Google

Em 2025, a Google lançou sua sexta atualização de segurança para o Chrome, corrigindo uma vulnerabilidade zero-day identificada como CVE-2025-10585. Essa falha, considerada severa, é resultado de uma confusão na tipagem do motor JavaScript V8 do navegador. Embora a empresa não tenha confirmado que a falha esteja sendo ativamente explorada, a existência de uma vulnerabilidade pública sugere que hackers podem estar tentando aproveitá-la. As atualizações anteriores, lançadas entre março e julho, abordaram diversas falhas, incluindo problemas de segurança na proteção sandbox e vulnerabilidades que permitiam o roubo de contas. Uma das falhas corrigidas em março foi utilizada em ataques de espionagem contra jornalistas e organizações na Rússia. A nova versão do Chrome, que inclui a correção, já está disponível para Windows, Mac e Linux, e a Google mantém detalhes sobre os bugs em sigilo até que a maioria dos usuários tenha aplicado a atualização. A situação destaca a importância de manter o navegador atualizado para garantir a segurança dos usuários.

A Google confirmou que cibercriminosos conseguiram criar uma conta fraudulenta em seu Sistema de Requerimentos de Garantidores da Lei (LERS), utilizado por autoridades para solicitar dados oficiais. Embora a conta tenha sido desativada e não haja indícios de que dados tenham sido acessados, o incidente levanta preocupações sobre a segurança de informações sensíveis. O grupo de hackers, conhecido como Scattered Lapsus$ Hunters, afirmou ter acesso ao portal LERS e ao sistema de checagem de antecedentes do FBI, o eCheck. Capturas de tela foram divulgadas como supostas provas do acesso. Este grupo já havia atacado outras grandes empresas, como Salesforce e Cloudflare, utilizando engenharia social. A Inteligência Contra Ameaças da Google (Mandiant) está monitorando a situação, mas especialistas duvidam que o grupo realmente cesse suas atividades. O acesso não autorizado a sistemas utilizados por agências de segurança pode permitir que hackers se façam passar por oficiais da lei, aumentando o risco de exposição de dados sensíveis de usuários.

O FBI emitiu um alerta sobre atividades de dois grupos hackers, UNC6040 e UNC6395, que atacaram plataformas Salesforce de várias empresas, incluindo Google e Cloudflare. Os ataques, que começaram no final de 2024, utilizam engenharia social e vishing, onde os golpistas se passam por suporte técnico para induzir funcionários a conectar aplicativos OAuth falsos. Isso resultou no vazamento de dados sensíveis e extorsão por parte do grupo ShinyHunters. O UNC6395, por sua vez, explorou brechas na atualização da plataforma Salesforce Drift, permitindo acesso a informações críticas, como senhas e tokens de autenticação. O FBI ainda investiga os responsáveis, mas o grupo ShinyHunters já reivindicou a autoria dos ataques, que também comprometeram sistemas do FBI. As empresas afetadas incluem gigantes como Adidas, Cisco e Palo Alto Networks, levantando preocupações sobre a segurança de dados e a conformidade com a LGPD no Brasil.

O Google anunciou que seus novos smartphones Pixel 10 suportam o padrão C2PA (Coalition for Content Provenance and Authenticity) para verificar a origem e a história de conteúdos digitais. Essa funcionalidade foi integrada aos aplicativos Pixel Camera e Google Photos, visando aumentar a transparência na mídia digital. As Credenciais de Conteúdo do C2PA são um manifesto digital assinado criptograficamente que fornece uma proveniência verificável para conteúdos digitais, como imagens e vídeos. O aplicativo de câmera do Pixel 10 alcançou o Nível de Garantia 2, a mais alta classificação de segurança definida pelo programa de conformidade do C2PA, sendo essa classificação atualmente exclusiva da plataforma Android. Além disso, os dispositivos Pixel 10 oferecem timestamps confiáveis gerados no próprio dispositivo, garantindo que as imagens capturadas possam ser confiáveis mesmo após a expiração do certificado. Essa inovação é possibilitada por uma combinação do chip de segurança Titan M2 e recursos de segurança integrados ao sistema operacional Android. O Google enfatiza que as Credenciais de Conteúdo do C2PA são um passo importante para aumentar a transparência e a confiança na mídia digital, especialmente em um contexto onde a inteligência artificial está cada vez mais presente na criação de conteúdos.

Um novo ataque de phishing tem utilizado a plataforma AppSheet do Google para roubar credenciais de usuários. Os hackers registram contas no AppSheet e enviam notificações automatizadas que imitam alertas legítimos de sistemas, utilizando e-mails que parecem autênticos e que passam por verificações de segurança como SPF, DKIM e DMARC. Os e-mails contêm links encurtados que redirecionam as vítimas para uma cópia falsa do portal de login do Google Workspace. Uma vez que as credenciais são inseridas, elas são imediatamente coletadas pelos atacantes. Em março de 2025, 10,88% dos e-mails de phishing globalmente utilizaram a infraestrutura do AppSheet. As defesas tradicionais falham em detectar esses ataques, pois confiam na reputação da infraestrutura do Google. Para mitigar esses riscos, é necessário implementar análises contextuais que possam identificar discrepâncias entre o remetente e o conteúdo da mensagem, além de políticas dinâmicas que monitorem interações típicas entre serviços e usuários.

A Comissão Nacional de Informática e Liberdade (CNIL) da França impôs multas significativas a Google e Shein por violarem as regras de consentimento de cookies. Google foi multada em €325 milhões (cerca de R$ 379 milhões) e Shein em €150 milhões (aproximadamente R$ 175 milhões) por instalar cookies de publicidade nos navegadores dos usuários sem obter consentimento adequado. A CNIL destacou que, ao criar uma conta no Google, os usuários eram incentivados a aceitar cookies para anúncios personalizados, sem serem devidamente informados de que essa aceitação era uma condição para acessar os serviços da empresa. Embora Google tenha introduzido uma opção de recusa de cookies em outubro de 2023, a falta de consentimento informado ainda persistiu. Além disso, a CNIL criticou a prática do Google de exibir anúncios em e-mails do Gmail sem o consentimento explícito dos usuários, o que também contraria o Código Postal e de Comunicações Eletrônicas da França. A CNIL deu um prazo de seis meses para que o Google se adeque às normas, sob pena de multas diárias de €100 mil. O caso ocorre em um contexto mais amplo de crescente vigilância sobre a privacidade dos dados, com ações semelhantes sendo tomadas contra outras empresas, como a Disney nos EUA, por violações de privacidade infantil.

Em uma decisão histórica proferida em 3 de setembro de 2025, o Tribunal Distrital dos EUA para o Distrito de Columbia determinou que o Google deve implementar mudanças significativas em suas práticas monopolistas relacionadas à busca e publicidade de busca, sem exigir a venda do navegador Chrome. A corte proibiu o Google de firmar contratos de distribuição exclusiva para seus produtos principais, como Google Search e Chrome, visando aumentar a concorrência no setor. Além disso, o Google foi ordenado a compartilhar dados de busca, incluindo acesso ao seu índice de busca e dados de interação do usuário, com concorrentes, permitindo que eles desenvolvam suas próprias tecnologias de busca. Essa decisão é vista como um passo importante para restaurar a escolha do consumidor e estimular a inovação, já que o Google detém cerca de 90% do mercado de buscas nos EUA. O procurador-geral dos EUA, Pamela Bondi, elogiou a decisão, que foi apoiada por 49 estados e dois territórios, sinalizando um novo capítulo na promoção de mercados competitivos.

O Google anunciou uma nova medida de segurança para a Play Store, chamada Verificação de Desenvolvedor, que entrará em vigor em 2026. Essa iniciativa visa impedir que aplicativos de terceiros, especialmente aqueles de desenvolvedores anônimos, sejam publicados na loja, reduzindo assim o risco de infecções por malware. Desde agosto de 2023, os desenvolvedores já precisam fornecer um número D-U-N-S para publicar aplicativos, o que já ajudou a diminuir a quantidade de malwares. A nova verificação exigirá que todos os aplicativos instalados em dispositivos Android venham de desenvolvedores com identidade verificada pelo Google. A medida é uma resposta ao aumento de malwares, que, segundo o Google, são 50 vezes mais comuns em aplicativos baixados da internet do que na Play Store. A partir de setembro de 2026, a verificação de identidade será obrigatória em países como Brasil, Indonésia, Cingapura e Tailândia, e se expandirá globalmente em 2027. Dispositivos Android certificados, que passaram pelo Teste de Compatibilidade da Google, serão os únicos a permitir a instalação de aplicativos verificados, enquanto dispositivos não certificados continuarão a operar com APKs de desenvolvedores anônimos.

Recentemente, circularam rumores de que o Google havia enviado um alerta de segurança urgente a todos os usuários do Gmail. No entanto, a empresa confirmou que não houve tal notificação em massa. O Gmail utiliza uma estratégia de defesa em camadas, que inclui autenticação de remetente através de protocolos como SPF, DKIM e DMARC, além de análise de conteúdo para detectar anexos maliciosos e URLs embutidos. O sistema de detecção de anomalias, apoiado por modelos de aprendizado de máquina, analisa bilhões de sinais anônimos para identificar comportamentos incomuns. Essa abordagem impede que mais de 99,9% das ameaças de phishing e malware cheguem às caixas de entrada dos usuários. O Google também recomenda que os usuários adotem métodos de autenticação modernos, como Passkeys, que eliminam os riscos associados ao roubo de senhas. Além disso, o Gmail oferece avisos de phishing e incentiva os usuários a reportarem mensagens suspeitas, contribuindo para a melhoria contínua dos algoritmos de detecção. Para aumentar a segurança, o Google sugere que os usuários verifiquem cuidadosamente os endereços dos remetentes e mantenham seus dispositivos atualizados.

O Google desmentiu rumores sobre um ataque hacker que teria exposto 2,5 bilhões de contas do Gmail. Em uma declaração oficial, a empresa afirmou que suas proteções são robustas e eficazes, bloqueando mais de 99,9% das tentativas de phishing e malware. Os boatos surgiram após a divulgação de dois incidentes de segurança que afetaram apenas alguns clientes corporativos, sem comprometer a segurança das contas do Gmail e do Google Workspace. O primeiro incidente envolveu acesso indevido a dados públicos de clientes na plataforma Salesforce, enquanto o segundo se referiu a uma instância do Salesloft Drift, que não afetou outras contas no domínio do Workspace. O Google enfatizou que continua a investir em segurança e recomenda que os usuários adotem práticas como o uso de chaves de acesso para aumentar a proteção de suas contas.

O Google anunciou a correção de uma vulnerabilidade crítica no navegador Chrome, identificada como CVE-2025-9478, com o auxílio de sua inteligência artificial interna, chamada Big Sleep. Essa ferramenta, baseada na tecnologia Gemini, foi capaz de detectar a falha sem intervenção humana, destacando a crescente importância da IA na segurança cibernética. As versões corrigidas do Chrome incluem 139.0.7258.154/155 para Windows e macOS, e 139.0.7258.154 para Linux. A vulnerabilidade estava relacionada à galeria de gráficos Angle e foi classificada como crítica, o que significa que poderia ser explorada para comprometer a segurança dos usuários. Embora a Big Sleep tenha demonstrado eficácia na identificação dessa falha, especialistas em segurança ainda são necessários para validar os diagnósticos, uma vez que a precisão das ferramentas de IA pode variar. Além disso, outros navegadores baseados em Chromium, como Brave, Microsoft Edge e Vivaldi, também precisarão aplicar as correções. O Google recomenda que os usuários atualizem seus navegadores para garantir a proteção contra possíveis explorações dessa vulnerabilidade.

O Google anunciou que começará a verificar a identidade de todos os desenvolvedores que distribuem aplicativos no Android, incluindo aqueles que o fazem fora da Play Store. A medida visa aumentar a responsabilidade e dificultar a distribuição de aplicativos maliciosos. A partir de outubro de 2025, convites para a verificação serão enviados gradualmente, com a implementação total prevista para setembro de 2026 em países como Brasil, Indonésia, Cingapura e Tailândia. A vice-presidente do Android, Suzanne Frey, destacou que todos os aplicativos instalados em dispositivos Android certificados nessas regiões precisarão ser registrados por desenvolvedores verificados. Embora os desenvolvedores que já utilizam a Play Store não enfrentem grandes mudanças, a nova exigência busca impedir que atores maliciosos se façam passar por desenvolvedores legítimos. Além disso, a Google já havia implementado outras medidas de segurança, como a exigência de um número D-U-N-S para novos registros de contas de desenvolvedores organizacionais. Essas mudanças visam proteger os usuários de malware e fraudes, mantendo a escolha do usuário enquanto reforçam a segurança do ecossistema Android.

Em um incidente de segurança significativo, o Google confirmou que o grupo hacker ShinyHunters acessou uma base de dados corporativa da empresa, especificamente uma instância da Salesforce, expondo informações de 2,5 bilhões de usuários. Os dados acessados incluem nomes, informações de contato e descrições de pequenos e médios negócios. Embora senhas e dados sensíveis não tenham sido comprometidos, a invasão aumenta a vulnerabilidade dos usuários a ataques de phishing. O Google agiu rapidamente para mitigar os danos e analisou o impacto do ataque. Os usuários estão sendo alertados sobre tentativas de phishing, onde golpistas se passam por funcionários da empresa para roubar informações. Para se proteger, o Google recomenda a ativação da Verificação de Segurança e do Programa de Proteção Avançada, além do uso de métodos de autenticação mais seguros, como chaves de acesso. Este incidente destaca a importância da segurança cibernética e a necessidade de vigilância constante por parte dos usuários e das empresas.

Um novo ataque de engenharia social sofisticado está direcionado a usuários de contas do Google, onde golpistas se fazem passar por representantes de suporte da empresa para obter informações de login. O ataque começa com tentativas não autorizadas de recuperação de conta, originadas de locais internacionais, como França e Inglaterra, que criam uma sensação de urgência. Após alguns dias, as vítimas recebem chamadas de um número que parece ser o suporte legítimo do Google, +1 (650) 253-0000. O golpista, que fala com um sotaque americano convincente, menciona as tentativas de acesso não autorizado e pede permissão para enviar um prompt de recuperação de conta ao dispositivo da vítima. Durante a ligação, o golpista inicia um processo legítimo de recuperação de conta, fazendo com que a notificação pareça autêntica. No entanto, aceitar essa solicitação concede controle total da conta ao atacante. Os usuários devem estar cientes de que o Google nunca faz chamadas não solicitadas sobre questões de segurança e devem sempre iniciar qualquer processo de recuperação por conta própria. É crucial que os usuários rejeitem qualquer solicitação de recuperação recebida durante chamadas não solicitadas.

No Google Cloud Security Summit 2025, a Google apresentou uma nova suíte de ferramentas de segurança impulsionadas por inteligência artificial, com o objetivo de proteger ecossistemas de IA e fortalecer as defesas organizacionais. As inovações abrangem três áreas principais: proteção de implementações de IA autônomas, suporte a centros de operações de segurança com agentes autônomos e ampliação dos controles de segurança em nuvem.

Entre as novidades, destaca-se o Centro de Comando de Segurança, que agora possui capacidades expandidas para identificação de riscos e inventário de agentes de IA, permitindo a descoberta automatizada de vulnerabilidades. A proteção em tempo real contra ameaças, como injeção de comandos e vazamento de dados sensíveis, foi aprimorada com a extensão do Model Armor. Além disso, um novo agente de investigação de alertas foi introduzido, que realiza investigações dinâmicas para acelerar os tempos de resposta.

O Google lançou uma atualização de segurança crítica para o navegador Chrome, corrigindo uma vulnerabilidade de alta severidade no motor JavaScript V8. Essa falha, identificada como CVE-2025-9132, foi descoberta pelo sistema de testes automatizados de segurança da empresa, o Big Sleep, em 4 de agosto de 2025. A vulnerabilidade permite que atacantes executem código arbitrário por meio de gravações de memória fora dos limites alocados, o que pode resultar em corrupção de memória e comprometimento total do sistema. A atualização, versão 139.0.7258.138/.139, foi disponibilizada em 19 de agosto de 2025 para plataformas Windows, Mac e Linux. O Google adotou uma abordagem de distribuição gradual para a atualização, permitindo monitorar possíveis problemas de compatibilidade. É crucial que usuários e administradores de sistemas implementem essa correção imediatamente, dado o risco significativo que essa vulnerabilidade representa para a segurança e integridade dos dados dos usuários. O Google também restringiu informações detalhadas sobre a vulnerabilidade até que a maioria dos usuários tenha recebido a atualização, seguindo práticas de divulgação responsável.

O Google implementou novas exigências regulatórias para desenvolvedores de aplicativos de criptomoeda que desejam distribuir suas aplicações na Google Play Store. Agora, é necessário que esses desenvolvedores obtenham licenciamento oficial do governo antes de publicar seus aplicativos em várias jurisdições ao redor do mundo. Essa atualização de política reflete a resposta da empresa ao panorama regulatório em rápida evolução em relação a ativos digitais e serviços financeiros.

Os requisitos de licenciamento variam significativamente entre regiões. Nos Estados Unidos, por exemplo, os desenvolvedores devem se registrar como Empresas de Serviços Monetários (MSBs) e obter licenças estaduais, enquanto na União Europeia, é necessário autorização como Prestadores de Serviços de Criptoativos (CASP) sob a regulamentação MiCA. O Japão e a Coreia do Sul têm suas próprias exigências específicas, como registro com a Agência de Serviços Financeiros e relatórios à Unidade de Inteligência Financeira, respectivamente.