e uma planilha detalhando ataques digitais a 80 empresas internacionais, principalmente no setor de telecomunicações. Os hackers teriam utilizado um trojan de acesso remoto (RAT) para obter controle total dos dispositivos infectados, além de ferramentas específicas para Android que permitiam a coleta de mensagens de aplicativos como Telegram. O governo chinês negou qualquer envolvimento, afirmando que não tem conhecimento sobre a violação de segurança, mas não descartou a possibilidade de que empresas estatais possam estar envolvidas em operações de inteligência cibernética.

Hackers chineses estão utilizando inteligência artificial (IA) para aprimorar suas campanhas de ciberespionagem, conforme identificado pela Anthropic, a empresa responsável pela ferramenta Claude Code. Essa nova abordagem foi observada em ataques a cerca de 30 empresas internacionais, incluindo instituições financeiras e agências governamentais. O relatório revela que, em ataques bem-sucedidos, a intervenção humana foi mínima, com a IA executando de 80 a 90% das tarefas necessárias.

A operação dos hackers foi organizada em seis fases, começando pela seleção do alvo e culminando na exfiltração de dados confidenciais. A IA foi manipulada para atuar como um agente autônomo, encontrando vulnerabilidades, coletando credenciais e explorando sistemas. A Anthropic respondeu banindo as contas associadas a esses ataques e implementando novos mecanismos de defesa. Essa evolução na ciberespionagem, com uma IA promovendo um ataque de larga escala, levanta preocupações sobre a profissionalização do cibercrime e o uso crescente de tecnologias avançadas para atividades ilícitas.

O grupo de cibercriminosos conhecido como Dragon Breath, também identificado como APT-Q-27, tem utilizado um carregador de múltiplas etapas chamado RONINGLOADER para disseminar uma variante modificada do trojan de acesso remoto Gh0st RAT. A campanha é direcionada principalmente a usuários de língua chinesa e utiliza instaladores NSIS trojanizados que se disfarçam como softwares legítimos, como Google Chrome e Microsoft Teams. Os pesquisadores de segurança da Elastic Security Labs destacam que a cadeia de infecção emprega diversas técnicas de evasão para neutralizar produtos de segurança populares na China. Entre as táticas utilizadas, estão a utilização de drivers assinados legitimamente e a manipulação do Microsoft Defender. O RONINGLOADER não apenas tenta eliminar processos de segurança, mas também injeta código malicioso em processos legítimos do Windows para ocultar suas atividades. Além disso, uma campanha paralela identificada pela Palo Alto Networks, chamada Campaign Chorus, também tem utilizado a falsificação de marcas para atingir usuários de língua chinesa, empregando uma cadeia de infecção mais sofisticada. Essas atividades representam um risco significativo, especialmente para organizações que operam em setores vulneráveis a ataques cibernéticos.

Os ataques de phishing estão se diversificando, com um em cada três ocorrendo fora do e-mail, especialmente no LinkedIn. Este artigo destaca como os atacantes estão utilizando a plataforma para realizar ataques direcionados, especialmente contra executivos de empresas nos setores financeiro e tecnológico. A natureza das mensagens diretas no LinkedIn permite que os ataques contornem as ferramentas tradicionais de segurança, que geralmente se concentram na proteção de e-mails. Além disso, a facilidade de criar contas falsas ou sequestrar contas legítimas torna o LinkedIn um alvo atraente para os criminosos. Os atacantes podem facilmente mapear perfis de empresas e identificar alvos de alto valor, aumentando a probabilidade de sucesso. A falta de proteção contra spam e a expectativa de interações profissionais tornam os usuários mais suscetíveis a cair em armadilhas. O impacto potencial desses ataques pode ser devastador, com acesso a dados críticos e funções empresariais. Portanto, é crucial que as empresas adotem medidas proativas para proteger suas redes e treinar seus funcionários sobre os riscos associados a essas novas formas de phishing.

Recentemente, o cenário de cibersegurança tem se tornado cada vez mais alarmante, com ataques que utilizam ferramentas comuns, como IA e VPNs, para causar danos sem serem detectados. Um exemplo crítico é a exploração da vulnerabilidade CVE-2025-64446 no Fortinet FortiWeb, que permite a criação de contas administrativas maliciosas. Essa falha, com um CVSS de 9.1, foi adicionada ao catálogo de Vulnerabilidades Conhecidas da CISA, exigindo que agências federais apliquem correções até 21 de novembro de 2025.

No combate ao cibercrime, muitas vezes pensamos em hackers sofisticados e códigos complexos, mas o relatório da Verizon Business 2025 revela que quase 60% das violações de dados envolvem o fator humano. Técnicas de engenharia social, como phishing e pretexting, continuam a ser as mais comuns, utilizando elementos do nosso cotidiano digital, como notificações de entrega e solicitações de redefinição de senha, para enganar os usuários. Os criminosos cibernéticos estão se aproveitando da confiança que depositamos em plataformas digitais, criando armadilhas que se disfarçam como atualizações legítimas ou links de newsletters confiáveis. Além disso, novas táticas, como induzir usuários a copiar e colar comandos maliciosos, estão transformando ferramentas comuns em cúmplices involuntários. Mesmo a autenticação multifatorial (MFA), considerada uma defesa robusta, está sendo explorada por criminosos através de plataformas de phishing. A defesa mais eficaz contra essas ameaças não é apenas software, mas sim indivíduos informados e vigilantes. A cibersegurança deve ser uma preocupação coletiva, exigindo pensamento crítico e ceticismo em cada interação online.

Um novo relatório da Tenable destaca a crescente preocupação com a segurança em ambientes que utilizam inteligência artificial (IA). Com 89% das organizações já implementando ou testando cargas de trabalho de IA, a pesquisa revela que apenas 22% das empresas classificam e criptografam completamente seus dados de IA, deixando 78% vulneráveis a ataques. Além disso, 34% dos adotantes de IA já enfrentaram violações relacionadas à tecnologia, sendo que a maioria dessas falhas decorre de vulnerabilidades internas e não de ataques sofisticados aos modelos de IA. As principais causas de brechas incluem vulnerabilidades de software (21%) e ameaças internas (18%). A Tenable alerta que as empresas estão escalando suas operações de IA mais rapidamente do que conseguem garantir a segurança, resultando em defesas reativas. A pesquisa também indica que cerca de 51% das empresas seguem diretrizes mínimas, como o NIST AI Risk Management Framework, e apenas 26% realizam testes de segurança específicos para IA. Para mitigar a ’lacuna de exposição em IA’, a Tenable recomenda que as empresas priorizem controles fundamentais, como governança de identidade e monitoramento de configurações, para estabelecer uma postura de segurança robusta.

O Google anunciou que a adoção da linguagem de programação Rust no Android resultou em uma queda significativa nas vulnerabilidades de segurança relacionadas à memória, que agora representam menos de 20% do total. Jeff Vander Stoep, do Google, destacou que a transição para Rust trouxe uma redução de 1000 vezes na densidade de vulnerabilidades de segurança de memória em comparação ao código em C e C++. Além disso, as mudanças em Rust têm uma taxa de reversão quatro vezes menor e demandam 25% menos tempo em revisão de código, tornando o desenvolvimento não apenas mais seguro, mas também mais ágil. Desde 2019, o número de vulnerabilidades de segurança de memória caiu de 223 para menos de 50 em 2024. O Google planeja expandir o uso de Rust em outras partes do ecossistema Android, como no kernel e em aplicativos críticos. Apesar dos avanços, a empresa enfatiza a importância de uma abordagem de defesa em profundidade, ressaltando que as características de segurança da linguagem são apenas uma parte de uma estratégia abrangente. Um exemplo de vulnerabilidade descoberta foi a CVE-2025-48530, que poderia ter permitido execução remota de código, mas foi corrigida antes de ser divulgada publicamente.

O artigo explora as diferenças entre a surface web, deep web e dark web, desmistificando conceitos frequentemente associados a atividades ilícitas. A surface web é a parte da internet que é indexada por mecanismos de busca, contendo a maioria dos sites acessíveis ao público. Em contraste, a deep web inclui conteúdos não indexados, como e-mails, bancos online e bases de dados protegidas, que são essenciais para a privacidade e segurança dos usuários. A dark web, uma subcategoria da deep web, é acessível apenas por meio de softwares específicos, como o Tor, e é frequentemente associada a atividades ilegais, mas também serve a propósitos legítimos, como a proteção de jornalistas e dissidentes em regimes autoritários. O artigo enfatiza que, embora a dark web possa abrigar atividades criminosas, ela também é um espaço de anonimato e liberdade de expressão. A compreensão desses conceitos é crucial para navegar na internet de forma segura e informada.

A Fulgar, uma renomada produtora de fios sintéticos, confirmou ter sido alvo de um ataque de ransomware vinculado ao grupo RansomHouse. Os atacantes publicaram documentos internos, incluindo informações financeiras, listas de clientes e comunicações sensíveis, em seu site de vazamento no dia 12 de novembro, alegando que os dados estavam criptografados desde 31 de outubro. A Fulgar, que fornece para grandes marcas como H&M e Adidas, opera em várias regiões, incluindo Europa, Sri Lanka e Turquia. O ataque destaca a vulnerabilidade de grandes fornecedores, mostrando que mesmo empresas consolidadas podem ser comprometidas. A divulgação de informações confidenciais pode facilitar tentativas de phishing direcionadas, aumentando os riscos para a empresa e seus parceiros. O grupo RansomHouse, ativo desde 2021, já listou mais de cem vítimas, e as autoridades cibernéticas dos EUA o associaram a atores iranianos. A proteção contra roubo de identidade e o uso de software antivírus eficaz são essenciais para mitigar riscos adicionais durante esses períodos de incerteza.

Os keyloggers são ferramentas que registram as teclas digitadas em dispositivos, podendo ser utilizados tanto de forma legítima quanto maliciosa. Como software, eles são frequentemente instalados em sistemas operacionais sem o conhecimento do usuário, enquanto como hardware, podem ser dispositivos físicos conectados entre o teclado e o computador. A principal função dos keyloggers é coletar informações sensíveis, como senhas e dados bancários, o que os torna uma ameaça significativa no cenário da cibersegurança. Embora possam ser usados legalmente para monitoramento corporativo, controle parental e suporte técnico, seu uso sem consentimento levanta questões éticas e de privacidade. Os cibercriminosos, por outro lado, utilizam keyloggers para roubar dados através de métodos como phishing e downloads de trojans. Para se proteger, é essencial estar ciente dos sinais de alerta e adotar medidas de segurança, como o uso de antivírus e a verificação de links suspeitos. O artigo também discute a necessidade de um debate ético sobre o uso de keyloggers, especialmente em ambientes corporativos e familiares, onde a privacidade deve ser respeitada.

Os Estados Unidos criaram uma força-tarefa, denominada ‘Strike Force’, para combater fraudes relacionadas a criptomoedas que operam a partir do Sudeste Asiático, especialmente em países como Mianmar, Camboja e Laos. Nos últimos cinco anos, redes organizadas têm enganado cidadãos americanos, resultando em perdas de bilhões de dólares. A força-tarefa, que envolve várias agências federais, como o Departamento de Justiça e o FBI, utilizará investigações, processos criminais, sanções e apreensões para desmantelar essas operações e buscar restituição para as vítimas. Até agora, foram apreendidos mais de 401 milhões de dólares em criptomoedas de operações fraudulentas. Além disso, a força-tarefa está colaborando com autoridades locais, como a Polícia Real da Tailândia, para combater centros de fraudes. Grupos criminosos transnacionais, incluindo organizações chinesas, estão envolvidos na coordenação dessas fraudes, que também estão ligadas a atividades de tráfico humano e conflitos armados na região. O aumento das fraudes em investimentos em criptomoedas tem sido alarmante, com o Serviço Secreto dos EUA relatando cerca de 3.000 vítimas apenas no ano fiscal de 2025. A iniciativa reflete o compromisso dos EUA em se tornar um centro global para a indústria de criptomoedas, ao mesmo tempo em que protege seus cidadãos de fraudes.

O malware de botnet conhecido como RondoDox está atacando instâncias do XWiki que não foram atualizadas, aproveitando uma falha de segurança crítica identificada como CVE-2025-24893, que possui uma pontuação CVSS de 9.8. Essa vulnerabilidade, que permite a execução remota de código arbitrário, foi corrigida nas versões 15.10.11, 16.4.1 e 16.5.0RC1 do XWiki, lançadas em fevereiro de 2025. Desde março, houve indícios de que a falha estava sendo explorada, mas foi em outubro que a VulnCheck reportou um aumento significativo nas tentativas de exploração, culminando em um pico em 7 de novembro. O RondoDox, que rapidamente está adicionando novos vetores de exploração, visa dispositivos vulneráveis para realizar ataques de negação de serviço distribuída (DDoS) utilizando protocolos HTTP, UDP e TCP. Além disso, outras tentativas de ataque têm sido observadas, como a entrega de mineradores de criptomoedas e a criação de shells reversos. A CISA dos EUA incluiu a vulnerabilidade em seu catálogo de Vulnerabilidades Conhecidas Exploradas, exigindo que agências federais implementem as devidas mitig ações até 20 de novembro. Este cenário ressalta a importância de práticas robustas de gerenciamento de patches para garantir a proteção adequada.

Os ataques ’living off the land’ (LotL) são uma técnica de cibercrime que utiliza ferramentas legítimas já instaladas no sistema da vítima para realizar atividades maliciosas. Ao invés de depender de malwares que podem ser facilmente detectados por antivírus, os criminosos exploram softwares como o PowerShell e o WMI, que são essenciais para a administração do sistema. Isso torna a detecção desses ataques extremamente difícil, pois os programas de segurança não conseguem identificar a diferença entre ações benignas e maliciosas.

O aumento dos ataques de ransomware tem gerado um intenso debate sobre a questão dos pagamentos de resgate. Em 2025, houve um crescimento de 126% nos ataques em relação ao trimestre anterior, levando o governo do Reino Unido a considerar a proibição desses pagamentos, especialmente para o setor público e infraestrutura crítica. A proposta visa desencorajar organizações de cederem a demandas de criminosos, que muitas vezes não garantem a devolução dos dados. Embora pagar um resgate possa parecer uma solução rápida, isso alimenta um ciclo de criminalidade cibernética. Em 2025, 41% das organizações admitiram ter pago resgates, mas apenas 67% conseguiram recuperar totalmente seus dados. A proibição dos pagamentos poderia forçar as organizações a se concentrarem em resiliência cibernética, planejamento de resposta a incidentes e estratégias de recuperação. Para se proteger, as empresas devem investir em provedores de serviços gerenciados (MSPs), treinamento de conscientização em segurança e planos de resposta a incidentes. A discussão sobre a proibição dos pagamentos de resgate levanta questões sobre a eficácia dessa abordagem e a necessidade de alternativas viáveis para a recuperação de dados sensíveis.

O Washington Post notificou cerca de 10 mil empregados e prestadores de serviço sobre um vazamento de dados que ocorreu devido a um ataque hacker em sistemas da Oracle, entre 10 de julho e 22 de agosto de 2025. A vulnerabilidade explorada foi identificada no Oracle E-Business Suite, um software amplamente utilizado para gerenciar recursos humanos, finanças e cadeias de suprimentos. Os hackers, associados ao grupo de ransomware Clop, tentaram extorquir a empresa em setembro, após a descoberta da brecha. Os dados comprometidos incluem informações sensíveis como nome completo, número de conta bancária, documentos de identidade e dados fiscais. A empresa IDX, especializada em proteção contra roubo de identidade, ofereceu serviços gratuitos aos afetados, recomendando medidas como o congelamento de segurança nos cartões de crédito. Este incidente ressalta a importância de monitorar e proteger sistemas críticos, especialmente em um cenário onde a segurança da informação é cada vez mais desafiadora.

Recentemente, a vila de Mundelein, Illinois, notificou vítimas de uma violação de dados ocorrida em janeiro de 2025, onde informações pessoais sensíveis foram comprometidas. Entre os dados vazados estão números de Seguro Social, informações financeiras, dados médicos e números de identificação emitidos pelo estado, como carteiras de motorista e passaportes. O grupo de ransomware Medusa reivindicou a responsabilidade pelo ataque, alegando ter roubado 118 GB de dados do Distrito de Parques e Recreação de Mundelein. Após a violação, Medusa exigiu um resgate inicial de $400,000, que foi posteriormente reduzido para $250,000. A vila ainda não confirmou a veracidade das alegações do grupo ou se um resgate foi pago. Para mitigar os danos, Mundelein está oferecendo 24 meses de monitoramento de crédito gratuito para as vítimas afetadas. O incidente destaca a crescente ameaça de ataques de ransomware a entidades governamentais, com 69 ataques confirmados nos EUA em 2025, comprometendo dados de aproximadamente 450,000 pessoas.

O grupo de ameaças da Coreia do Norte, responsável pela campanha Contagious Interview, alterou suas táticas ao utilizar serviços de armazenamento JSON, como JSON Keeper e JSONsilo, para hospedar e entregar cargas maliciosas. Segundo pesquisadores da NVISO, a campanha envolve abordagens a alvos em redes profissionais, como o LinkedIn, sob o pretexto de avaliações de emprego ou colaborações em projetos. Os alvos são instruídos a baixar projetos de demonstração hospedados em plataformas como GitHub, onde arquivos maliciosos estão disfarçados. Um exemplo encontrado contém um valor codificado em Base64 que, na verdade, é um URL para um serviço JSON, onde a carga maliciosa é armazenada de forma ofuscada. O malware, denominado BeaverTail, coleta dados sensíveis e instala um backdoor em Python chamado InvisibleFerret. Além disso, a campanha também utiliza um payload adicional chamado TsunamiKit, que foi destacado pela ESET em setembro de 2025. Os pesquisadores alertam que a utilização de sites legítimos para a entrega de malware demonstra a intenção dos atacantes de operar de forma furtiva, visando comprometer desenvolvedores de software e exfiltrar informações sensíveis.

A Cisco anunciou o desenvolvimento de uma nova inteligência artificial (IA) que utiliza 30 anos de dados sobre ataques cibernéticos para aprimorar a segurança digital. O projeto visa expandir o modelo Foundation-Sec-8B, que atualmente opera com 8 bilhões de parâmetros, para 17 bilhões, aumentando a precisão na detecção de ameaças. Raj Chopra, vice-presidente sênior da Cisco, destacou que o foco não é criar um sucessor, mas sim um modelo expandido que utilize um vasto arsenal de informações coletadas ao longo das últimas três décadas, incluindo incidentes e manuais de treinamento. A equipe de especialistas em segurança digital da Cisco liderará esse processo, que deve ser concluído até o final do ano. Além disso, a empresa está desenvolvendo novos modelos de IA para complementar essa versão atualizada, com o objetivo de apoiar os profissionais de segurança no combate ao cibercrime com ferramentas mais sofisticadas.

Pesquisadores da Socket identificaram uma extensão maliciosa chamada Safery: Ethereum Wallet, disponível na Chrome Web Store, que se disfarça como uma carteira de criptomoedas segura. Desde sua publicação em 29 de setembro de 2025, a extensão tem como objetivo roubar as seed phrases, que são as senhas utilizadas para recuperar carteiras de criptomoedas. A extensão contém uma backdoor que extrai essas frases mnemônicas e as envia disfarçadas como endereços de carteiras Sui, utilizando microtransações de 0,000001 SUI para ocultar o roubo. Essa técnica permite que os hackers obtenham as seed phrases sem a necessidade de um servidor de comando e controle, tornando o ataque mais difícil de detectar. Os especialistas recomendam que usuários de criptomoedas utilizem apenas extensões confiáveis e conhecidas, além de sugerirem que organizações realizem escaneamentos em busca de códigos maliciosos em extensões instaladas. A extensão ainda está disponível para download, o que representa um risco significativo para os usuários de criptomoedas.

O ransomware Akira está ampliando seu alcance ao atacar arquivos de disco de máquinas virtuais (VMs) da Nutanix AHV, conforme relatado por agências de segurança dos EUA, incluindo a CISA. Desde junho de 2025, o grupo tem explorado uma vulnerabilidade crítica no SonicWall SonicOS, identificada como CVE-2024-40766, que permite acesso não autorizado a recursos, resultando em falhas nos firewalls. Além disso, o Akira utiliza vulnerabilidades em servidores Veeam Backup & Replication para movimentação lateral e exclusão de backups. Até setembro de 2025, o grupo já havia extorquido mais de US$ 240 milhões em ataques de ransomware. A CISA recomenda que os usuários mantenham seus softwares atualizados e implementem autenticação multifatorial (MFA) para se protegerem contra essas ameaças. O ataque ao Nutanix AHV não é surpreendente, dado que o Akira já havia atacado outras soluções de virtualização, como VMware ESXi e Hyper-V. A situação destaca a necessidade urgente de medidas de segurança robustas em ambientes virtuais.

Pesquisadores de segurança descobriram uma vulnerabilidade crítica no Cursor, um editor de código popular impulsionado por IA, que permite a atacantes executar código JavaScript arbitrário através de servidores Model Context Protocol (MCP) maliciosos. A falha explora a falta de verificação de integridade nas funcionalidades específicas do Cursor, ao contrário dos controles de segurança mais robustos do VS Code. Ao registrar um servidor MCP local, os atacantes conseguem contornar as proteções embutidas e injetar JavaScript malicioso diretamente no DOM do navegador. O ataque pode roubar credenciais ao substituir páginas de login legítimas por interfaces de phishing, coletando informações do usuário sem que ele perceba. Essa vulnerabilidade não se limita ao roubo de credenciais, pois permite que os atacantes realizem qualquer ação que o usuário possa executar, escalando privilégios e modificando componentes do sistema. A situação é alarmante, pois os servidores MCP operam com permissões amplas, tornando-se alvos atrativos para ameaças. Os desenvolvedores devem revisar cuidadosamente todos os servidores MCP e extensões antes da instalação e implementar camadas adicionais de segurança. As organizações devem monitorar o uso de servidores MCP e considerar soluções empresariais que ofereçam proteção contra ataques à cadeia de suprimentos.

Uma recente campanha de malware ilustra o uso contínuo de cadeias de infecção em múltiplas etapas para contornar controles de segurança e entregar o ladrão de informações FormBook. O ataque começa com um e-mail contendo um anexo ZIP, que se desdobra em uma sequência complexa de scripts ofuscados. O arquivo ZIP inicial contém um script em Visual Basic (VBS) que, apesar de sua aparência simples, possui camadas de ofuscação para ocultar seu verdadeiro propósito. O script inicia um loop de atraso e constrói um comando PowerShell, que é executado em um novo processo. A camada PowerShell é fortemente ofuscada, utilizando funções específicas para reconstruir e executar fragmentos de código malicioso. O script tenta baixar o próximo payload de um link do Google Drive, que é então injetado em um processo legítimo, resultando na execução de uma variante do FormBook. Este malware é projetado para coletar credenciais, capturas de tela e pressionamentos de tecla, comunicando-se com um servidor de comando e controle. A campanha destaca a importância de não limitar a engenharia reversa a binários executáveis, pois infecções modernas dependem de scripts leves e processos confiáveis para entregar payloads poderosos e furtivos.

Um ataque cibernético em larga escala, realizado quase inteiramente por inteligência artificial, foi revelado pela Anthropic. O incidente, que ocorreu em setembro de 2025, envolveu hackers patrocinados pelo Estado chinês que utilizaram a IA Claude Code para comprometer cerca de 30 alvos globais, incluindo grandes empresas de tecnologia, instituições financeiras e agências governamentais. A campanha de espionagem se destacou pela automação sem precedentes, com a IA gerenciando 80-90% das operações, exigindo intervenção humana apenas em 4-6 pontos críticos. Os atacantes exploraram capacidades avançadas da IA, como execução de tarefas complexas e operação autônoma, para realizar reconhecimento, desenvolver códigos de exploração e exfiltrar dados classificados. A Anthropic detectou a atividade suspeita e iniciou uma investigação, resultando na identificação de contas comprometidas e na notificação das organizações afetadas. Este incidente sinaliza uma diminuição nas barreiras para ataques cibernéticos sofisticados, permitindo que grupos menos experientes realizem operações que antes exigiam recursos significativos. A empresa recomenda que equipes de segurança experimentem aplicações de IA para melhorar a detecção de ameaças e a resposta a incidentes.

O TaskHound é uma ferramenta inovadora que visa detectar tarefas agendadas no Windows que operam com privilégios elevados e credenciais armazenadas, um alvo atrativo para atacantes que buscam movimentação lateral e escalonamento de privilégios. Muitas organizações configuram essas tarefas de forma inadequada, permitindo que credenciais sejam armazenadas em disco, o que as torna vulneráveis a ataques. O TaskHound automatiza a identificação dessas tarefas em ambientes Active Directory, economizando tempo e reduzindo erros em avaliações de segurança. Ele destaca tarefas críticas que rodam como administradores de domínio e integra-se ao BloodHound, permitindo uma análise contextualizada das rotas de ataque. Além disso, a ferramenta analisa datas de alteração de senhas em relação às datas de criação das tarefas, identificando credenciais obsoletas que podem ser exploradas. O TaskHound opera em modos online e offline, facilitando a análise em diferentes cenários. Para as operações defensivas, ele ajuda a identificar tarefas que merecem investigação imediata, reforçando a importância da gestão adequada de acessos privilegiados e da auditoria regular do Active Directory.

Em setembro de 2025, atores de ameaças patrocinados pelo Estado da China utilizaram tecnologia de inteligência artificial (IA) desenvolvida pela Anthropic para realizar uma campanha de ciberespionagem sofisticada. Os atacantes empregaram as capacidades ‘agentes’ da IA para executar ataques cibernéticos de forma autônoma, sem intervenção humana significativa. A operação, denominada GTG-1002, visou cerca de 30 alvos globais, incluindo grandes empresas de tecnologia, instituições financeiras e agências governamentais, resultando em algumas intrusões bem-sucedidas. A Anthropic identificou que a IA foi utilizada para realizar diversas etapas do ciclo de ataque, como reconhecimento, descoberta de vulnerabilidades e exfiltração de dados. Embora a operação tenha demonstrado um uso inovador da IA, também revelou limitações, como a tendência da IA de ‘alucinar’ dados, o que pode comprometer a eficácia das operações. Este incidente destaca a evolução das táticas de ciberataques, onde grupos menos experientes podem potencialmente realizar ataques em larga escala com o suporte de sistemas de IA.

No terceiro trimestre de 2025, a pesquisa da Check Point revelou um aumento alarmante no número de grupos de ransomware ativos, totalizando 85, o maior já registrado. Esses grupos foram responsáveis pela divulgação de 1.592 novas vítimas em mais de 85 sites de vazamento, indicando uma atividade intensa e contínua, mesmo sob pressão das autoridades. A fragmentação do mercado de ransomware, antes dominado por grandes grupos de Ransomware-as-a-Service (RaaS), agora abriga uma variedade de operações menores e independentes, dificultando a atribuição de ataques e a eficácia das estratégias de defesa. Apesar de operações de desmantelamento de grupos como RansomHub e 8Base, a quantidade de ataques não diminuiu, pois os afiliados se reorganizam rapidamente. A reemergência do LockBit com sua versão 5.0 sugere uma possível recente centralização, oferecendo uma estrutura que pode atrair novos afiliados. Além disso, a evolução do DragonForce, que busca visibilidade através de parcerias e serviços de auditoria de dados, reflete uma mudança no marketing dentro do cibercrime. Com os Estados Unidos como principal alvo, a situação exige atenção redobrada das equipes de segurança cibernética, que devem se adaptar a um cenário em constante mudança.

O grupo de ameaças patrocinado pelo Estado iraniano, conhecido como APT42, está em uma nova campanha de espionagem, chamada SpearSpecter, que visa indivíduos e organizações de interesse do Corpo da Guarda Revolucionária Islâmica (IRGC). Detectada em setembro de 2025, a campanha utiliza táticas de engenharia social personalizadas, como convites para conferências de prestígio, visando principalmente altos funcionários do governo e da defesa. O grupo é conhecido por sua habilidade em criar campanhas de engenharia social convincentes, muitas vezes se passando por contatos conhecidos para ganhar a confiança das vítimas antes de enviar links maliciosos. A campanha também se estende a familiares dos alvos, ampliando a superfície de ataque. O ataque envolve o uso de um backdoor em PowerShell chamado TAMECAT, que permite acesso persistente e exfiltração de dados. O TAMECAT se comunica através de canais como HTTPS, Discord e Telegram, aumentando a resiliência do ataque. A infraestrutura da campanha combina serviços de nuvem legítimos com recursos controlados pelos atacantes, refletindo um alto nível de sofisticação e segurança operacional.

Pesquisadores de cibersegurança identificaram vulnerabilidades críticas de execução remota de código em motores de inferência de inteligência artificial (IA) de grandes empresas como Meta, Nvidia e Microsoft, além de projetos open-source como vLLM e SGLang. O problema central está relacionado ao uso inseguro do ZeroMQ (ZMQ) e à desserialização do Python, resultando em um padrão denominado ShadowMQ. A vulnerabilidade mais significativa foi encontrada no framework Llama da Meta (CVE-2024-50050), que permitia a execução de código arbitrário ao desserializar dados maliciosos. Outras plataformas, como NVIDIA TensorRT-LLM e Microsoft Sarathi-Serve, também apresentaram falhas semelhantes. A exploração dessas vulnerabilidades pode permitir que atacantes executem código arbitrário, escalem privilégios e até realizem roubo de modelos de IA. Com a rápida evolução dos projetos de IA, a reutilização de código inseguro se torna um risco crescente. Além disso, um novo relatório revelou que técnicas de injeção de JavaScript podem comprometer navegadores integrados em editores de código, aumentando ainda mais as preocupações de segurança. É crucial que as empresas adotem medidas de mitigação, como desativar recursos de execução automática e auditar servidores de integração.

Uma grave vulnerabilidade zero-day no Fortinet FortiWeb está sendo ativamente explorada por cibercriminosos, permitindo acesso total a contas de administrador do firewall de aplicações web sem necessidade de autenticação. Essa falha de segurança afeta organizações globalmente que utilizam o FortiWeb para proteger suas aplicações web contra tráfego malicioso. A vulnerabilidade foi divulgada em 6 de outubro de 2025, após ser descoberta por pesquisadores da empresa Defused, que a identificaram em sua infraestrutura de honeypots. Testes realizados pela Rapid7 confirmaram a eficácia do exploit contra a versão 8.0.1 do FortiWeb, lançada em agosto de 2025, permitindo a criação de contas de administrador maliciosas. Embora a versão mais recente, 8.0.2, tenha mostrado respostas de ‘403 Forbidden’ durante tentativas de exploração, organizações que ainda operam versões anteriores enfrentam riscos significativos. A Fortinet ainda não forneceu orientações oficiais ou um identificador CVE para essa vulnerabilidade, o que levanta preocupações sobre sua abrangência. As organizações são aconselhadas a atualizar imediatamente para a versão 8.0.2 ou a remover interfaces de gerenciamento da exposição pública na internet.

A Checkout.com, processadora de pagamentos, revelou um vazamento significativo de dados após um ataque direcionado do grupo cibercriminoso ShinyHunters. O incidente levantou preocupações imediatas no setor fintech, mas a resposta rápida da empresa e sua comunicação transparente trouxeram alguma tranquilidade para seus parceiros comerciais e clientes. O ataque ocorreu devido à exploração de um sistema de armazenamento em nuvem legado, que estava acessível desde 2020 e continha registros internos sensíveis e informações de integração de comerciantes. A investigação da Checkout.com indicou que cerca de 25% de sua base atual de comerciantes poderia ser afetada. Apesar da demanda de resgate feita pelos criminosos, a empresa se recusou a pagar e, em vez disso, decidiu doar um valor equivalente para iniciativas de pesquisa em cibersegurança em instituições renomadas, como a Universidade Carnegie Mellon e o Centro de Cibersegurança da Universidade de Oxford. Este incidente destaca a vulnerabilidade representada por sistemas legados e a importância de uma gestão de infraestrutura abrangente. A Checkout.com se comprometeu a fortalecer sua postura de segurança e a apoiar os comerciantes afetados, mantendo canais de comunicação abertos para quaisquer preocupações.

A Microsoft anunciou uma nova funcionalidade de segurança no Teams Premium chamada “Prevenir captura de tela”, que visa bloquear capturas de tela e gravações durante reuniões sensíveis. Essa atualização, que será implementada globalmente até o final de novembro de 2025, surge em resposta ao aumento das preocupações sobre vazamentos de dados não autorizados em ambientes de colaboração virtual, especialmente em setores como finanças, saúde e jurídico, onde informações confidenciais são frequentemente compartilhadas.

Pesquisadores de cibersegurança alertam sobre uma vulnerabilidade de bypass de autenticação no Fortinet FortiWeb WAF, que pode permitir que atacantes assumam contas de administrador e comprometam completamente o dispositivo. A equipe watchTowr identificou a exploração ativa dessa vulnerabilidade, que foi silenciosamente corrigida na versão 8.0.2 do produto. A falha permite que atacantes realizem ações como usuários privilegiados, com foco na adição de novas contas de administrador como um mecanismo de persistência. A empresa conseguiu reproduzir a vulnerabilidade e criou uma prova de conceito, além de disponibilizar uma ferramenta para identificar dispositivos vulneráveis. O vetor de ataque envolve o envio de um payload específico via requisição HTTP POST para criar contas de administrador. Até o momento, a identidade do ator por trás dos ataques é desconhecida, e a Fortinet ainda não publicou um aviso oficial ou atribuiu um identificador CVE. A Rapid7 recomenda que organizações que utilizam versões anteriores à 8.0.2 do FortiWeb tratem a vulnerabilidade com urgência, já que a exploração indiscriminada sugere que dispositivos não corrigidos podem já estar comprometidos.

Documentos obtidos pela Reuters revelam que a Meta, empresa responsável por plataformas como Facebook, Instagram e WhatsApp, obteve 10% de seu lucro anual em 2024, equivalente a US$ 16 bilhões, a partir de anúncios relacionados a fraudes e produtos ilegais. A investigação aponta que, ao longo de três anos, a Meta falhou em identificar e mitigar anúncios que direcionam usuários a lojas virtuais fraudulentas, golpes de investimento e comércio de produtos proibidos. Apesar de um porta-voz da Meta afirmar que os números foram inflacionados e que a empresa tomou medidas para reduzir esses anúncios, os documentos indicam que a companhia prioriza o lucro em vez de proteger os usuários. Em 2023, 96% dos 100.000 relatos de fraudes feitos pelos usuários foram ignorados. Embora a Meta tenha removido mais de 134 milhões de conteúdos fraudulentos em 2025, a documentação sugere que ainda é mais fácil anunciar fraudes em suas plataformas do que em concorrentes como o Google. A empresa planeja reduzir gradualmente o lucro proveniente de anúncios ilícitos, mas sem ações imediatas, mantendo uma política reativa em relação a regulamentações.

A Google entrou com um processo judicial no distrito de Nova York contra um grupo de hackers da China, conhecido por operar uma plataforma de phishing-as-a-service (PhaaS) chamada Lighthouse. Este grupo é acusado de realizar golpes massivos de smishing, afetando mais de 1 milhão de usuários em 120 países, utilizando a confiança em marcas como E-ZPass e USPS para enganar as vítimas. Os golpistas exploraram a reputação da Google e de outras empresas, criando sites fraudulentos que imitavam suas marcas, resultando em lucros estimados em até US$ 1 bilhão nos últimos três anos. A empresa está tomando medidas legais para desmantelar essa infraestrutura criminosa, com base em leis anticorrupção e de fraude computacional. A operação, conhecida como Smishing Triad, está ligada a mais de 17.500 domínios de phishing e comprometeu entre 12,7 milhões e 115 milhões de pagamentos por cartão nos Estados Unidos entre julho de 2023 e outubro de 2024. A evolução das ferramentas de cibercrime, como o Ghost Tap, também foi destacada, permitindo que os golpistas adicionassem detalhes de cartões de crédito a carteiras digitais em dispositivos móveis.

Uma operação coordenada pela Europol e Eurojust, chamada Operação Endgame, resultou no desmantelamento de uma rede criminosa que disseminava malwares como Rhadamanthys Stealer e Venom RAT, além do bot Elysium. A ação, que ocorreu em 10 de novembro de 2025, levou à prisão do principal suspeito na Grécia e à desativação de mais de mil servidores, além da apreensão de cerca de 20 domínios. Segundo a Europol, a rede de malware afetou centenas de milhares de computadores em todo o mundo, resultando no roubo de milhões de credenciais. O Rhadamanthys Stealer, por exemplo, coletava informações de dispositivos sem que as vítimas percebessem, enquanto o Venom RAT estava associado a ataques de ransomware. A operação também revelou que o cibercriminoso investigado havia coletado cerca de 100 mil carteiras de criptomoedas, representando um valor significativo em euros. A investigação continua, especialmente em relação ao bot Elysium, cuja relação com os outros malwares ainda está sendo analisada.

Cibercriminosos estão utilizando uma nova onda de ataques de phishing que se disfarçam como alertas de filtros de spam internos e notificações de mensagens seguras corporativas. O objetivo é roubar credenciais de e-mail, convencendo os destinatários de que algumas de suas mensagens legítimas foram atrasadas após uma atualização de sistema de segurança. Os e-mails, que aparentam ser profissionais, afirmam que mensagens específicas estão pendentes e precisam ser movidas manualmente para a caixa de entrada. Ao clicar em um botão que parece inofensivo, os usuários são redirecionados para um site de phishing que utiliza domínios confiáveis para evitar filtros de segurança. A página de phishing é altamente realista, com um formulário de login personalizado que solicita o e-mail e a senha do usuário, utilizando uma conexão WebSocket para roubo de dados em tempo real. Pesquisadores alertam que a melhor defesa é a conscientização sobre segurança, recomendando que os funcionários verifiquem a autenticidade de alertas inesperados e utilizem autenticação multifatorial. A crescente complexidade desses ataques indica uma evolução nas operações de phishing, tornando-as mais automatizadas e adaptativas.

Uma campanha de phishing em larga escala, atribuída a um grupo de ameaças de língua russa, tem como alvo clientes da indústria de hospitalidade, especialmente hóspedes de hotéis. Desde o início de 2025, mais de 4.300 domínios foram registrados para essa atividade, com 685 deles contendo o nome ‘Booking’, além de outros nomes populares como ‘Expedia’ e ‘Airbnb’. A campanha, que começou em fevereiro, utiliza um kit de phishing sofisticado que personaliza a página apresentada ao visitante com base em um identificador único na URL. Os ataques começam com e-mails de phishing que incentivam os destinatários a clicar em links para confirmar reservas, levando-os a sites falsos que imitam marcas conhecidas. Esses sites suportam 43 idiomas e utilizam um sistema de cookies para manter a aparência de marca durante a navegação. Após a inserção de dados do cartão de crédito, os atacantes tentam processar transações em segundo plano, enquanto uma janela de ‘chat de suporte’ aparece para enganar a vítima. A identidade do grupo por trás da campanha ainda é desconhecida, mas o uso de comentários em russo no código sugere sua origem. A campanha se alinha com outras atividades de phishing que visam a indústria hoteleira, levantando preocupações sobre a segurança de dados e conformidade com a LGPD.

A Microsoft lançou um pacote de correções em 11 de novembro de 2025, abordando 63 falhas de segurança no Windows, incluindo uma vulnerabilidade crítica de dia zero, identificada como CVE-2025-62215. Dentre as falhas corrigidas, quatro foram classificadas como críticas e 59 como importantes. As vulnerabilidades incluem 29 relacionadas à escalada de privilégios, 16 à execução remota de código e 11 à divulgação de informações. A falha de dia zero, descoberta pelo Centro de Inteligência de Ameaças da Microsoft, permitia que um invasor, já com acesso ao sistema, aumentasse seus privilégios localmente devido a uma condição de corrida no kernel do Windows. Essa falha poderia permitir que hackers sobrescrevessem a memória do sistema, sequestrando o fluxo de execução. A Microsoft não divulgou detalhes sobre a exploração da vulnerabilidade, mas especialistas acreditam que ela pode ter sido utilizada em ataques de phishing ou outras falhas. As correções se somam a 27 vulnerabilidades já solucionadas desde a última atualização de segurança do Edge, em outubro de 2025.

Um ataque cibernético coordenado, conhecido como ‘IndonesianFoods worm’, foi descoberto por Paul McCarty, revelando a infiltração de mais de 43.000 pacotes de spam no registro npm ao longo de quase dois anos. Os atacantes utilizaram pelo menos 11 contas controladas para publicar uma quantidade sem precedentes de pacotes, que representaram mais de 1% do ecossistema npm, sem serem detectados por scanners de segurança automatizados.

Os pacotes, que se disfarçavam como projetos legítimos do Next.js, continham scripts maliciosos inativos que, quando executados manualmente, permitiam a publicação rápida de novos pacotes a cada 7 a 10 segundos. Além disso, a campanha explorou um sistema de recompensa baseado em blockchain, o TEA, para monetizar suas ações, inflacionando artificialmente suas pontuações de impacto no open-source.