O pesquisador de segurança Chaotic Eclipse, também conhecido como Nightmare-Eclipse, publicou um novo código de prova de conceito, ou PoC, para uma vulnerabilidade de elevação de privilégios que permanece funcional mesmo em sistemas Windows atualizados com os pacotes de segurança de julho de 2026. Batizado de LegacyHive, o exploit abusa do Windows User Profile Service, conhecido como ProfSvc, componente central responsável por gerenciar contas, perfis e ambientes de usuários no sistema operacional. A falha permite que um usuário sem privilégios administrativos carregue arbitrariamente um hive do Registro pertencente a outra conta. Hives são arquivos que armazenam partes da configuração do Registro do Windows. Eles concentram informações relacionadas a usuários, aplicativos, associações de arquivos, políticas e outros elementos utilizados pelo sistema operacional. A possibilidade de carregar ou modificar o hive de outra conta pode abrir caminho para ações não autorizadas e futuras cadeias de elevação de privilégios. Segundo Chaotic Eclipse, a versão pública do LegacyHive exige as credenciais de outro usuário padrão e o nome de uma terceira conta, que pode ser um administrador. Quando executado com sucesso, o PoC monta o hive do usuário-alvo na raiz de classes do usuário atual. O pesquisador afirmou, no entanto, que o código publicado foi deliberadamente limitado para dificultar seu uso direto em ataques. A versão original do exploit não precisaria de credenciais adicionais e também não estaria restrita ao arquivo “UsrClass.dat”, utilizado para armazenar configurações específicas de classes e associações do perfil. De acordo com Chaotic Eclipse, a vulnerabilidade poderia ser explorada para carregar outros hives do Registro, desde que o código fosse adaptado. Essa capacidade amplia o potencial de abuso, embora a publicação inicial não apresente uma cadeia completa de ataque que transforme automaticamente a falha em comprometimento administrativo. A descoberta chama atenção porque o exploit funciona em todas as versões suportadas do Windows para desktops e servidores, inclusive em máquinas que receberam as atualizações disponibilizadas no Patch Tuesday de julho de 2026. Microsoft investiga vulnerabilidade A Microsoft confirmou que está analisando as alegações relacionadas ao LegacyHive. A empresa informou que busca determinar a validade da vulnerabilidade e sua possível aplicação em cenários reais de ataque. “Microsoft está ciente da vulnerabilidade relatada e está investigando ativamente a validade e a possível aplicabilidade dessas alegações”, declarou um porta-voz. A companhia também reiterou seu apoio à divulgação coordenada de vulnerabilidades, processo pelo qual pesquisadores compartilham antecipadamente as informações com os fabricantes para permitir a investigação e o desenvolvimento de correções antes da publicação dos detalhes técnicos. Segundo a Microsoft, esse modelo ajuda a proteger clientes e oferece condições para que as descobertas sejam analisadas de forma completa antes de se tornarem públicas. O LegacyHive foi divulgado poucas horas após a Microsoft liberar seu conjunto mensal de atualizações. Até o momento descrito no relatório, não havia correção disponível para a falha, nem confirmação de exploração ativa em ataques. Pesquisadores confirmam funcionamento do LegacyHive Após a divulgação, outros especialistas analisaram o código e confirmaram que o exploit funciona em sistemas atualizados. Em uma publicação no Mastodon, o pesquisador Kevin Beaumont afirmou que o LegacyHive é funcional e permanece sem correção. Will Dormann também avaliou o código e explicou que a vulnerabilidade permite que um usuário sem privilégios administrativos modifique o hive de classes do Registro pertencente a uma conta de administrador. Dormann classificou essa capacidade como uma “primitiva bastante poderosa”. Em segurança, uma primitiva é uma operação que, embora não represente necessariamente um ataque completo, pode ser combinada com outras técnicas para atingir objetivos mais avançados. Como exemplo, Dormann demonstrou que seria possível alterar a associação de arquivos de texto de um administrador para que arquivos com a extensão “.txt” fossem abertos pelo aplicativo Calculadora do Windows, o calc.exe. A demonstração é relativamente inofensiva, mas ilustra como o controle sobre associações e configurações do Registro pode ser explorado. Segundo o pesquisador, invasores mais experientes poderiam desenvolver formas mais relevantes de abuso, inclusive técnicas que não dependessem de interação direta do usuário. Disputa entre pesquisador e Microsoft Chaotic Eclipse e a Microsoft mantêm uma disputa pública desde pelo menos abril de 2026. O pesquisador passou a divulgar informações sobre diferentes vulnerabilidades antes que a fabricante tivesse tempo de desenvolver e distribuir correções, alegando falhas de comunicação durante o processo de reporte. Entre os problemas publicados estavam vulnerabilidades no Microsoft Defender. Três delas teriam sido exploradas ativamente pouco depois da divulgação pública, demonstrando os riscos associados à publicação de detalhes técnicos antes da disponibilização de atualizações de segurança. No início de julho, a Microsoft lançou correções para outra vulnerabilidade do Defender identificada pelo pesquisador e denominada RoguePlanet. Posteriormente, foi constatado que as atualizações de defesa em profundidade adicionadas para mitigar o problema poderiam fazer o Microsoft Defender vazar oito bytes de dados ao tentar abrir um arquivo em determinadas circunstâncias. A Microsoft também informou que investiga esse novo comportamento. Patch Tuesday corrige recorde de 622 vulnerabilidades A divulgação do LegacyHive ocorreu no mesmo período em que a Microsoft publicou correções para um recorde de 622 vulnerabilidades em seus produtos. Entre os problemas corrigidos estão duas falhas de elevação de privilégios que foram classificadas como exploradas ativamente: CVE-2026-56164, no SharePoint Server, com pontuação CVSS de 5,3, e CVE-2026-56155, no Active Directory Federation Services, ou AD FS, com CVSS de 7,8. A Agência de Segurança Cibernética e de Infraestrutura dos Estados Unidos, a CISA, adicionou as duas vulnerabilidades ao catálogo Known Exploited Vulnerabilities, que reúne falhas com evidências de exploração no mundo real. Órgãos civis do Poder Executivo Federal dos Estados Unidos receberam prazos para aplicar as atualizações. A correção da CVE-2026-56164 deve ser implementada até 17 de julho de 2026, enquanto a mitigação da CVE-2026-56155 deve ser concluída até 28 de julho. Para Adam Barnett, engenheiro-chefe de software da Rapid7, o processo do Patch Tuesday enfrenta um período de instabilidade em 2026. O especialista relacionou esse cenário ao aumento acelerado na descoberta e no reporte de vulnerabilidades, impulsionado por ferramentas de inteligência artificial, e à publicação de falhas em condições que aumentam a pressão sobre a Microsoft. Falhas do SharePoint são exploradas em ataques Em um alerta separado, a CISA informou que acompanha a exploração ativa de várias vulnerabilidades no SharePoint Server, incluindo CVE-2026-32201, CVE-2026-45659 e CVE-2026-56164. As falhas afetam todas as versões locais suportadas do SharePoint Server: Subscription Edition, SharePoint Server 2019 e SharePoint Server 2016. De acordo com a agência, os invasores podem explorar essas vulnerabilidades para obter acesso não autorizado a servidores vulneráveis, executar código remotamente e realizar atividades pós-exploração. Entre as ações observadas estão o roubo de chaves de máquina do Internet Information Services, ou IIS, o uso de técnicas de desserialização, a obtenção de persistência e a implantação de malware. As chaves de máquina do IIS são utilizadas por aplicações web para proteger dados, validar informações e assinar determinados componentes. Quando roubadas, podem permitir que invasores criem dados aparentemente legítimos, mantenham acesso ao ambiente ou contornem mecanismos de segurança. Segundo Alex Vovk, CEO e cofundador da Action1, a CVE-2026-56164 decorre da ausência de autenticação em uma função crítica. Isso permite que um invasor envie requisições de rede especialmente preparadas para acessar funcionalidades que deveriam exigir autorização. A exploração pode resultar em elevação de privilégios e execução de ações não autorizadas sem credenciais válidas ou interação do usuário. Servidores SharePoint expostos à internet estão particularmente vulneráveis porque o ataque pode ser conduzido remotamente. Falha crítica permite contornar autenticação O pacote de julho de 2026 também corrigiu a CVE-2026-55040, uma vulnerabilidade crítica de desvio de recurso de segurança no SharePoint Server, com pontuação CVSS de 9,1. A falha permite que um invasor remoto e não autenticado contorne o processo de autenticação de um servidor vulnerável e realize operações como um usuário ou administrador de um site SharePoint. Segundo a Rapid7, o problema está relacionado a diferentes falhas no processo de validação de tokens JSON Web Token, ou JWT. Esses tokens são usados para representar identidades e autorizações entre aplicações e serviços. Um invasor que explore a CVE-2026-55040 pode se apresentar como uma identidade escolhida e executar operações com as permissões dessa conta. A vulnerabilidade também pode ser combinada com outras falhas acessíveis apenas a usuários autenticados, ampliando a cadeia de ataque e seu possível impacto. Organizações que utilizam versões locais do SharePoint devem priorizar as atualizações de julho, revisar a exposição dos servidores à internet e procurar sinais de comprometimento, especialmente atividades relacionadas ao IIS, alterações de configuração, criação de mecanismos de persistência e implantação de arquivos desconhecidos. No caso do LegacyHive, a ausência de uma correção exige acompanhamento dos comunicados da Microsoft e atenção redobrada a atividades locais envolvendo perfis de usuários, carregamento de hives e alterações inesperadas no Registro do Windows.

A rede europeia de supermercados Lidl confirmou um vazamento de dados que atingiu clientes de suas lojas online na Alemanha, Bélgica e Países Baixos. O incidente ocorreu após hackers ainda não identificados acessarem informações armazenadas por um prestador externo de serviços de tecnologia. Segundo a empresa, o ataque não comprometeu diretamente a plataforma de comércio eletrônico da Lidl. A invasão envolveu um banco de dados separado, mantido por um fornecedor terceirizado e utilizado para armazenar informações de consumidores. Em notificações enviadas na sexta-feira aos clientes afetados nos três países, a Lidl informou que os invasores conseguiram acessar temporariamente um arquivo e extrair parte de seu conteúdo. A companhia não esclareceu por quanto tempo os dados ficaram expostos nem como os hackers obtiveram acesso ao ambiente do prestador. As informações roubadas incluem forma de tratamento dos clientes, nomes e sobrenomes, números de telefone, endereços de e-mail, datas de nascimento e números de identificação de consumidor. De acordo com a Lidl, não há indícios de que senhas, endereços de cobrança ou entrega, dados bancários e outras informações de pagamento tenham sido comprometidos. A empresa afirmou ainda que as contas dos clientes permanecem protegidas. Apesar disso, a combinação dos dados expostos pode ser utilizada em campanhas de phishing direcionado. Ao conhecer nome, telefone, e-mail, data de nascimento e a relação da vítima com a Lidl, criminosos podem produzir mensagens mais convincentes, simulando comunicações sobre pedidos, promoções, reembolsos ou atualizações cadastrais. Fornecedor adotou medidas de contenção A Lidl informou ter sido comunicada sobre o incidente no início da semana anterior. Após identificar o acesso indevido, o prestador de serviços teria adotado imediatamente medidas para proteger os sistemas afetados. A varejista também apresentou uma denúncia criminal e notificou a autoridade de proteção de dados competente. Como o incidente envolve consumidores de diferentes países europeus, a investigação pode exigir cooperação entre reguladores nacionais e aplicação das obrigações previstas no Regulamento Geral de Proteção de Dados da União Europeia, o GDPR. A empresa não revelou a identidade do fornecedor de TI envolvido, o que impede avaliar quais serviços eram prestados, como o banco de dados estava hospedado e quais controles de segurança estavam implementados no ambiente comprometido. Também não foi divulgado o número de clientes afetados. A Lidl não atribuiu a invasão a nenhum grupo hacker e não informou se houve uso de ransomware, exploração de vulnerabilidades, credenciais roubadas ou comprometimento de uma conta administrativa. Risco de phishing e fraude de identidade Até o momento, a Lidl afirma não ter encontrado evidências de uso indevido das informações roubadas. Mesmo assim, orientou os consumidores afetados a permanecer atentos a e-mails, mensagens de texto e ligações suspeitas. Os dados expostos podem ser usados para golpes de engenharia social, nos quais criminosos se passam pela empresa ou por parceiros para induzir as vítimas a fornecer senhas, códigos de autenticação, números de cartões ou outras informações confidenciais. A presença de datas de nascimento e números de cliente também pode ajudar os invasores a contornar perguntas de verificação de identidade utilizadas por serviços de atendimento. Dependendo das informações adicionais obtidas em outros vazamentos, os criminosos podem combinar diferentes bases de dados para construir perfis mais completos das vítimas. Esse tipo de incidente também demonstra os riscos associados à cadeia de fornecedores. Mesmo quando a infraestrutura principal de uma empresa não é invadida, terceiros com acesso ou responsabilidade sobre dados corporativos podem se tornar um ponto de entrada para ataques. Por isso, programas de gestão de risco de terceiros precisam incluir requisitos contratuais de segurança, auditorias periódicas, segmentação de ambientes, criptografia, controle de acesso, monitoramento de atividades e procedimentos claros para resposta e comunicação de incidentes. Uma das maiores redes varejistas da Europa A Lidl faz parte do Schwarz Group, conglomerado alemão que também controla a rede Kaufland. A companhia opera aproximadamente 12.900 lojas em 32 países e emprega cerca de 395 mil pessoas, sendo uma das maiores redes de varejo da Europa. A escala da operação amplia o impacto potencial de incidentes envolvendo fornecedores responsáveis pelo processamento de informações de consumidores. Ainda que senhas e dados financeiros não tenham sido comprometidos, a exposição de informações pessoais pode gerar riscos prolongados de fraude, phishing e roubo de identidade. A investigação deverá determinar como ocorreu a invasão, quantos consumidores foram atingidos e se os dados roubados foram divulgados, comercializados ou compartilhados em fóruns de cibercrime.

A polícia da Finlândia emitiu uma ordem de busca contra o hacker condenado Aleksanteri Kivimäki após a Suprema Corte do país se recusar a analisar seu recurso. A decisão torna definitiva a condenação pelo ataque contra a clínica de psicoterapia Vastaamo, um dos casos de cibercrime mais graves e de maior repercussão da história finlandesa. Com a negativa da Suprema Corte, permanece válida a sentença aplicada em fevereiro pelo Tribunal de Apelação, que condenou Kivimäki a quase sete anos de prisão por invadir os sistemas da Vastaamo e, posteriormente, extorquir tanto a empresa quanto milhares de pacientes. Após a decisão judicial, a Polícia de Uusimaa Oriental informou ter emitido o aviso de procurado a pedido da Agência de Sanções Criminais da Finlândia. Os agentes foram orientados a prender Kivimäki caso ele seja localizado e transferi-lo para a Prisão de Vantaa, onde deverá cumprir o restante da pena. Peter Jaari, advogado do condenado, declarou à imprensa finlandesa que não sabe onde seu cliente está. Ele afirmou, no entanto, acreditar que Kivimäki esteja fora do território finlandês. O Tribunal de Apelação considerou o hacker culpado pelos crimes de violação agravada de dados, tentativa de extorsão e distribuição ilegal de informações privadas. Segundo os juízes, os delitos foram cuidadosamente planejados, tinham como motivação a obtenção de vantagem financeira e provocaram danos excepcionais a um grande número de pessoas especialmente vulneráveis. A corte afirmou que a gravidade dos crimes normalmente justificaria a aplicação da pena máxima disponível. A condenação, entretanto, foi reduzida em um mês porque Kivimäki firmou acordos de indenização com algumas das vítimas. Durante todo o processo, Kivimäki negou ser o responsável pelo ataque. A defesa sustentou que a acusação se apoiava principalmente em evidências circunstanciais, contestou as provas digitais usadas para ligá-lo à invasão e questionou alegações relacionadas a transações com criptomoedas associadas ao esquema de extorsão. O Tribunal de Apelação havia libertado Kivimäki da prisão preventiva em setembro de 2025, após concluir que ele já havia passado tempo suficiente sob custódia e que uma detenção mais prolongada poderia violar seus direitos. Como grande parte da pena havia sido efetivamente cumprida enquanto ele aguardava o julgamento e o andamento do processo, o condenado permaneceu em liberdade durante a fase de recursos. Agora, com a recusa da Suprema Corte em reexaminar o caso, a condenação se tornou definitiva, e as autoridades tentam localizá-lo para que cumpra o período restante da sentença. Ataque expôs prontuários de psicoterapia A violação de dados da Vastaamo ocorreu em 2018, mas somente se tornou pública em 2020. Inicialmente, o invasor tentou extorquir a própria empresa, exigindo pagamento para não divulgar as informações roubadas. Posteriormente, os responsáveis pela campanha passaram a entrar em contato diretamente com os pacientes, enviando cobranças individuais e ameaçando publicar seus registros privados caso os valores exigidos não fossem pagos. Quando muitas vítimas se recusaram a ceder à extorsão, anotações confidenciais de sessões de terapia e outros documentos extremamente sensíveis começaram a ser divulgados na internet. O banco de dados comprometido continha informações de aproximadamente 33 mil pacientes. Mais de 24 mil pessoas afirmaram ter recebido exigências de pagamento. Entre as vítimas estavam crianças e pacientes que realizavam tratamento para traumas psicológicos graves, o que ampliou o impacto humano e social do incidente. O ataque se transformou no maior processo criminal da história da Finlândia em número de vítimas. Além dos prejuízos financeiros e dos riscos à privacidade, a exposição dos prontuários criou consequências potencialmente duradouras para pessoas que haviam confiado informações íntimas a profissionais de saúde mental. O caso também se tornou uma referência internacional sobre os impactos de ataques contra o setor de saúde. Diferentemente de incidentes voltados apenas ao roubo de informações corporativas ou financeiras, a invasão da Vastaamo envolveu dados médicos altamente pessoais, posteriormente utilizados para pressionar individualmente milhares de pacientes. A estratégia adotada combinou violação de sistemas, roubo de uma base de dados sensível, extorsão contra a organização afetada e chantagem direta contra as pessoas cujas informações haviam sido expostas. Esse modelo amplia a capacidade de pressão dos invasores e pode causar danos psicológicos, reputacionais, financeiros e legais muito além da empresa inicialmente comprometida.

O Departamento do Tesouro dos Estados Unidos anunciou sanções contra duas pessoas e um serviço de VPN acusados de fornecer infraestrutura e ferramentas para grupos de ransomware e outros cibercriminosos. As medidas foram impostas pelo Escritório de Controle de Ativos Estrangeiros, o OFAC, e atingem o First VPN Service, também conhecido como 1VPNS, seu administrador ucraniano e um cidadão bielorrusso envolvido na venda de programas usados para ocultar malware. Segundo o governo norte-americano, os serviços oferecidos pelos sancionados ajudaram invasores a esconder a origem de ataques, distribuir códigos maliciosos, administrar dados roubados e evitar a detecção por ferramentas de segurança. Entre as vítimas associadas à infraestrutura estavam empresas, instituições financeiras, hospitais e governos municipais dos Estados Unidos. O First VPN Service foi acusado de oferecer seus servidores a operadores de ransomware e outros grupos envolvidos em roubo de dados, varreduras maliciosas e ataques de negação de serviço. A plataforma, ativa desde 2014, foi desmantelada em maio de 2026 durante uma operação conjunta conduzida por autoridades da Europa e da América do Norte. Serviço prometia não registrar usuários nem cooperar com autoridades O 1VPNS anunciava que não mantinha registros sobre a identidade ou as atividades de seus clientes. O serviço também afirmava que não colaborava com investigações sobre ações ilegais originadas nos servidores alugados aos usuários. Esse posicionamento transformava a infraestrutura em uma opção atraente para grupos que precisavam ocultar a localização real de seus operadores. Serviços desse tipo podem funcionar como intermediários entre o invasor e o sistema atacado, dificultando o rastreamento do endereço IP original e a identificação da infraestrutura utilizada na campanha. De acordo com o Tesouro dos Estados Unidos, diversos grupos de ransomware contrataram o First VPN Service para atacar empresas e instituições norte-americanas. Os servidores teriam sido utilizados para esconder a origem das operações, distribuir malware e administrar informações retiradas das redes comprometidas. As autoridades afirmam que grupos que utilizaram serviços fornecidos pelas partes sancionadas causaram bilhões de dólares em prejuízos a empresas e operadores de infraestrutura crítica dos Estados Unidos. Administrador utilizava identidades falsas As sanções também atingem Dmytro Rashevskyi, ucraniano de 45 anos identificado como administrador do First VPN Service. Segundo o Tesouro, Rashevskyi utilizou identidades falsas, incluindo os nomes “Maksim Sorin” e “Roman Chabanenko”, para adquirir infraestrutura de empresas que poderiam se recusar a negociar diretamente com ele. A estratégia teria sido adotada após provedores de internet receberem reclamações relacionadas a atividades ilegais originadas nos servidores do 1VPNS. O uso de identidades alternativas permitia continuar contratando servidores, endereços IP e outros recursos mesmo depois que a reputação da infraestrutura havia sido associada a abusos. Esse modelo é recorrente em redes utilizadas pelo cibercrime. Operadores podem registrar servidores em nome de terceiros, usar empresas de fachada ou alternar rapidamente entre provedores para reduzir o risco de bloqueio e manter suas operações disponíveis. Vendedor de “cryptors” também é sancionado O OFAC também sancionou Yegeniy Vladimirovich Silayev, cidadão da Bielorrússia acusado de comercializar “cryptors” para operadores de ransomware e distribuidores de outros tipos de malware. Cryptors são ferramentas desenvolvidas para modificar, empacotar ou ofuscar códigos maliciosos. O objetivo é fazer com que o malware pareça um programa legítimo ou desconhecido, reduzindo a possibilidade de identificação por antivírus, EDRs e outras tecnologias de proteção. Esses serviços podem alterar a estrutura do arquivo, criptografar partes do código, modificar assinaturas ou utilizar técnicas de ofuscação. Em alguns casos, os vendedores testam o malware contra diferentes ferramentas de segurança e entregam uma versão preparada para evitar a detecção naquele momento. A utilização de cryptors não elimina necessariamente todos os indicadores maliciosos, mas pode atrasar a identificação e permitir que o código seja executado antes que mecanismos de defesa reconheçam seu comportamento. Sanções bloqueiam ativos e restringem transações A designação do OFAC geralmente implica o bloqueio de bens e interesses mantidos nos Estados Unidos ou sob o controle de pessoas norte-americanas. Empresas e cidadãos dos Estados Unidos também ficam impedidos de realizar determinadas transações com as pessoas e entidades sancionadas. O objetivo é reduzir a capacidade dos envolvidos de contratar infraestrutura, receber pagamentos, movimentar recursos e utilizar serviços financeiros ou tecnológicos submetidos à jurisdição norte-americana. As medidas contra o 1VPNS fazem parte de uma estratégia mais ampla para pressionar o ecossistema que sustenta operações de ransomware. Além dos grupos que executam diretamente as invasões, esse mercado inclui desenvolvedores de malware, operadores de botnets, serviços de hospedagem, negociadores, lavadores de dinheiro, corretores de acesso inicial e fornecedores de ferramentas de evasão. Reino Unido e União Europeia sancionam redes ligadas à Rússia O anúncio norte-americano ocorreu no mesmo período em que o Reino Unido e a União Europeia impuseram sanções contra redes russas acusadas de conduzir operações cibernéticas e híbridas contra países europeus. As medidas atingem 24 pessoas e entidades envolvidas em campanhas destrutivas, atividades de sabotagem e redes de intermediários associadas aos serviços de inteligência da Rússia. Entre os sancionados estão integrantes da alta liderança da Diretoria Principal de Inteligência da Rússia, a GRU: Vyacheslav Stafeyev, Ivan Senin e Ivan Kasyanenko. Eles foram acusados de participar da direção de operações cibernéticas e híbridas conduzidas pelo órgão militar. As sanções também citam o Centro 16 do Serviço Federal de Segurança da Rússia, o FSB, atribuído a operações de sabotagem contra a rede de energia da Polônia no final de 2025. Segundo o governo britânico, a divisão cibernética da Unidade 29155 da GRU trabalhou com cibercriminosos e com a empresa IMPULS para recrutar hackers e especialistas em tecnologia em universidades e academias russas. A Unidade 29155 tem sido associada a ações de sabotagem, espionagem e operações de influência. O uso de empresas privadas, intermediários e grupos criminosos permite que autoridades russas ampliem sua capacidade operacional e dificultem a atribuição direta das campanhas. Operadores do Lumma Stealer entram na lista As medidas britânicas e europeias também atingem pessoas envolvidas na operação do Lumma Stealer, malware especializado no roubo de informações armazenadas em dispositivos comprometidos. Esse tipo de infostealer procura dados como credenciais salvas em navegadores, cookies de sessão, informações de carteiras de criptomoedas, arquivos, tokens de autenticação e detalhes de aplicativos instalados. As autoridades afirmam que credenciais roubadas pelo Lumma Stealer foram utilizadas pela Rússia em operações de espionagem cibernética contra alvos internacionais, em apoio aos objetivos estratégicos do Kremlin. O malware também é utilizado por outros criminosos para invadir contas, comprometer serviços corporativos, fraudar transações e vender acessos em fóruns clandestinos. A distribuição em escala transforma os dispositivos infectados em fontes contínuas de credenciais e informações utilizadas em novas etapas de ataque. A União Europeia afirmou que cibercriminosos, grupos autodenominados hacktivistas e empresas privadas ligadas à Rússia participaram, permitiram ou facilitaram atividades maliciosas sob orientação, controle ou interesse do Estado russo. Segundo o bloco, essas operações atingiram serviços públicos e infraestruturas críticas, provocando interrupções e perdas financeiras. As sanções procuram impor custos às pessoas e organizações associadas a essas campanhas e reforçar a responsabilização por ataques no ambiente digital. FBI alerta para ataques russos contra roteadores As medidas foram anunciadas em meio a um novo alerta do FBI sobre ataques conduzidos por agentes do Centro 16 do FSB contra dispositivos de rede vulneráveis ou configurados de forma insegura. Segundo a agência, os invasores realizam varreduras na internet para localizar principalmente roteadores que possam ser explorados de forma oportunista. A atividade já atingiu redes de múltiplos setores de infraestrutura crítica em diferentes países. Os operadores procuram faixas de endereços IP com agentes do Simple Network Management Protocol, o SNMP, expostos e configurados para aceitar community strings comuns ou padrão. O SNMP é utilizado para monitorar e administrar roteadores, switches, servidores e outros dispositivos. Em versões ou configurações antigas, a autenticação pode depender de strings semelhantes a senhas compartilhadas. Quando valores previsíveis, como configurações padrão, permanecem ativos, um invasor pode consultar informações ou modificar parâmetros do equipamento. Ataques utilizam SNMP para copiar configurações As varreduras descritas pelo FBI são executadas por meio de proxies e incluem requisições SNMP Set enviadas com endereços IP falsificados. Essas requisições contêm identificadores de objetos, ou OIDs, que instruem o agente SNMP do equipamento mal configurado a copiar sua configuração para um arquivo e transferi-la para um servidor virtual privado controlado pelo invasor ou para um servidor FTP previamente comprometido. Arquivos de configuração de roteadores podem conter endereços internos, credenciais, chaves, parâmetros de VPN, regras de roteamento, informações sobre interfaces e detalhes sobre a arquitetura da rede. Com esses dados, os invasores podem mapear o ambiente, identificar novos alvos, reutilizar credenciais e preparar acessos mais profundos à infraestrutura comprometida. Campanha explora falhas antigas em equipamentos Cisco Além de abusar de configurações inseguras do SNMP, os agentes ligados ao FSB utilizam vulnerabilidades conhecidas em dispositivos Cisco, incluindo a CVE-2018-0171 e a CVE-2008-4128. A CVE-2018-0171 afeta o recurso Smart Install Client de determinados equipamentos Cisco IOS e Cisco IOS XE. A vulnerabilidade pode permitir execução remota de código ou causar a indisponibilidade do dispositivo quando o serviço vulnerável está exposto. Em agosto de 2025, a Cisco alertou sobre a exploração ativa da falha e orientou os clientes a aplicar as correções necessárias. A CVE-2008-4128 também afeta dispositivos de rede da Cisco e foi adicionada pela Agência de Segurança Cibernética e de Infraestrutura dos Estados Unidos, a CISA, ao catálogo Known Exploited Vulnerabilities. A inclusão no catálogo indica que existem evidências de exploração em ataques. As agências federais norte-americanas devem aplicar as medidas corretivas até 16 de julho de 2026. Grupo possui diferentes nomes na indústria Os hackers envolvidos na campanha são monitorados por empresas e órgãos de segurança sob diferentes nomes, incluindo Berserk Bear, Crouching Yeti, Dragonfly, Energetic Bear, Ghost Blizzard e Static Tundra. As denominações variam porque cada organização utiliza critérios próprios de inteligência de ameaças para agrupar infraestrutura, ferramentas, técnicas, alvos e atividades observadas. Apesar das diferenças de nomenclatura, essas operações têm sido associadas ao FSB e a campanhas voltadas principalmente para redes governamentais, empresas de energia, telecomunicações e outros setores estratégicos. A Agência de Segurança Nacional dos Estados Unidos, a NSA, afirmou que a atividade continua em andamento e já afetou redes norte-americanas e estrangeiras nos setores de base industrial de defesa, comunicações, energia, serviços financeiros, instalações governamentais e saúde. Infraestrutura de apoio passa a ser alvo das autoridades As sanções contra o First VPN Service e o vendedor de cryptors ampliam a pressão sobre fornecedores que não necessariamente executam o ataque final, mas oferecem recursos essenciais para sua realização. VPNs resistentes a investigações, ferramentas de ofuscação, servidores adquiridos com identidades falsas e credenciais roubadas por infostealers podem ser combinados em diferentes fases de uma campanha. Um grupo pode utilizar credenciais obtidas por malware para conquistar o acesso inicial, contratar uma VPN para esconder a origem da conexão, empregar um cryptor para evitar a detecção do ransomware e utilizar servidores intermediários para administrar os dados roubados. Ao atingir esses fornecedores, as autoridades procuram aumentar o custo operacional do cibercrime e dificultar a reconstrução rápida da infraestrutura após operações de derrubada. Ainda assim, organizações precisam reduzir a própria exposição. Entre as medidas prioritárias estão eliminar credenciais e community strings padrão, restringir o acesso ao SNMP, desativar serviços de administração desnecessários, corrigir vulnerabilidades antigas e monitorar conexões provenientes de proxies, VPNs e servidores recém-criados.

O desenvolvedor Gabriel Sales está construindo uma solução de inteligência artificial capaz de reconhecer sinais em Libras por meio da câmera e convertê-los em texto ou áudio. A tecnologia, disponibilizada em um aplicativo para Android chamado Aprenda Libras, foi criada para reduzir barreiras de comunicação enfrentadas por pessoas surdas em situações cotidianas, como atendimentos em hospitais, restaurantes, lojas e serviços públicos. Nascido no Rio de Janeiro, criado em São Gonçalo e atualmente morando em Niterói, Gabriel contou ao Cyber Security Brazil que começou a se interessar por tecnologia aos 12 anos, depois de ter contato com o notebook do irmão. A curiosidade por programação e segurança digital o levou a estudar diferentes linguagens e, aos 17 anos, realizar trabalhos como freelancer, desenvolvendo pequenos sistemas, scripts e projetos acadêmicos. Atualmente, aos 25 anos, ele trabalha com desenvolvimento de sistemas e automação baseada em inteligência artificial. A ideia de aplicar esse conhecimento à acessibilidade surgiu em 2024, durante uma disciplina de Libras na faculdade. A professora responsável pela matéria era uma pessoa surda e relatou as dificuldades que enfrentou ao longo da trajetória educacional até chegar ao ambiente universitário. A experiência levou Gabriel a pesquisar como tecnologias de visão computacional poderiam ser utilizadas para interpretar uma língua baseada não apenas nas mãos, mas também em movimentos corporais e expressões faciais. “Eu sempre gostei de desafios e resolver esse problema de Libras foi um desafio para mim. Pensei: será que consigo ajudar a solucionar esse problema de acessibilidade com inteligência artificial?”, explicou durante a entrevista. Para construir a primeira versão do sistema, Gabriel utilizou o MediaPipe, framework do Google capaz de identificar pontos de referência — conhecidos como landmarks — em mãos, dedos, rosto e corpo. Esses pontos transformam os movimentos capturados pela câmera em informações que podem ser analisadas por modelos de aprendizado de máquina. A arquitetura também utiliza uma rede neural recorrente para interpretar sequências de frames de um vídeo. Diferentemente do reconhecimento de uma imagem estática, a tradução de Libras exige que o sistema acompanhe o movimento ao longo do tempo, incluindo a posição inicial das mãos, a trajetória do gesto, sua velocidade e as expressões realizadas pelo usuário. O vídeo é dividido em uma sequência de frames, que é enviada como entrada para o modelo. A rede neural analisa o conjunto de movimentos e calcula qual sinal apresenta maior probabilidade de corresponder à ação observada. Segundo Gabriel, o sistema compara o sinal identificado com protótipos previamente registrados. Quando existem sinais visualmente semelhantes, o contexto da frase também pode ser utilizado para reduzir ambiguidades e selecionar a interpretação mais coerente. Essa etapa é especialmente importante porque Libras possui variações regionais. Um mesmo conceito pode ser representado de formas diferentes dependendo do estado, da cidade ou da comunidade na qual a pessoa aprendeu a língua. Além disso, pequenas diferenças na posição dos dedos, no movimento ou na expressão facial podem alterar o significado. Um dos maiores obstáculos do projeto, porém, não foi a construção do modelo, mas a obtenção de dados para treiná-lo. Gabriel afirma que existem mais de 30 mil sinais, sem considerar todas as variações regionais, enquanto as bases públicas disponíveis ainda são pequenas diante da diversidade da língua. Para enfrentar essa limitação, o desenvolvedor pretende utilizar o próprio aplicativo como uma plataforma colaborativa. A proposta é permitir que integrantes da comunidade surda contribuam com sinais e variações utilizadas em diferentes regiões do país, ampliando progressivamente o vocabulário reconhecido pela inteligência artificial. Esse modelo de desenvolvimento pode ajudar o sistema a compreender formas de comunicação que não aparecem nas bases tradicionais. Ao mesmo tempo, a iniciativa exige mecanismos claros de consentimento, proteção das gravações e governança dos dados utilizados no treinamento. Os procedimentos adotados nessas áreas não foram detalhados durante a entrevista. Uma das primeiras demonstrações da tecnologia mostrava a inteligência artificial reconhecendo expressões como “oi”, “tudo bem”, “bom dia”, “seu” e “nome”. Segundo Gabriel, o vídeo ultrapassou 3 milhões de visualizações nas redes sociais. O perfil dedicado ao projeto chegou a reunir aproximadamente 60 mil seguidores antes de ser desativado pelo Instagram, conforme o relato do desenvolvedor. Apesar da repercussão, o projeto continua sendo financiado pelo próprio criador, sem aporte externo. Gabriel também é responsável pelo desenvolvimento técnico e pela evolução do aplicativo. A versão para dispositivos móveis exigiu uma série de otimizações, já que a análise contínua de vídeo demanda capacidade computacional. Atualmente, o processamento da inteligência artificial é realizado na nuvem, e não diretamente no celular. O dispositivo captura as imagens, enquanto a infraestrutura remota executa o reconhecimento dos sinais. Essa arquitetura permite utilizar modelos mais complexos, mas torna a experiência dependente de conexão com a internet e pode introduzir latência entre a realização do gesto e a apresentação da resposta. Métricas de precisão, velocidade, volume de dados de treinamento e desempenho em diferentes condições de iluminação não foram apresentadas na entrevista. Gabriel considera que a tecnologia poderia obter resultados ainda melhores em totens instalados em ambientes controlados. Câmeras posicionadas corretamente, iluminação estável e maior capacidade de processamento reduziriam problemas causados por imagens borradas, enquadramento inadequado ou movimentos parcialmente ocultos. Entre os possíveis locais de implantação estão hospitais, clínicas, restaurantes, bares, shopping centers e terminais de autoatendimento. Em um hospital, por exemplo, uma pessoa surda poderia explicar sintomas ou solicitar atendimento utilizando Libras, enquanto o sistema apresentaria a informação em texto ou voz para médicos e recepcionistas. A solução também poderia ser integrada a totens de pedidos já utilizados por redes de alimentação. Nesse cenário, o usuário realizaria os sinais diante da câmera e receberia na tela as opções correspondentes, sem depender da presença permanente de um intérprete. Gabriel observa que parte da comunidade surda enfrenta dificuldades com o português escrito, já que Libras possui estrutura gramatical própria e não representa simplesmente uma tradução palavra por palavra do português. Por isso, disponibilizar apenas uma tela de texto nem sempre elimina todas as barreiras de atendimento. Outra possibilidade discutida é a tradução para idiomas estrangeiros. Como as línguas de sinais também variam entre os países, um estrangeiro pode não compreender Libras mesmo que conheça a língua de sinais utilizada em sua região. A inteligência artificial poderia reconhecer os sinais do usuário brasileiro e apresentar o conteúdo em espanhol, inglês ou outro idioma. O reconhecimento também poderia ser conectado a sistemas de síntese de voz, gerando uma fala mais natural para representar o que a pessoa deseja comunicar. Futuramente, equipamentos como óculos inteligentes poderiam capturar os movimentos e enviar as imagens para processamento na nuvem, embora esse tipo de integração ainda dependa de infraestrutura, conectividade e hardware adequado. Do ponto de vista comercial, Gabriel considera que o caminho mais provável seria oferecer a tecnologia para empresas e instituições, em um modelo B2B. A intenção, segundo ele, não é cobrar diretamente das pessoas surdas, mas viabilizar a instalação da solução em estabelecimentos que precisam prestar um atendimento mais acessível. O aplicativo funciona, portanto, como uma primeira aplicação da tecnologia e também como uma forma de aproximar a comunidade do desenvolvimento. O próximo desafio será ampliar o conjunto de sinais, melhorar o reconhecimento das variações regionais e demonstrar o desempenho do sistema em ambientes reais. Sem investimento externo e desenvolvido de forma independente, o projeto une inteligência artificial, visão computacional e participação comunitária para enfrentar um problema que continua presente em serviços essenciais: a dificuldade de comunicação entre pessoas surdas e atendentes que não conhecem Libras.

A SAP publicou seu pacote de atualizações de segurança de julho de 2026 para corrigir múltiplas vulnerabilidades em seus produtos, incluindo uma falha crítica no SAP NetWeaver Application Server ABAP que pode permitir acesso indevido a dados, alterações não autorizadas e indisponibilidade do sistema. Identificada como CVE-2026-44747, a vulnerabilidade recebeu pontuação 9,9 de 10 no sistema CVSS, ficando próxima do nível máximo de criticidade. O problema consiste em uma gravação fora dos limites da memória, conhecida como “out-of-bounds write”, causada por erros lógicos no gerenciamento de memória. Para explorar a falha, o invasor precisa estar autenticado no ambiente vulnerável. Uma vez dentro do sistema, ele pode provocar corrupção de memória e comprometer a confidencialidade, a integridade e a disponibilidade dos dados processados pelo servidor SAP. Na prática, uma exploração bem-sucedida pode permitir que informações protegidas sejam acessadas ou modificadas sem autorização. Dependendo do contexto operacional e dos privilégios obtidos, o ataque também pode causar interrupções no ambiente SAP, afetando aplicações e processos corporativos que dependem do NetWeaver ABAP. O SAP NetWeaver Application Server ABAP é utilizado como base para diversas aplicações empresariais desenvolvidas ou executadas na plataforma SAP. Em organizações de grande porte, esses sistemas podem estar ligados a processos financeiros, recursos humanos, logística, compras, produção, faturamento e gestão de fornecedores. Como medida temporária, a nota de segurança da SAP propõe desativar, por meio da transação SICF, todos os nós do Internet Communication Framework, ou ICF, que apresentem uma propriedade específica relacionada à vulnerabilidade. Os nós ICF controlam serviços HTTP e HTTPS disponibilizados pelo ambiente ABAP. A desativação reduz a superfície de ataque, mas também impede a abertura de transações por meio do SAP GUI for HTML, interface que permite acessar funcionalidades do sistema SAP pelo navegador. Segundo a empresa de segurança SAP Onapsis, essa limitação faz com que a mitigação temporária não seja adequada para todos os clientes. A recomendação prioritária é instalar a versão corrigida do ABAP Kernel, componente central responsável pela execução e pelo gerenciamento de recursos no ambiente ABAP. Falha no SAP Approuter permite desvio de requisições HTTP O pacote de julho também corrige a CVE-2026-27690, vulnerabilidade crítica com pontuação CVSS 9,1 que afeta implementações do SAP Approuter executadas fora de ambientes Cloud Foundry. O problema é classificado como HTTP request/response smuggling, técnica na qual um invasor explora diferenças na forma como servidores, proxies e componentes intermediários interpretam o início e o fim de uma requisição HTTP. Ao enviar uma requisição especialmente preparada, um atacante não autenticado pode provocar uma dessincronização entre requisições e respostas processadas pela infraestrutura. Com isso, uma resposta destinada a um usuário pode ser associada incorretamente à conexão de outro usuário. A exploração pode expor respostas contendo informações de usuários e também provocar ataques de negação de serviço, ou DoS, comprometendo a disponibilidade da aplicação. Esse tipo de falha pode ser especialmente relevante em arquiteturas que utilizam proxies reversos, balanceadores de carga, gateways de API e múltiplas camadas de processamento HTTP. Quando os componentes não interpretam as mensagens da mesma forma, o invasor pode manipular o fluxo de requisições encaminhadas ao servidor de origem. Credenciais padrão expõem APIs do SAP Commerce Cloud Outra vulnerabilidade crítica corrigida pela SAP é a CVE-2026-44761, também avaliada com pontuação CVSS 9,1. A falha afeta o SAP Commerce Cloud e está relacionada ao uso de credenciais padrão em configurações de OAuth 2.0. O problema pode ocorrer quando ambientes de produção mantêm um cliente OAuth 2.0 de exemplo, criado por scripts de configuração anteriormente disponibilizados na documentação do SAP Help Portal. Esses scripts foram originalmente desenvolvidos para ambientes de demonstração, desenvolvimento e testes. No entanto, eles configuravam clientes OAuth com credenciais fixas, conhecidas publicamente e documentadas nos próprios materiais da SAP. Versões antigas da documentação não alertavam explicitamente os clientes para que essas configurações padrão não fossem importadas ou mantidas em sistemas de produção, segundo a Onapsis. Caso o script de exemplo tenha sido executado e o cliente OAuth permaneça ativo com o segredo original, um invasor não autenticado pode utilizar as credenciais publicamente conhecidas para solicitar um token de acesso válido. Com esse token, o responsável pelo ataque pode invocar determinadas APIs do SAP Commerce Cloud para consultar ou modificar dados do sistema. A vulnerabilidade apresenta impacto elevado sobre confidencialidade e integridade, embora não afete diretamente a disponibilidade do serviço. OAuth 2.0 é um padrão utilizado para conceder acesso limitado a aplicações, serviços e APIs sem a necessidade de compartilhar diretamente a senha do usuário. Nesse modelo, o cliente apresenta suas credenciais ao servidor de autorização e recebe um token que define quais recursos podem ser acessados. Quando um cliente OAuth utiliza um segredo padrão e amplamente conhecido, esse mecanismo deixa de identificar de forma confiável a aplicação legítima. Um invasor pode se passar pelo cliente autorizado e obter acesso às APIs associadas àquela configuração. Nem todos os clientes estão vulneráveis A CVE-2026-44761 não afeta automaticamente todas as instalações do SAP Commerce Cloud. A exploração depende de uma condição específica: o cliente precisa ter executado o script de exemplo e mantido em produção o cliente OAuth 2.0 criado por ele sem substituir o segredo padrão. Ambientes nos quais o cliente de exemplo foi removido ou o segredo foi alterado para um valor forte e exclusivo não são afetados por essa vulnerabilidade. A SAP recomenda que os administradores auditem os ambientes de produção para identificar a presença do cliente OAuth vulnerável. Caso ele seja encontrado, o componente deve ser removido, conforme as orientações fornecidas pelo fabricante. Além de verificar esse cliente específico, as organizações devem revisar credenciais de demonstração, contas padrão, scripts de implantação e configurações copiadas de ambientes de desenvolvimento. Esses elementos podem permanecer ativos após a entrada do sistema em produção e criar caminhos de acesso que não fazem parte do desenho de segurança original. Prioridade depende da exposição de cada ambiente Até o momento, não existem evidências públicas de que as três vulnerabilidades estejam sendo exploradas em ataques reais. Ainda assim, a pontuação elevada, o potencial de acesso ou alteração de dados e a possibilidade de comprometimento de processos empresariais tornam necessária a aplicação das atualizações. A CVE-2026-44747 exige autenticação, mas pode afetar diretamente a memória do servidor NetWeaver ABAP e comprometer dados ou a disponibilidade do sistema. Por isso, contas SAP comprometidas, privilégios excessivos e acessos de terceiros podem aumentar o risco de exploração. Já a CVE-2026-27690 não exige autenticação e pode ser explorada por meio de requisições HTTP maliciosas. Organizações que utilizam o SAP Approuter fora do Cloud Foundry devem avaliar a exposição pública desses serviços e atualizar rapidamente os componentes vulneráveis. No caso da CVE-2026-44761, o principal risco está em configurações inseguras mantidas em produção. A correção precisa ser acompanhada por uma auditoria para confirmar se o cliente OAuth de exemplo existe e se credenciais conhecidas continuam válidas. Empresas que dependem de aplicações SAP devem testar os patches em ambientes controlados e aplicar as correções de acordo com a criticidade dos ativos. Também é recomendável monitorar logs de autenticação, chamadas de APIs, alterações em dados e comportamentos anormais nos serviços afetados.

A Microsoft lançou o maior Patch Tuesday de sua história, com correções para 622 vulnerabilidades únicas distribuídas entre Windows, SharePoint Server, Office, Microsoft Edge, SQL Server, Exchange Server, Defender, Azure e ferramentas de desenvolvimento. Duas falhas de elevação de privilégios já estavam sendo exploradas em ataques antes da publicação das atualizações. Os dois zero-days explorados afetam componentes particularmente sensíveis de ambientes corporativos: servidores SharePoint instalados localmente e o Active Directory Federation Services, conhecido como AD FS. Embora nenhuma das vulnerabilidades tenha recebido as maiores pontuações CVSS do pacote, ambas podem comprometer sistemas ligados ao armazenamento de documentos, autenticação e emissão de tokens de acesso. A falha que exige maior atenção é a CVE-2026-56164, uma vulnerabilidade de elevação de privilégios no Microsoft SharePoint Server. Segundo a Microsoft, um invasor não autenticado pode explorar o problema remotamente pela rede, sem possuir credenciais válidas e sem depender de qualquer interação do usuário. A vulnerabilidade recebeu pontuação CVSS 5.3 e classificação de gravidade moderada, mas já foi observada em ataques reais. O caso demonstra por que a priorização de patches não deve considerar apenas a nota CVSS: uma falha aparentemente menos grave pode representar risco imediato quando afeta um serviço exposto à internet e existe exploração ativa. A descoberta foi atribuída a profissionais de resposta a incidentes da Mandiant e à equipe FLARE, do Google. A Microsoft ainda não divulgou detalhes sobre os responsáveis pelos ataques, os alvos afetados ou a cadeia de exploração utilizada. A Agência de Segurança Cibernética e de Infraestrutura dos Estados Unidos, a CISA, também adicionou a CVE-2026-56164 ao catálogo de vulnerabilidades conhecidas e exploradas, o Known Exploited Vulnerabilities Catalog. A agência alertou que a falha permite acesso não autorizado a servidores SharePoint e recomendou que organizações apliquem as medidas de mitigação disponibilizadas pelo fabricante. O problema ganha relevância adicional porque o suporte estendido ao SharePoint Server 2016 e ao SharePoint Server 2019 terminou em 14 de julho de 2026, na mesma data da atualização. Organizações que ainda utilizam essas versões precisam avaliar a migração para uma edição suportada, como o SharePoint Server Subscription Edition, além de aplicar todas as correções disponíveis antes de manter servidores legados em operação. O segundo zero-day explorado é a CVE-2026-56155, uma falha de elevação de privilégios no Active Directory Federation Services. O AD FS fornece autenticação federada e emite tokens usados por aplicações e serviços para confiar na identidade de usuários dentro de uma organização. Nesse caso, o invasor precisa estar autenticado e possuir acesso local ao servidor vulnerável. A falha decorre de controles de acesso inadequados e recebeu pontuação CVSS 7.8, com severidade importante. A Microsoft atribuiu sua identificação à equipe interna de resposta a incidentes DART, o que sugere que o problema também foi encontrado durante a investigação de ataques reais. O impacto potencial ultrapassa o comprometimento de um único servidor. Como o AD FS participa da assinatura e validação de tokens de identidade, a obtenção de privilégios elevados nesse componente pode abrir caminho para acesso persistente a aplicações federadas, movimentação lateral e abuso de identidades corporativas. A Microsoft não informou quais privilégios podem ser obtidos, como os invasores alcançaram inicialmente os servidores AD FS nem quais organizações foram afetadas. Terceiro zero-day afeta o BitLocker O pacote de julho também corrige uma terceira vulnerabilidade considerada zero-day, embora não haja evidências de exploração ativa. A CVE-2026-50661 permite contornar um recurso de segurança do BitLocker, tecnologia de criptografia de disco utilizada pelo Windows. A falha foi classificada como importante, recebeu pontuação CVSS 6.1 e exige acesso físico ao dispositivo. Isso reduz sua urgência em comparação com as vulnerabilidades exploradas remotamente, mas o problema continua relevante em cenários envolvendo notebooks perdidos ou roubados, dispositivos corporativos compartilhados e equipamentos aos quais terceiros possam obter acesso direto. Falha do SharePoint pode integrar cadeia de execução remota Outra correção importante para administradores de SharePoint é a CVE-2026-55040, uma vulnerabilidade crítica de desvio de autenticação causada por problemas na validação de tokens JWT. A Rapid7 demonstrou que um invasor remoto e não autenticado pode utilizar a falha para assumir a identidade de um usuário ou administrador do SharePoint. Para isso, o atacante precisa conhecer previamente informações sobre a conta escolhida, como o Security Identifier, ou SID, do Active Directory, ou o User Principal Name, normalmente semelhante a um endereço de e-mail corporativo. Durante sua pesquisa para a competição Pwn2Own Berlin, a Rapid7 combinou a CVE-2026-55040 com uma segunda vulnerabilidade e conseguiu executar código remotamente em um servidor SharePoint sem autenticação. O componente de execução remota da cadeia ainda não recebeu correção e deverá ser tratado pela Microsoft no ciclo de atualizações de agosto de 2026. A instalação do patch de julho corrige o desvio de autenticação e interrompe a cadeia demonstrada pelos pesquisadores, mesmo antes da correção da segunda vulnerabilidade. A CVE-2026-55040 recebeu pontuação CVSS 9.1 e classificação crítica. Até o momento, não há indicação pública de exploração em ataques reais. Windows concentra 416 vulnerabilidades Das 622 falhas únicas corrigidas, 416 estão relacionadas ao Windows. O Microsoft Office responde por 82 vulnerabilidades, enquanto o Edge possui 46 correções. Ferramentas de desenvolvimento, incluindo Visual Studio, Visual Studio Code e GitHub Copilot, somam 27 falhas. O SharePoint Server recebeu correções para 17 vulnerabilidades. O Azure aparece com 11, seguido pelo SQL Server, com oito. Microsoft Defender e Exchange Server possuem cinco falhas cada, enquanto outros produtos completam as cinco vulnerabilidades restantes. Algumas contagens publicadas podem apresentar números superiores porque as mesmas 82 vulnerabilidades do Office aparecem novamente em uma categoria separada destinada ao Office 2016. Considerando apenas CVEs únicos, o total registrado pelo Security Update Guide da Microsoft é de 622. A Zero Day Initiative contabilizou 621 falhas devido a diferenças no método de classificação. A análise da Zero Day Initiative identificou 95 vulnerabilidades de execução remota de código no conjunto. Entre os problemas críticos estão falhas no VMSwitch, no serviço DHCP, no SharePoint, no SQL Server, no Microsoft Defender, no Windows Media Foundation e no Microsoft Office. Entre os destaques está a CVE-2026-57092, uma vulnerabilidade de execução remota de código no VMSwitch com pontuação CVSS 9.9. O VMSwitch é o comutador virtual utilizado pelo Hyper-V para conectar máquinas virtuais a redes físicas e virtuais. O serviço DHCP recebeu cinco correções de execução remota de código, incluindo a CVE-2026-56159, classificada como crítica e avaliada com CVSS 9.8. Servidores DHCP são responsáveis pela distribuição automática de endereços IP e configurações de rede, tornando falhas nesse componente particularmente relevantes para infraestruturas corporativas. O SharePoint também recebeu correções para as vulnerabilidades críticas CVE-2026-50522 e CVE-2026-58644, ambas com pontuação CVSS 9.8 e potencial de execução remota de código. No SQL Server, as CVEs CVE-2026-54117 e CVE-2026-54118 permitem execução remota de código e receberam pontuação 8.8. O Microsoft Defender corrige duas falhas críticas de execução de código, identificadas como CVE-2026-55011 e CVE-2026-55012. Já a CVE-2026-55008 afeta o Outlook Web Access do Exchange Server. O problema foi classificado pela Microsoft como falsificação de conteúdo, mas envolve uma condição de cross-site scripting armazenado, ou XSS persistente, com pontuação CVSS 9.6. Atualização pode interromper autenticação baseada em RC4 O Patch Tuesday de julho também conclui uma mudança gradual no tratamento do algoritmo RC4 pelo protocolo Kerberos. O RC4 é considerado um método legado e mais fraco de criptografia, mas ainda pode estar presente em contas de serviço, aplicações antigas e equipamentos que não oferecem suporte adequado ao AES. As atualizações lançadas a partir de julho removem o suporte à chave de registro RC4DefaultDisablementPhase, que permitia aos administradores retornar temporariamente ao comportamento anterior. Com a entrada da fase definitiva de aplicação das novas regras, o controlador de domínio deixa de presumir suporte ao RC4 em contas sem configuração explícita. Ambientes que ainda dependem do algoritmo podem enfrentar falhas de autenticação após a instalação dos patches. A Microsoft recomenda atualizar os controladores de domínio, monitorar os eventos de auditoria KDCSVC de 201 a 209, eliminar dependências do RC4 e validar a compatibilidade de serviços e dispositivos que utilizam Kerberos. Contas de serviço que não possuem chaves AES podem precisar de redefinição de senha para que novas chaves sejam geradas. Sistemas configurados explicitamente para utilizar apenas RC4, porém, exigem ajustes adicionais ou atualização dos componentes legados. Inteligência artificial aumenta volume de vulnerabilidades encontradas Cinco dias antes do Patch Tuesday, a Microsoft já havia informado que seus clientes deveriam esperar um volume maior de correções de segurança. A empresa atribui parte desse crescimento ao uso de inteligência artificial para analisar código, identificar padrões vulneráveis e acelerar a validação de possíveis falhas. Entre as tecnologias empregadas está o Microsoft Security Multi-Model Agentic Scanning Harness, ou MDASH. O sistema utiliza diferentes modelos de IA para examinar arquivos binários, comparar conclusões e encaminhar apenas descobertas com maior nível de confiança para as equipes de engenharia. Segundo a Microsoft, o uso de IA reduz o intervalo entre a descoberta da vulnerabilidade e a disponibilização da correção. Ao mesmo tempo, a empresa reconhece que invasores também podem utilizar automação para comparar versões corrigidas e vulneráveis de um software, identificar o trecho alterado e desenvolver exploits em menos tempo. A recomendação do fabricante é manter os sistemas atualizados, testar previamente as correções em ambientes representativos e priorizar ativos críticos ou expostos. Para organizações, o recorde de 622 vulnerabilidades torna inviável definir prioridades somente com base na classificação “crítica” ou na pontuação CVSS. A exploração ativa, a exposição do serviço à internet, a importância do ativo, a disponibilidade de código de exploração e a possibilidade de interrupção operacional precisam integrar o processo de gestão de vulnerabilidades. Neste ciclo, servidores SharePoint locais e AD FS devem ocupar o topo da fila de atualização, seguidos pelos demais componentes críticos presentes em cada ambiente.

A internet está passando por uma mudança silenciosa, mas estrutural: boa parte do tráfego que circula hoje pela web já não vem de pessoas, e sim de sistemas automatizados. Em uma coluna publicada no The Register, o jornalista Steven J. Vaughan-Nichols afirma que a web está se tornando um ambiente cada vez mais “escrito por IA para IA”, com humanos assumindo um papel secundário no consumo e na produção de conteúdo online. O ponto central do artigo é que os bots deixaram de ser apenas componentes técnicos invisíveis da internet e passaram a representar a maior parte de algumas medições de tráfego. Vaughan-Nichols cita dados públicos do Cloudflare Radar segundo os quais bots respondem por aproximadamente 57% a 58% das requisições HTTP para conteúdo HTML, enquanto humanos ficam em torno de 42% a 43%. A Imperva, em seu relatório Bad Bot, também aponta que o tráfego automatizado já representa a maioria da atividade web global, com impacto direto sobre aplicações, APIs e estratégias de segurança. Esse crescimento não envolve apenas robôs tradicionais de indexação, scraping ou fraude automatizada. A expansão da IA generativa e de agentes autônomos adiciona uma nova camada ao problema. Sistemas baseados em IA podem acessar páginas, coletar informações, resumir conteúdos, comparar produtos, automatizar pesquisas e interagir com serviços digitais em uma escala muito superior à navegação humana comum. Para empresas, isso torna mais difícil distinguir tráfego legítimo de abuso, especialmente em ambientes expostos à internet, APIs públicas, plataformas de login, e-commerce, serviços financeiros e aplicações SaaS. A preocupação também se estende à produção de conteúdo. O artigo menciona uma análise da Pangram, empresa especializada em detecção de textos gerados por IA, segundo a qual cerca de um em cada quatro conteúdos longos avaliados em plataformas como LinkedIn, Medium, X/Twitter e Reddit foi classificado como totalmente gerado por IA. No LinkedIn, a proporção seria ainda maior, com mais de 40% dos posts longos sinalizados como integralmente produzidos por inteligência artificial. Isso indica uma mudança relevante no ecossistema de informação digital. Parte do conteúdo disponível online passa a ser criada automaticamente, consumida por sistemas automatizados e reutilizada por outros modelos ou ferramentas de busca com IA. Esse ciclo aumenta o risco de degradação da qualidade informacional, especialmente quando respostas automatizadas se baseiam em resumos, páginas pouco confiáveis ou textos gerados por outros sistemas, em vez de fontes primárias, documentação técnica, pesquisas verificadas ou publicações especializadas. Para a cibersegurança, o avanço dessa “web automatizada” traz impactos concretos. O aumento de tráfego de bots pode dificultar a detecção de fraudes, ampliar ataques de credential stuffing, scraping, abuso de APIs, spam, manipulação de métricas e campanhas de desinformação. Com agentes de IA capazes de executar tarefas em sequência, os times de segurança precisam reavaliar controles de bot management, autenticação, reputação de tráfego, rate limiting, proteção de APIs e monitoramento comportamental. O relatório da Imperva destaca justamente esse ponto ao afirmar que a automação movida por IA está transformando a forma como aplicações e APIs são acessadas, tornando mais complexo identificar a intenção por trás de uma requisição. Nem todo bot é malicioso, mas a fronteira entre automação legítima, coleta agressiva de dados, fraude e exploração técnica tende a ficar menos clara à medida que agentes autônomos passam a agir em nome de usuários, empresas ou campanhas maliciosas. Outro risco está na confiança excessiva em respostas geradas por IA. Vaughan-Nichols argumenta que sistemas de IA podem apresentar informações incorretas com aparência de segurança, sobretudo quando misturam dados confiáveis com fontes fracas, conteúdos reciclados ou textos sem validação. Esse problema afeta desde buscas simples até temas críticos, como tecnologia, saúde, segurança, decisões corporativas e análise de riscos. A perda de centralidade do usuário humano na web. A internet nasceu como um ambiente de publicação, consulta, colaboração e descoberta feita por pessoas. Com o crescimento de conteúdo sintético, bots, agentes autônomos e resumos automatizados, a experiência digital tende a ser cada vez mais mediada por sistemas que filtram, reproduzem e reorganizam informações antes que elas cheguem ao leitor. Para empresas, o cenário exige uma abordagem mais madura de governança digital. Não basta apenas bloquear bots de forma indiscriminada, já que parte da automação pode ser legítima ou necessária para indexação, acessibilidade, pesquisa e integração entre sistemas. O desafio está em classificar comportamento, contexto e intenção, separando tráfego útil de abuso operacional, fraude ou exploração. A tendência também afeta comunicação corporativa, SEO, reputação, marketing e inteligência de ameaças. Se bots e modelos de IA passam a consumir mais conteúdo que usuários humanos, organizações precisam entender como suas informações são coletadas, interpretadas e reaproveitadas por sistemas automatizados. Isso inclui proteção contra scraping indevido, monitoramento de exposição de dados, controle de APIs públicas e revisão de políticas de publicação. A web dominada por bots não significa o fim da internet como espaço humano, mas aponta para uma nova fase. Nela, a confiança dependerá menos da quantidade de informação disponível e mais da capacidade de verificar origem, autoria, qualidade e contexto. Para usuários, empresas e equipes de segurança, a navegação deixa de ser apenas uma questão de acesso e passa a envolver curadoria, validação e defesa contra uma camada crescente de automação.

A expansão dos data centers de inteligência artificial está levando a indústria de memória a um dos ciclos de crescimento mais intensos de sua história. Em apenas um ano, as receitas da SK Hynix e da Micron praticamente triplicaram, enquanto a Samsung registrou um avanço próximo de 100%, impulsionada pela procura por componentes usados em servidores equipados com GPUs. O aumento da demanda por memória de alta largura de banda, conhecida como HBM, módulos DDR5 e armazenamento NAND Flash consumiu grande parte da capacidade disponível no mercado. Esses componentes são essenciais para alimentar aceleradores de IA, armazenar modelos e movimentar rapidamente grandes volumes de dados entre processadores, memória e sistemas de armazenamento. A escassez resultante já pressiona os preços da infraestrutura de inteligência artificial e também de produtos destinados ao consumidor, como computadores, smartphones e outros equipamentos eletrônicos. A HBM, em particular, tornou-se um componente estratégico porque oferece a largura de banda necessária para manter GPUs e aceleradores trabalhando com grandes modelos sem ficarem ociosos à espera de dados. Para atender a esse crescimento, Samsung, SK Hynix e Micron iniciaram uma nova rodada de investimentos em fábricas e linhas de produção. O problema é que ampliar a oferta de semicondutores exige anos, bilhões de dólares e uma estrutura industrial extremamente complexa. Quando as novas instalações finalmente entrarem em operação, a demanda por IA poderá estar em um estágio diferente, criando o risco de capacidade excessiva e queda abrupta nos preços. Investimentos de centenas de bilhões Em junho, o presidente sul-coreano Lee Jae Myung anunciou um programa de US$ 576 bilhões liderado por Samsung e SK Hynix para ampliar a produção de chips e fortalecer as cadeias de suprimentos relacionadas à inteligência artificial. A Micron, por sua vez, informou que investirá até US$ 3 bilhões para reforçar a cadeia norte-americana de semicondutores. A fabricante sediada em Idaho também trabalha para ampliar a produção em unidades localizadas em Singapura, Taiwan e Japão. Apesar dos valores elevados, novas fábricas de DRAM e NAND não conseguem responder rapidamente a picos de procura. Antes do início da produção, as empresas precisam garantir financiamento, escolher terrenos, obter licenças e construir instalações de suporte para fornecimento elétrico, climatização, controle de partículas e filtragem de água ultrapura. Depois que as salas limpas ficam prontas, ainda é necessário instalar e validar equipamentos especializados de litografia, transporte de wafers, inspeção e testes. O ajuste das linhas para alcançar níveis economicamente aceitáveis de rendimento — a proporção de chips funcionais produzidos em cada wafer — também pode consumir vários meses. Segundo a análise, uma fábrica iniciada atualmente pela Samsung, SK Hynix ou Micron levaria pelo menos três anos para entrar em operação. A expansão até a capacidade plena demoraria ainda mais. Por isso, a escassez e os preços elevados devem continuar no curto e no médio prazo. Preços podem permanecer altos até 2028 Um relatório recente da IDC citado pelo The Register estima que o alívio para a escassez de memória pode não chegar antes de 2028. Até lá, fabricantes devem continuar registrando receitas elevadas, enquanto provedores de infraestrutura, desenvolvedores de modelos e startups de IA enfrentam custos crescentes. A pressão sobre os preços atinge diretamente a economia dos serviços de inteligência artificial. Empresas como OpenAI e outras desenvolvedoras de modelos investiram centenas de bilhões de dólares de capital de risco nos últimos anos para criar sistemas, agentes e ferramentas mais avançados. À medida que essas companhias buscam modelos de negócio sustentáveis, o custo da infraestrutura torna-se um elemento central. Memória mais cara aumenta o investimento necessário em servidores e pode elevar o custo de treinamento e inferência, incluindo o custo por token processado pelos modelos. Nesse contexto, o desafio não é apenas comprovar que a tecnologia funciona, mas demonstrar que os benefícios gerados justificam os investimentos atuais e futuros. Startups financiadas por capital de risco precisarão aumentar receitas e margens antes de consumir suas reservas financeiras. Ciclo histórico de expansão e queda A indústria de memória é historicamente marcada por ciclos de alta e baixa. Como DRAM e NAND são tratadas como commodities, os preços sobem quando a capacidade disponível fica abaixo da demanda e podem despencar quando novas fábricas aumentam excessivamente a oferta. Durante os períodos de alta, os fabricantes usam receitas e margens maiores para financiar novas instalações. Entretanto, as fábricas levam anos para ficar prontas. Quando entram em operação, podem ampliar a oferta justamente no momento em que o mercado começa a desacelerar. Esse padrão já provocou sucessivos períodos de excesso de estoque, descontos e prejuízos na indústria. O atual ciclo relacionado à IA é particularmente arriscado devido à escala dos investimentos e ao volume de capacidade que está sendo planejado. A expansão da inteligência artificial alterou uma tendência que, em condições normais, poderia ter provocado redução nos preços de memória entre 2025 e 2026. Em vez disso, servidores de IA absorveram praticamente toda a DRAM, HBM e NAND disponível, prolongando o ciclo de valorização. Oferta pode crescer quando demanda perder força O principal risco para os fabricantes é que a demanda por infraestrutura de IA não alcance as projeções usadas para justificar os novos investimentos. Caso startups reduzam gastos, provedores de nuvem desacelerem a construção de data centers ou clientes empresariais não adotem IA na velocidade prevista, as novas fábricas podem entrar em operação diante de um mercado enfraquecido. Nesse cenário, a indústria enfrentaria uma combinação de capacidade excessiva, estoques elevados e queda de preços. A dimensão dos investimentos atuais poderia transformar uma desaceleração convencional em um ciclo de baixa mais severo do que os anteriores. Por outro lado, se a demanda continuar crescendo, a escassez poderá se prolongar e manter elevados os custos de GPUs, servidores, armazenamento e eletrônicos. Essa pressão também pode limitar a competitividade de empresas menores, que não possuem o poder de compra dos grandes provedores de nuvem e laboratórios de IA. O mercado de memória está, portanto, diante de uma corrida entre dois movimentos: a entrada de novas fábricas e o prazo financeiro das empresas que sustentam o crescimento da inteligência artificial. Os fabricantes precisam ampliar a oferta antes que a falta de componentes limite o setor, mas sem produzir em excesso caso o ritmo de investimentos em IA diminua.

A Microsoft identificou uma nova ameaça destrutiva para Windows que combina funções de backdoor, múltiplos mecanismos de destruição de dados e recursos semelhantes a ransomware em um único pacote modular. Chamado de GigaWiper pela equipe de inteligência de ameaças da empresa, o malware foi observado pela primeira vez em ataques detectados em outubro do ano passado e foi descrito como um implante escrito em Golang com capacidade de comando e controle, espionagem, criptografia e destruição de sistemas comprometidos. De acordo com a Microsoft, o GigaWiper representa uma mudança relevante na evolução dos wipers, uma categoria de malware normalmente projetada para destruir dados sem necessariamente buscar extorsão financeira. Neste caso, os operadores reuniram em uma única ferramenta funcionalidades que antes apareciam em famílias separadas de malware, criando uma espécie de backdoor destrutivo sob demanda. A estrutura permite que os invasores escolham diferentes comandos conforme o objetivo da operação, desde coleta de informações e controle remoto até apagamento de discos e criptografia irreversível de arquivos. A análise da Microsoft identificou dois tipos de amostras do GigaWiper em ambientes de vítimas. Ambas são arquivos executáveis portáveis não ofuscados escritos em Golang. A primeira funciona como um wiper independente, atuando diretamente no nível físico do disco. Em vez de apenas apagar arquivos, essa variante sobrescreve conteúdo bruto do disco, remove metadados de partição e reinicia o sistema usando funcionalidades nativas de desligamento do Windows, com reinicialização imediata e sem atraso. Esse tipo de ação pode deixar o dispositivo inutilizável e dificultar qualquer tentativa de recuperação. A segunda amostra é mais ampla e incorpora a mesma capacidade de destruição de disco como apenas um dos componentes de um backdoor. Além disso, ela estabelece persistência no sistema e cria comunicação com infraestrutura de comando e controle. Segundo a análise, o malware usa RabbitMQ sobre AMQP para receber comandos do servidor C2 e Redis para atualizar o status e a saída das operações executadas. Essa arquitetura indica uma preocupação dos operadores em manter controle contínuo sobre máquinas infectadas e acompanhar a execução das tarefas de forma organizada. O GigaWiper divide seus comandos em diferentes categorias. Entre elas estão funções do tipo “always run”, usadas para atividades contínuas como gravação de tela; comandos de gerenciamento do sistema; modos especiais de execução; e comandos de shell para executar funcionalidades adicionais. Essa organização modular permite que os invasores usem o malware tanto para observação e movimentação operacional quanto para ações destrutivas no momento considerado mais conveniente. Entre os recursos mais críticos estão comandos capazes de desabilitar mecanismos de recuperação do Windows, provocar uma tela azul da morte, conhecida como BSOD, e deixar o equipamento incapaz de inicializar novamente. O malware também inclui uma função destrutiva baseada em grande parte no ransomware Crucio. Essa rotina criptografa arquivos com chaves geradas aleatoriamente que não são armazenadas, o que elimina a possibilidade prática de descriptografia posterior pelas vítimas. Nesse cenário, mesmo que a ação se pareça com ransomware, o resultado se aproxima mais de um wiper, já que não há caminho viável para restaurar os dados por meio de uma chave de resgate. Outra funcionalidade permite criptografar ou descriptografar arquivos em massa usando AES-256 no modo CBC, enquanto um comando separado utiliza o MinIO Client, conhecido como mc, para enviar arquivos roubados a um armazenamento remoto. Essa combinação amplia o impacto potencial da ameaça: antes de destruir ou inutilizar os sistemas, os invasores podem coletar dados, capturar telas, registrar atividades e exfiltrar informações sensíveis. O backdoor também executa comandos PowerShell, captura screenshots, grava a tela do dispositivo comprometido, coleta informações do sistema, limpa logs de eventos do Windows e permite controle remoto, incluindo interação com teclado e mouse. Esses recursos dão aos operadores capacidade de vigilância, movimentação e manipulação direta da máquina infectada, o que pode ser usado tanto para espionagem quanto para preparação de uma etapa destrutiva posterior. A Microsoft afirma que o GigaWiper reúne componentes de pelo menos três famílias de malware anteriormente separadas: o ransomware Crucio, uma reimplementação em Go do FlockWiper e um wiper de disco independente. Para os analistas da empresa, a consolidação dessas funções em um único backdoor mostra a evolução das ferramentas do agente responsável, oferecendo mais formas de controlar e destruir sistemas infectados. A empresa não detalhou a escala dos ataques nem o perfil das organizações atingidas. Ainda assim, os dados divulgados indicam uma ameaça relevante para ambientes corporativos Windows, especialmente pelo uso de capacidades destrutivas combinadas com controle remoto e possível roubo de dados. Para equipes de segurança, o caso chama atenção para a necessidade de monitorar comportamentos associados a persistência, uso anômalo de PowerShell, comunicação com serviços de mensageria e armazenamento remoto, limpeza de logs, desativação de recuperação do sistema e atividades incomuns no nível do disco. O GigaWiper também se encaixa em uma tendência mais ampla de convergência entre ransomware, wipers e ferramentas de backdoor. Em vez de operar com uma única finalidade, ameaças desse tipo passam a oferecer aos invasores múltiplas opções: espionagem, exfiltração, sabotagem, criptografia e destruição. Para empresas e governos, esse modelo aumenta o risco de interrupção operacional, perda definitiva de dados, exposição de informações confidenciais e custos elevados de resposta a incidentes.

O consumo de energia elétrica por data centers na Irlanda voltou a crescer em 2025 e chegou a 23% de toda a eletricidade medida no país, segundo dados do Central Statistics Office (CSO), o órgão nacional de estatísticas irlandês. O avanço ocorreu apesar de restrições impostas à conexão de novos data centers à rede elétrica, especialmente na região de Dublin, onde a maior parte dessas instalações está concentrada. De acordo com os dados, os data centers consumiram 7.663 GWh em 2025, alta de 10% em relação aos 6.973 GWh registrados em 2024. No mesmo período, todos os demais consumidores aumentaram o consumo em apenas 2%, o que mostra a diferença de ritmo entre a expansão da infraestrutura digital e o crescimento geral da demanda elétrica do país. A participação dos data centers na matriz de consumo irlandesa vem crescendo de forma constante há uma década. Em 2015, essas instalações representavam 5% da eletricidade medida. Em 2021, já respondiam por 14%. Em 2023, ultrapassaram a marca de 20%. Agora, com 23% em 2025, os grandes centros de processamento de dados consomem quase um quarto da energia elétrica medida no país. O volume também supera o consumo das residências urbanas, que representaram 18% da eletricidade medida, e equivale a mais que o dobro da fatia consumida por residências rurais, que ficou em 9%. Segundo Grzegorz Głaczyński, estatístico da divisão de Clima e Energia do CSO, o consumo dos data centers cresceu todos os anos sem exceção, mais que dobrando entre 2015 e 2019, de 1.240 GWh para 2.490 GWh, e triplicando novamente entre 2019 e 2025, até alcançar 7.663 GWh. A escalada ocorre em um momento de forte pressão global por capacidade computacional, impulsionada por cloud computing, serviços digitais, inteligência artificial, armazenamento de dados e cargas de trabalho corporativas cada vez mais dependentes de infraestrutura em larga escala. Data centers modernos concentram servidores, sistemas de armazenamento, redes de alta velocidade, equipamentos de refrigeração e mecanismos de redundância energética, o que torna essas estruturas altamente intensivas em eletricidade. Na Irlanda, o problema ganhou dimensão estratégica porque o país se tornou um polo relevante para grandes empresas de tecnologia, especialmente na região de Dublin. A concentração de data centers nessa área gerou preocupação sobre a capacidade da rede elétrica, a segurança do fornecimento e o impacto sobre consumidores residenciais e comerciais. A situação levou a Commission for Regulation of Utilities (CRU), autoridade reguladora de serviços públicos da Irlanda, a impor uma espécie de moratória efetiva para a conexão de novos data centers à rede elétrica, principalmente na área de Dublin. A medida buscava conter a pressão sobre a infraestrutura energética enquanto o país avaliava formas de equilibrar crescimento digital, disponibilidade de energia e estabilidade da rede. Essa restrição foi suspensa em dezembro de 2025, mas os números mostram que o consumo ainda cresceu 10% enquanto a moratória esteve em vigor durante quase todo o ano. O dado sugere que a expansão do uso de energia não depende apenas de novas conexões, mas também do aumento da carga em instalações já existentes, da maior densidade computacional e da operação contínua de serviços digitais. Com as novas regras, operadores de data centers que solicitarem conexões superiores a 10 MW precisam fornecer geradores ou sistemas de baterias capazes de entregar potência equivalente. Além disso, essas estruturas deverão devolver energia à rede nacional quando necessário, funcionando como uma espécie de recurso de suporte ao sistema elétrico. Esse modelo já foi adotado por empresas como Microsoft e Digital Realty. A exigência muda a lógica de operação dos data centers. Em vez de serem apenas grandes consumidores de energia, essas instalações passam a ser pressionadas a atuar também como participantes da estabilidade da rede. Na prática, isso pode envolver baterias, geração local, sistemas de resposta à demanda e acordos operacionais para reduzir ou devolver energia em momentos críticos. O avanço do consumo também tem impacto político e social. A Irlanda possui pouco mais de 5 milhões de habitantes e, segundo o artigo, há mais de 80 data centers no país. Essa densidade ajuda a explicar o aumento de protestos contra novas instalações, especialmente diante de preocupações com custo da eletricidade, uso de recursos naturais, disponibilidade de energia e benefícios econômicos locais. O debate irlandês reflete uma tendência global. À medida que empresas ampliam data centers para suportar cloud, IA generativa e serviços digitais, governos e reguladores passam a discutir limites, eficiência energética, emissões, uso de água e impacto sobre redes elétricas locais. Nos Estados Unidos, por exemplo, a expansão de grandes instalações também provocou resistência pública, levando autoridades a cobrar compromissos de empresas de tecnologia para evitar aumento de tarifas e pressão sobre recursos hídricos. Para o setor de tecnologia, o caso mostra que a infraestrutura física da transformação digital está se tornando tão crítica quanto software, conectividade e segurança. O crescimento de IA e cloud depende de capacidade computacional, mas também de energia abundante, estável e economicamente viável. Sem isso, data centers podem se tornar um gargalo para expansão de serviços digitais e para a continuidade operacional de empresas que dependem dessas plataformas. A pressão sobre a rede elétrica também amplia a relação entre data centers e cibersegurança. Ambientes desse porte fazem parte da infraestrutura crítica digital e sua dependência de energia, refrigeração, conectividade e automação industrial aumenta a superfície de risco. Falhas operacionais, indisponibilidade energética, ataques a sistemas de controle ou interrupções em provedores de infraestrutura podem afetar serviços de cloud, aplicações corporativas, bancos, governos e plataformas digitais usadas por milhões de pessoas.

A Capita ainda não aceitou reembolsar integralmente o governo do Reino Unido pelos custos de recuperação do Civil Service Pension Scheme (CSPS), sistema responsável pela administração de pensões de servidores públicos britânicos. A cobrança foi discutida em uma audiência parlamentar marcada por críticas ao desempenho da terceirizada, que assumiu a operação do serviço após vencer um contrato de sete anos avaliado em £239 milhões. O CSPS entrou em operação sob gestão da Capita em dezembro do ano passado. Pouco depois, problemas nos sistemas online foram revelados pelo The Register e, em janeiro, a situação já era descrita como uma falha grave no serviço. Segundo o relato apresentado ao Parlamento, alguns servidores aposentados enfrentaram dificuldades financeiras por causa dos problemas na administração do esquema de pensões. A Capita venceu o contrato em novembro de 2023, substituindo a MyCSP, que administrava o esquema em nome do Cabinet Office desde um contrato de £238 milhões firmado em 2012. A transição, porém, tornou-se alvo de questionamentos sobre governança, qualidade operacional, capacidade de entrega e responsabilidade financeira por falhas em serviços públicos críticos. Durante a audiência conjunta do Public Accounts Committee e do Public Administration and Constitutional Affairs Committee, o ministro do Cabinet Office, Nick Thomas-Symonds, afirmou que o governo mobilizou uma equipe de recuperação de pensões com 140 funcionários em 13 de janeiro. Segundo ele, o governo está determinado a fazer a Capita arcar com esses custos, argumentando que dinheiro público não deve financiar falhas corporativas. Angela MacDonald, secretária permanente e vice-presidente-executiva da HM Revenue & Customs, estimou que o investimento total no programa de recuperação do governo, incluindo outras 40 pessoas além da equipe emergencial, deve chegar a £12,5 milhões no ano fiscal de 2026-2027. O valor reforça a escala do esforço necessário para estabilizar um serviço essencial para aposentados e beneficiários do setor público. Questionado pelos parlamentares, Adolfo Hernandez, CEO do grupo Capita, recusou-se a confirmar se a empresa pagaria todo o montante investido pelo governo na intervenção emergencial. Ele afirmou que a companhia nunca teve a intenção de operar com uma equipe de reforço do governo e disse ter assumido o compromisso de começar a absorver parte do processo a partir de abril. A resposta provocou reação do presidente do Public Accounts Committee, Sir Geoffrey Clifton-Brown, que interrompeu Hernandez para lembrar que o ministro havia considerado inaceitável limitar a responsabilidade da empresa. Segundo Clifton-Brown, a posição do governo era de que a Capita deveria pagar a conta completa da equipe de reforço desde fevereiro, quando a intervenção começou. Hernandez respondeu que ouviu a cobrança, mas afirmou que a conversa comercial ainda não havia ocorrido. O executivo disse ter feito uma oferta e indicou que outras decisões relacionadas ao contrato também precisariam ser discutidas em conjunto. Ele afirmou que ouviu “alto e claro” o que estava sendo pedido pelo ministro, pela secretária permanente e pelos parlamentares, mas evitou assumir publicamente o compromisso de pagar todos os custos. O caso também envolve metas de recuperação não cumpridas. A Capita havia prometido restabelecer o CSPS aos níveis normais de serviço até o fim de junho, mas perdeu esse prazo. A empresa informou aos parlamentares que espera voltar à normalidade até setembro para todos os casos, exceto os mais complexos. O governo já penalizou a Capita em £10 milhões em pagamentos relacionados ao desempenho da empresa durante a transição do serviço de pensões e informou que negocia penalidades adicionais. Hernandez pediu desculpas anteriormente pela performance da companhia no CSPS, mas a audiência mostrou que o impasse financeiro e operacional permanece aberto. Embora o caso esteja centrado em pensões, ele também evidencia riscos recorrentes em contratos públicos de tecnologia e terceirização de processos críticos. Sistemas que administram benefícios, pagamentos, dados pessoais e registros históricos dependem de qualidade de dados, integração entre plataformas, governança de transição, atendimento ao usuário e controles operacionais robustos. Quando esses elementos falham, o impacto deixa de ser apenas técnico e passa a afetar diretamente a renda e a estabilidade financeira de cidadãos. Para governos e empresas, o episódio reforça a importância de cláusulas contratuais claras sobre responsabilidade, níveis de serviço, penalidades, planos de contingência, auditoria, transição assistida e recuperação operacional. Em serviços públicos sensíveis, a terceirização não elimina a responsabilidade institucional do Estado, mas exige mecanismos de controle capazes de impedir que falhas de fornecedores se transformem em crises administrativas e sociais. O impasse também se conecta a uma discussão mais ampla sobre resiliência digital no setor público. Sistemas de pensões, saúde, tributação, identidade e benefícios sociais dependem de plataformas confiáveis e de fornecedores capazes de sustentar operações em escala. Quando a recuperação exige centenas de servidores públicos adicionais e milhões de libras em investimento emergencial, o problema deixa de ser apenas uma disputa contratual e passa a ser um alerta sobre continuidade de serviços essenciais.