Dados Pessoais

A Polícia Civil do Rio de Janeiro liderou uma operação histórica contra o roubo e a venda de celulares, resultando na prisão de mais de 700 suspeitos e na devolução de 2,8 mil aparelhos aos seus donos. A Operação Rastreio, que começou em maio de 2025 com a prisão de Alan Gonçalves, um especialista em desbloqueio de celulares, revelou uma rede criminosa que não apenas desbloqueava dispositivos furtados, mas também tentava acessar dados bancários das vítimas. Durante a operação, foram cumpridos 132 mandados de busca e apreensão em 11 estados, incluindo São Paulo e Minas Gerais, e recuperados 10 mil celulares. A ação contou com o apoio do Ministério da Justiça e Segurança Pública e de polícias civis de outros estados. A operação destaca a crescente preocupação com a segurança dos dados dos usuários e a necessidade de medidas mais rigorosas para combater o furto e a receptação de celulares no Brasil.

O Google expandiu a funcionalidade Deep Research do modelo de IA Gemini, permitindo que ele acesse dados diretamente das contas de Gmail, Google Drive e Google Chat dos usuários. Essa atualização possibilita a integração de e-mails pessoais, documentos, planilhas, apresentações e conversas em relatórios de pesquisa abrangentes, combinando informações internas com dados da web. Essa nova capacidade visa facilitar a colaboração entre profissionais e equipes, permitindo, por exemplo, que análises de mercado sejam iniciadas com documentos compartilhados do Drive e discussões em chats. No entanto, essa integração levanta preocupações significativas de segurança cibernética, uma vez que usuários podem expor dados confidenciais, como estratégias empresariais e comunicações com clientes, ao ecossistema de processamento do Google. Especialistas em segurança alertam para riscos como ataques de injeção de prompt, onde entradas maliciosas podem manipular a IA para vazar informações privadas. A Google recomenda que os usuários habilitem a autenticação de dois fatores e revisem regularmente os logs de acesso. Antes de utilizar a Deep Research com dados sensíveis, as organizações devem realizar avaliações de segurança rigorosas e estabelecer políticas claras sobre quais fontes de dados podem ser compartilhadas com ferramentas de IA.

A Google anunciou uma atualização no Chrome que permite ao navegador armazenar informações pessoais sensíveis, como números de passaporte e carteiras de motorista, além de dados comuns como nome e endereço. O Gerente Sênior de Produtos da Google, Nico Hersh, garantiu que todos os dados serão criptografados para proteger os usuários contra acessos não autorizados. A nova funcionalidade de preenchimento automático, que já está disponível, é desativada por padrão e pode ser ativada nas configurações do navegador. Os usuários têm controle total sobre quais dados são salvos e podem excluí-los a qualquer momento. Apesar das promessas de segurança, o artigo ressalta que nenhuma ferramenta é 100% segura e que a proteção dos dados depende de fatores como a segurança da conta Google e a habilidade do usuário em identificar tentativas de phishing. Recomenda-se manter o navegador e o sistema operacional atualizados, usar autenticação em duas etapas e evitar o uso da ferramenta em dispositivos públicos ou compartilhados.

Uma nova campanha de cibercriminosos tem se aproveitado da popularidade do WhatsApp e de ferramentas de inteligência artificial para roubar dados pessoais dos usuários. Identificada pela empresa de segurança Appknox, a campanha envolve aplicativos falsos que imitam a interface do WhatsApp, ChatGPT e DALL·E, disponíveis em lojas digitais alternativas. Esses aplicativos maliciosos, como o WhatsApp Plus, solicitam permissões excessivas, como acesso a SMS e registros de chamadas, permitindo que os criminosos capturem informações sensíveis sem o consentimento dos usuários. O malware pode operar mesmo quando o aplicativo está fechado, utilizando bibliotecas nativas para monitorar atividades. A Appknox alerta que a falha nos mecanismos de verificação de aplicativos torna a situação ainda mais crítica, exigindo uma vigilância constante nas lojas de aplicativos e a educação dos usuários sobre a instalação de aplicativos apenas em plataformas oficiais. A descoberta dessa campanha é um sinal de alerta para empresas, pois dispositivos comprometidos podem ser usados para roubar códigos de verificação bancária e facilitar fraudes.

O uso de VPNs gratuitas tem se tornado comum entre usuários que buscam privacidade online, mas essas ferramentas podem apresentar riscos significativos à segurança. Muitas VPNs gratuitas monetizam seus serviços coletando e vendendo dados dos usuários, o que contraria o propósito de proteção da privacidade. Além disso, algumas dessas VPNs podem conter malware ou falhas de segurança que expõem os dados pessoais dos usuários. É essencial que os usuários compreendam que, embora a ideia de uma VPN gratuita seja atraente, a falta de transparência e a possibilidade de exploração de dados podem resultar em consequências graves. Para garantir uma navegação segura, é recomendável optar por serviços de VPN pagos e confiáveis, que oferecem criptografia robusta e políticas claras de privacidade. A escolha de uma VPN deve ser feita com cautela, considerando a reputação do provedor e as práticas de segurança adotadas.

A Mozilla anunciou novas exigências de transparência para a coleta de dados por extensões do Firefox, que entrarão em vigor em 3 de novembro de 2025. Todas as extensões recém-submetidas deverão declarar se coletam ou transmitem dados pessoais diretamente no arquivo de configuração manifest.json. Essa medida visa aumentar a conscientização dos usuários sobre como as extensões lidam com informações sensíveis. Os desenvolvedores deverão utilizar a chave browser_specific_settings.gecko.data_collection_permissions para especificar suas práticas de coleta de dados, sendo que extensões que não coletam dados devem declarar isso explicitamente. As informações sobre a coleta de dados serão exibidas durante o processo de instalação da extensão e também nas páginas de listagem no addons.mozilla.org e na seção Permissões e Dados da página about:addons do Firefox. Embora as novas regras se apliquem apenas a extensões novas, a Mozilla planeja expandir essas exigências para todas as extensões até o primeiro semestre de 2026. Essa iniciativa reflete o compromisso da Mozilla com a proteção da privacidade dos usuários e a necessidade de um design de navegador centrado na privacidade.

A NordVPN realizou uma ação impactante em Times Square, onde três hackers éticos interagiram com o público para desmistificar a segurança online. A campanha surgiu após uma pesquisa alarmante que revelou que 73% dos americanos acreditam que seus softwares antivírus os protegem de roubo de identidade e garantem privacidade online. No entanto, os especialistas destacaram que o papel principal dos antivírus é proteger dispositivos contra malware, e não garantir segurança total na internet. Durante a ação, os hackers mostraram aos participantes como seus dados pessoais, como senhas e endereços, estavam expostos online, gerando surpresa e choque. A NordVPN enfatizou que, embora uma VPN não seja uma solução mágica, é uma ferramenta essencial para minimizar a pegada digital e aumentar a segurança, especialmente ao usar redes Wi-Fi públicas. A empresa também disponibiliza um monitor de dark web para ajudar os usuários a verificar se seus dados estão expostos. A campanha visa alertar sobre a falsa sensação de segurança que muitos têm em relação à proteção online.

No final de semana, a SimonMed Imaging confirmou que 1.275.669 pessoas foram afetadas por uma violação de dados em janeiro de 2025, atribuída ao grupo de ransomware Medusa, que exigiu um resgate de US$ 1 milhão. Este incidente se torna a segunda maior violação de dados do ano no setor de saúde e a sexta em todos os setores. A SimonMed foi alertada por um de seus fornecedores sobre um incidente de segurança em 27 de janeiro, e, após uma revisão, identificou atividades suspeitas em sua rede no dia seguinte. Os dados comprometidos incluem informações pessoais e médicas, como nomes, endereços, números de registro médico e informações de seguro de saúde. Medusa reivindicou a responsabilidade pelo ataque e listou a SimonMed em seu site, exigindo o resgate. Até agora, 140 ataques confirmados do grupo resultaram na violação de mais de 4,5 milhões de registros, com um foco crescente em organizações de saúde. Em 2025, já foram registrados 65 ataques a provedores de saúde nos EUA, totalizando mais de 7,5 milhões de registros comprometidos. O ataque à SimonMed é o maior até agora, superando outros incidentes significativos no setor de saúde.

O uso de VPNs gratuitas, que antes eram vistas como ferramentas de proteção online, agora levanta sérias preocupações sobre a privacidade dos usuários. Um estudo da Zimperium zLabs revelou que muitas dessas aplicações solicitam permissões excessivas e utilizam códigos desatualizados, expondo os usuários a riscos de vigilância. Algumas VPNs pedem acesso a informações sensíveis, como logs do sistema e localização em tempo real, o que pode transformá-las em ferramentas de espionagem. Além disso, muitas dessas aplicações ainda utilizam bibliotecas OpenSSL vulneráveis, como a que foi afetada pelo bug Heartbleed de 2014, e não validam corretamente os certificados, aumentando o risco de ataques man-in-the-middle. A pesquisa não revelou quais aplicativos estão envolvidos, deixando os usuários em uma posição vulnerável ao escolherem serviços gratuitos. Para garantir a segurança, é aconselhável optar por provedores que realizam auditorias independentes e que têm políticas de privacidade transparentes, evitando permissões invasivas.

Uma pesquisa da Zimperium zLabs analisou 800 aplicativos de VPN gratuitos para Android e iOS, revelando falhas críticas de segurança. Muitos desses aplicativos apresentam comportamentos maliciosos, como vazamento de dados pessoais e falta de privacidade. Três aplicativos ainda utilizam uma versão desatualizada da biblioteca OpenSSL, tornando os usuários vulneráveis ao bug Heartbleed, que permite acesso remoto a informações sensíveis. Além disso, 1% dos aplicativos analisados são suscetíveis a ataques man-in-the-middle, possibilitando a interceptação de dados. A pesquisa também destacou problemas de permissões excessivas, como um aplicativo de iOS que solicita acesso à localização o tempo todo, o que é desnecessário para uma VPN. A falta de transparência é um problema recorrente, com 25% dos aplicativos na App Store não apresentando um manifesto de privacidade válido. Essa situação é preocupante, especialmente para empresas que adotam políticas de BYOD (Bring Your Own Device), pois os dispositivos pessoais podem comprometer a segurança dos sistemas internos.

O Neon Mobile é um aplicativo que permite aos usuários venderem suas gravações de voz, gerando polêmica sobre privacidade e ética. O app grava ligações telefônicas e paga US$ 0,30 por minuto, com um limite diário de US$ 30. Embora os usuários possam decidir o que fazer com seus dados, a política de privacidade do Neon levanta preocupações sobre o uso e a venda dessas gravações para empresas de inteligência artificial. O app afirma que remove informações pessoais antes de vender os dados, mas não esclarece como os parceiros utilizarão essas gravações. A prática é legal em alguns lugares, mas suscita debates sobre a conscientização dos usuários em relação ao que estão compartilhando. A questão central é se os usuários realmente entendem os riscos envolvidos em vender suas conversas privadas por valores baixos, considerando o potencial uso malicioso por terceiros. O caso do Neon Mobile reflete uma tendência preocupante em que a privacidade é sacrificada em troca de recompensas financeiras mínimas.

Um novo agente malicioso, denominado TA558, está por trás de uma série de ataques a hotéis no Brasil e na América Latina, com o objetivo de roubar dados de cartões de crédito de hóspedes. Os ataques, conhecidos como RevengeHotels, utilizam e-mails de phishing que imitam documentos legítimos, como recibos de reservas, para disseminar o malware VenomRAT. Este trojan de acesso remoto é capaz de evitar a detecção por antivírus e se propaga através de scripts em JavaScript e PowerShell, muitos dos quais apresentam características que sugerem a utilização de inteligência artificial na sua criação.

O ransomware LunaLock emergiu como uma nova ameaça, atacando artistas independentes e clientes de arte digital ao comprometer a plataforma Artists & Clients, um mercado popular para obras encomendadas. Em 8 de setembro de 2025, os operadores do LunaLock anunciaram que conseguiram invadir a infraestrutura da plataforma, exfiltrando arquivos sensíveis e criptografando bancos de dados críticos, exigindo um resgate substancial em criptomoeda. A análise forense preliminar revelou que os atacantes exploraram uma vulnerabilidade zero-day no módulo de autenticação da aplicação web, utilizando uma injeção SQL para contornar a autenticação multifatorial e obter privilégios administrativos. Uma vez dentro, eles implantaram um carregador personalizado que desativou a proteção em tempo real do Windows Defender e um módulo de exfiltração que buscou arquivos de arte e dados pessoais dos clientes, criptografando-os com AES-256-GCM. O ransomware, por sua vez, utilizou RSA-4096 para criptografar os arquivos, adicionando a extensão .luna. Os atacantes ameaçaram publicar os dados roubados em sites de vazamento caso o resgate não fosse pago em até 72 horas. A equipe de segurança da Artists & Clients já tomou medidas, como a desativação dos servidores afetados e a implementação de agentes de detecção e resposta em endpoints para mitigar a situação. Especialistas em cibersegurança recomendam que organizações do setor criativo adotem controles de acesso de menor privilégio e mantenham backups offline para se protegerem contra tais ataques.

A Walt Disney Company concordou em pagar US$ 10 milhões (aproximadamente R$ 54 milhões) à Comissão Federal de Comércio dos Estados Unidos (FTC) devido à coleta indevida de dados pessoais de crianças no YouTube, sem o consentimento dos pais. A questão gira em torno da falha da Disney em marcar corretamente o conteúdo infantil na plataforma, o que levou à coleta de informações de crianças abaixo de 13 anos, em violação à Regra de Proteção de Privacidade Online Infantil (COPPA). A Disney havia marcado seus vídeos como ‘Feito Para Crianças’ (FPC) a nível de canal, mas muitos vídeos individuais foram erroneamente classificados como ‘Não Feito Para Crianças’ (NFPC). Isso resultou na exibição de publicidade direcionada a crianças, o que é proibido pela COPPA. Além da multa, a Disney terá que implementar um novo programa para garantir a correta classificação de seus vídeos e notificar os pais antes de coletar dados pessoais. Este caso destaca a importância da conformidade com as regulamentações de privacidade, especialmente em plataformas que atendem a um público jovem.

Em julho de 2025, a Anthropic revelou ter desmantelado uma operação sofisticada que utilizava seu chatbot Claude, alimentado por inteligência artificial, para realizar roubo e extorsão em larga escala de dados pessoais. O ataque visou pelo menos 17 organizações, incluindo instituições de saúde, serviços de emergência e órgãos governamentais, com os criminosos ameaçando expor publicamente as informações roubadas para forçar o pagamento de resgates que ultrapassavam $500.000. Utilizando o Claude Code em uma plataforma Kali Linux, o ator desconhecido automatizou várias fases do ciclo de ataque, desde a coleta de credenciais até a penetração de redes. O uso de IA permitiu que o atacante tomasse decisões táticas e estratégicas, selecionando quais dados exfiltrar e elaborando demandas de extorsão personalizadas com base em análises financeiras. A Anthropic desenvolveu um classificador personalizado para detectar comportamentos semelhantes e compartilhou indicadores técnicos com parceiros estratégicos. O caso destaca como ferramentas de IA estão sendo mal utilizadas para facilitar operações cibernéticas complexas, tornando a defesa mais desafiadora.

O Healthcare Services Group (HCSG) confirmou que notificou 624.496 pessoas sobre uma violação de dados ocorrida em outubro de 2024, que comprometeu informações pessoais sensíveis, incluindo números de Seguro Social, dados bancários e informações médicas. O grupo de ransomware Underground reivindicou a responsabilidade pelo ataque, alegando ter roubado 1,1 TB de dados, incluindo documentos legais e financeiros confidenciais. A HCSG informou que o acesso não autorizado ocorreu entre 27 de setembro e 3 de outubro de 2024, mas não confirmou se um resgate foi pago. A empresa está oferecendo assistência gratuita de restauração de identidade aos afetados. Embora a HCSG tenha afirmado que o incidente não causou interrupções significativas em suas operações, o ataque destaca a crescente ameaça de ransomware no setor de saúde, onde ataques podem comprometer a segurança e a privacidade dos pacientes. Em 2024, foram registrados 30 ataques a empresas de saúde, comprometendo mais de 196 milhões de registros, com o ataque à HCSG sendo o quarto maior em termos de registros comprometidos.

Um hacker de 26 anos, Al-Tahery Al-Mashriky, foi condenado a 20 meses de prisão por uma campanha de hacking que comprometeu milhões de credenciais de usuários em diversos países. Ele se declarou culpado de nove crimes sob a Lei de Uso Indevido de Computadores no Tribunal de Sheffield, após ser preso pela Agência Nacional de Crime (NCA) em agosto de 2022. A análise forense revelou que Al-Mashriky possuía dados pessoais de mais de 4 milhões de usuários do Facebook e uma coleção de nomes de usuário e senhas de plataformas como Netflix e PayPal. Seus ataques incluíram a exploração de vulnerabilidades em sistemas, utilizando ferramentas automatizadas para identificar falhas e coletar credenciais administrativas. Al-Mashriky estava ligado a grupos hackers extremistas e alegou ter comprometido mais de 3.000 sites em três meses. Seus alvos incluíam organizações governamentais e de mídia, causando interrupções operacionais significativas e custos elevados de recuperação. A NCA destacou a importância da investigação, que demonstrou a capacidade de rastrear cibercriminosos que acreditam que a anonimidade os protege da punição.

O uso de chatbots como o ChatGPT levanta preocupações significativas sobre a privacidade dos dados dos usuários. Recentemente, um incidente envolvendo o compartilhamento de buscas do ChatGPT com o Google gerou alvoroço, pois usuários viram suas perguntas, incluindo dados pessoais, aparecerem em pesquisas na web. A OpenAI, após críticas, removeu a ferramenta de compartilhamento, mas a situação expõe um problema maior: o que as empresas fazem com os dados coletados? Apesar de esforços para remover conteúdo indexado, a OpenAI é legalmente obrigada a reter as perguntas dos usuários, mesmo aquelas deletadas. Isso levanta questões sobre a segurança dos dados, especialmente em um contexto onde hackers podem explorar vulnerabilidades para acessar informações confidenciais. Especialistas alertam que, mesmo sem intenção, usuários podem revelar dados pessoais a IAs, especialmente quando estas são programadas para agir de forma sociável. A recomendação é que os usuários evitem compartilhar informações sensíveis e que as empresas implementem medidas para proteger a privacidade dos dados. O artigo destaca a necessidade de conscientização sobre os riscos associados ao uso de IAs e a importância de ler os Termos e Condições antes de aceitar compartilhar informações.