Recompensas

O Google anunciou mudanças significativas em seus programas de recompensas por vulnerabilidades no Android e no Chrome, aumentando os prêmios para exploits mais complexos e reduzindo os valores para falhas que a inteligência artificial (IA) facilitou na identificação. O maior prêmio, de até US$ 1,5 milhão, é destinado a exploits completos de segurança do chip Pixel Titan M2 com persistência, enquanto exploits sem persistência podem receber até US$ 750 mil. Para o Chrome, os exploits de processos do navegador em sistemas operacionais e hardware atualizados agora têm recompensas de até US$ 250 mil, além de um bônus adicional de US$ 250.128 para a exploração bem-sucedida de alocações de memória protegidas pelo MiraclePtr. O Google enfatiza a importância de relatórios concisos que contenham apenas provas de bugs e artefatos essenciais, em vez de análises longas que podem ser geradas automaticamente por IA. Essa reestruturação segue um ano recorde em recompensas, com pagamentos totalizando US$ 17,1 milhões a 747 pesquisadores em 2025, um aumento de mais de 40% em relação a 2024. O total acumulado desde o início do programa em 2010 ultrapassa US$ 81,6 milhões, e o Google prevê que os pagamentos totais em 2026 continuarão a crescer, apesar da redução em alguns valores individuais.

Um estudo da Check Point Research revelou que grupos de hackers estão adotando táticas inovadoras para obter acesso a sistemas internos de empresas, especialmente bancos e empresas de tecnologia. Em vez de utilizar métodos tradicionais de invasão, como força bruta ou exploração de vulnerabilidades, esses cibercriminosos estão oferecendo recompensas financeiras a funcionários para que eles forneçam acesso a dados sensíveis. Os valores pagos podem variar de US$ 3.000 (cerca de R$ 16.500) a US$ 15.000 (R$ 83 mil) por acesso a informações específicas. Além disso, dados valiosos, como registros de clientes, estão sendo vendidos na dark web por quantias ainda maiores, como US$ 25.000 (R$ 138 mil) por 37 mil registros. Os hackers utilizam apelos emocionais e promessas de liberdade financeira para atrair os funcionários, que são abordados em plataformas como Telegram e redes sociais. O caso de um funcionário da Crowdstrike que vazou informações para um grupo de hackers ilustra o risco que essa abordagem representa, uma vez que contorna as medidas de segurança tradicionais. A situação destaca a necessidade urgente de as empresas implementarem políticas de segurança mais rigorosas e programas de conscientização para seus colaboradores.