Treinamento

O Varonis Threat Labs lançou o ‘Breach at the Beach’, uma experiência de treinamento interativa focada em Entra ID, que simula a exfiltração de dados em ambientes de nuvem. A iniciativa, criada pelos pesquisadores Doron Kapah e Mark Vaitsman, visa proporcionar uma compreensão prática das ameaças modernas que as organizações enfrentam, especialmente com o aumento de identidades não-humanas, como agentes de IA e fluxos de trabalho automatizados. Os jogadores, guiados pelo gato detetive Pixel, devem investigar um ataque e identificar quais dados sensíveis estão em risco. O CTF (Capture the Flag) é gratuito e pode ser acessado online, permitindo que profissionais de segurança aprimorem suas habilidades enquanto ganham créditos de educação continuada (CPE). O jogo enfatiza a importância de reconhecer abusos de funcionalidades legítimas e a necessidade de uma abordagem prática para a detecção de ameaças, especialmente em um cenário onde a IA está cada vez mais presente. Além disso, o evento será apresentado em conferências como Black Hat USA e DEF CON 34, onde os participantes poderão interagir diretamente com os criadores e aprofundar seus conhecimentos sobre cibersegurança.

A Interconnection Academy e a Global Cyber Alliance disponibilizaram um treinamento gratuito focado em capacitar profissionais de TI para enfrentar crimes cibernéticos em infraestruturas de rede. A iniciativa surge em resposta ao aumento de ataques como DDoS, spoofing e man-in-the-middle, que têm se tornado cada vez mais comuns. O curso enfatiza a aplicação prática de protocolos de segurança, com destaque para o padrão MANRS (Mutually Agreed Norms for Routing Security), que visa garantir a integridade do roteamento na internet.

Um estudo da Pentera Labs revelou que aplicações de treinamento intencionalmente vulneráveis, como OWASP Juice Shop e DVWA, estão frequentemente expostas à internet em ambientes de nuvem. Essas aplicações, projetadas para fins educacionais e testes, são frequentemente implantadas com configurações padrão e permissões excessivas, permitindo que atacantes acessem identidades de nuvem privilegiadas. A pesquisa identificou quase 2.000 instâncias de aplicações expostas, com 60% delas hospedadas em infraestruturas gerenciadas por clientes em plataformas como AWS, Azure e GCP. Além disso, cerca de 20% dessas instâncias apresentaram evidências de exploração ativa, incluindo atividades de mineração de criptomoedas e shells web. O estudo destaca que ambientes de treinamento são frequentemente considerados de baixo risco e, portanto, não recebem a devida atenção em termos de monitoramento e gestão de segurança. Essa situação é preocupante, pois um único aplicativo exposto pode servir como ponto de entrada para comprometer toda a infraestrutura de nuvem de uma organização. O artigo enfatiza que a rotulagem de um ambiente como ’treinamento’ não diminui seu risco, especialmente quando conectado a identidades privilegiadas na nuvem.

Uma pesquisa realizada pela Yubico revelou que quase metade dos entrevistados interagiu com e-mails de phishing no último ano, com a geração Z sendo a mais vulnerável, apresentando 62% de engajamento com esses golpes. Apesar do reconhecimento generalizado de que senhas são inseguras, elas ainda são o método de autenticação mais utilizado, com menos da metade das empresas adotando autenticação multifator (MFA) em todas as aplicações. Além disso, 40% dos funcionários afirmaram não ter recebido treinamento em cibersegurança. A pesquisa destaca que, embora os ataques de phishing tenham evoluído para se tornarem mais convincentes, a adoção de soluções de autenticação resistentes ao phishing, como chaves de segurança, está começando a aumentar, especialmente na França, onde a adoção de MFA para contas pessoais saltou de 29% para 71% em um ano. A desconexão entre a conscientização sobre segurança e a implementação de práticas eficazes deixa tanto indivíduos quanto organizações vulneráveis a ataques cada vez mais sofisticados.