Uma nova campanha de ciberespionagem identificada por pesquisadores da Kaspersky revelou que hackers estão mirando organizações governamentais e empresas da indústria de aviação na Rússia com o objetivo de roubar dados altamente sensíveis — especialmente informações geoespaciais utilizadas em sistemas de navegação, satélites e infraestrutura crítica. O grupo, identificado como HeartlessSoul, está ativo desde pelo menos setembro de 2025 e conduz ataques direcionados com foco em dados de GIS (Geographic Information Systems). Esses arquivos contêm informações detalhadas sobre terrenos, redes de engenharia, infraestrutura e, potencialmente, instalações estratégicas — dados críticos para operações militares, planejamento logístico e inteligência. A cadeia de ataque segue um padrão bem estruturado. O vetor inicial é predominantemente phishing, com envio de e-mails contendo arquivos compactados maliciosos. Ao abrir esses arquivos, a vítima executa inadvertidamente o malware, iniciando o comprometimento do sistema. Paralelamente, os invasores também utilizam campanhas de malvertising — anúncios falsos que simulam sites legítimos — para distribuir softwares adulterados relacionados à aviação. Em uma etapa mais sofisticada, os hackers registram domínios falsos que imitam plataformas legítimas do setor aeronáutico. Esses sites hospedam instaladores maliciosos disfarçados de ferramentas confiáveis. Ao executar o download, o usuário inicia automaticamente o processo de infecção, permitindo que o malware estabeleça persistência no dispositivo comprometido. Um dos pontos mais relevantes da campanha é o uso indevido de plataformas legítimas, como o SourceForge, para distribuição de malware. Os invasores publicaram versões falsas de softwares populares, como o GearUP, originalmente utilizado para otimizar conexões em jogos online. Usuários que buscavam a ferramenta acabavam instalando spyware sem perceber. Uma vez dentro do ambiente da vítima, o malware executa uma série de atividades de coleta de dados. Entre as capacidades identificadas estão captura de screenshots, registro de teclas digitadas (keylogging), coleta de dados de navegação, exfiltração de arquivos locais e roubo de credenciais — incluindo acesso a contas do Telegram. O malware também consegue identificar a localização do dispositivo, o que pode ampliar o valor estratégico das informações coletadas. A análise também revelou possíveis conexões com outro grupo hacker, conhecido como Goffee, que já havia conduzido ataques semelhantes, incluindo campanhas focadas na extração de dados a partir de dispositivos removíveis, como pen drives. Essa sobreposição sugere possível colaboração ou compartilhamento de infraestrutura entre grupos. Embora o foco principal da campanha seja o setor de aviação, há indícios de que o alcance pode ser ainda maior. Segundo análises independentes, o malware também foi distribuído por meio de arquivos que simulavam simuladores de drones FPV e ferramentas para contornar restrições do serviço de internet via satélite Starlink. Esse detalhe amplia o escopo dos alvos, podendo incluir operadores de drones, especialistas em comunicação e até perfis com ligação militar. Do ponto de vista estratégico, esse tipo de ataque reforça uma tendência crescente no cenário de ameaças: o foco em dados geoespaciais e inteligência operacional. Em conflitos modernos, informações de localização, mapeamento e infraestrutura são tão valiosas quanto dados financeiros ou credenciais — pois podem impactar diretamente operações militares e decisões táticas. A campanha também evidencia a evolução das técnicas de distribuição de malware, com uso combinado de engenharia social, plataformas legítimas e spoofing de domínios — dificultando a detecção e aumentando a taxa de sucesso dos ataques.

O Congresso dos Estados Unidos aprovou, em caráter emergencial, uma extensão temporária da Seção 702 da Foreign Intelligence Surveillance Act, evitando que um dos principais programas de vigilância estrangeira do país expirasse. A decisão veio poucas horas antes do prazo final, refletindo um cenário de forte disputa política e divergências entre Câmara e Senado. A Câmara dos Deputados aprovou inicialmente uma extensão de três anos, mas o projeto foi rejeitado pelo Senado devido à inclusão de uma cláusula que impedia o Federal Reserve de avançar com uma moeda digital. Diante do impasse, os senadores optaram por uma solução intermediária: uma extensão de 45 dias, aprovada por consenso, garantindo a continuidade do programa até 12 de junho. A medida agora segue para sanção do então presidente Donald Trump, que deve aprová-la antes do prazo final. A decisão temporária busca dar mais tempo para negociações sobre uma renovação de longo prazo, considerada crítica para a estratégia de inteligência dos EUA. A Seção 702 é uma das ferramentas mais poderosas de coleta de inteligência do país, permitindo que agências monitorem comunicações de alvos estrangeiros sem necessidade de mandado judicial individual. No entanto, o programa é alvo constante de críticas por coletar, de forma incidental, dados de cidadãos americanos — o que levanta preocupações sobre privacidade e abuso de vigilância. Do ponto de vista técnico, o funcionamento da Seção 702 envolve a interceptação de comunicações digitais por meio de provedores de serviços, análise de metadados e correlação de informações para identificação de ameaças. Esse modelo se conecta diretamente a práticas modernas de inteligência baseadas em big data, onde grandes volumes de dados são processados para detectar padrões suspeitos e atividades potencialmente maliciosas. O impasse político que levou à prorrogação emergencial evidencia o equilíbrio delicado entre segurança nacional e proteção de direitos civis. Enquanto defensores argumentam que a ferramenta é essencial para prevenir ameaças externas e ataques cibernéticos, críticos apontam a falta de transparência e supervisão adequada. Como parte do acordo para a extensão temporária, o Senado também aprovou a desclassificação de uma decisão recente do tribunal de vigilância (FISC), o que pode trazer mais clareza sobre como a Seção 702 vem sendo utilizada na prática. A expectativa agora é que, até junho, o Congresso consiga chegar a um consenso sobre uma renovação mais ampla e estruturada. Enquanto isso, o episódio reforça uma tendência global: o aumento do uso de mecanismos de vigilância digital por governos, impulsionado por ameaças cibernéticas, conflitos geopolíticos e a crescente dependência de dados para operações de inteligência.

Um novo estudo da organização Internet Matters revela que os mecanismos de verificação de idade implementados no Reino Unido estão longe de cumprir seu objetivo principal: impedir o acesso de menores a conteúdos impróprios. Mesmo após a entrada em vigor da Online Safety Act, técnicas extremamente simples — como desenhar um bigode no rosto — têm sido suficientes para enganar sistemas automatizados de detecção. A pesquisa, conduzida com mais de mil crianças e seus responsáveis, mostra um cenário preocupante: 46% dos menores afirmam que conseguem burlar facilmente os controles de idade, enquanto apenas 17% consideram esses mecanismos difíceis de enganar. Entre as estratégias mais comuns estão o uso de datas de nascimento falsas, empréstimo de documentos de terceiros e até manipulação de sistemas de reconhecimento facial com recursos improvisados, como filtros, personagens de videogame ou alterações físicas no rosto. Do ponto de vista técnico, esses sistemas de verificação frequentemente dependem de algoritmos de visão computacional e validação biométrica leve — como selfies ou análise facial em tempo real. No entanto, a ausência de mecanismos robustos de detecção de fraude (liveness detection avançado, validação documental forte ou correlação com bases confiáveis) abre espaço para bypass simples, evidenciando limitações na maturidade dessas soluções. Outro fator crítico identificado no estudo é o comportamento dos próprios responsáveis. Cerca de 17% dos pais admitiram ajudar ativamente os filhos a contornar as restrições, enquanto outros 9% afirmaram ignorar esse tipo de prática. Esse dado reforça que o problema não é apenas tecnológico, mas também comportamental e cultural — o que reduz significativamente a eficácia de qualquer controle implementado apenas no nível da plataforma. O impacto é direto: mesmo com mecanismos de verificação ativos, 49% das crianças relataram ter tido contato recente com conteúdos prejudiciais online. Isso indica que, além das falhas nos age gates, há também limitações nos próprios algoritmos de recomendação e moderação de conteúdo das plataformas, que continuam expondo menores a materiais inadequados. Esse cenário evidencia uma lacuna estrutural na abordagem atual de segurança digital infantil. A estratégia baseada apenas em “bloquear acesso por idade” não é suficiente diante da criatividade dos usuários e da baixa fricção dos sistemas implementados. Em termos de cibersegurança, trata-se de um problema clássico de controle fraco de identidade, onde a autenticação não garante, de fato, quem está do outro lado. Especialistas apontam que soluções mais eficazes exigem uma combinação de tecnologias mais robustas — como validação documental segura, biometria com detecção de prova de vida avançada e análise comportamental — além de políticas mais rígidas por parte das plataformas e maior engajamento dos responsáveis. Rachel Huggins, CEO da Internet Matters, destacou que o momento exige ações mais firmes tanto do governo quanto da indústria. Segundo ela, a segurança precisa ser incorporada desde o design das plataformas (security by design), e não apenas adicionada como resposta a incidentes. O debate ganha ainda mais relevância em um contexto global, onde regulações semelhantes estão sendo discutidas ou implementadas em diversos países. A dificuldade em garantir controles efetivos de idade levanta questionamentos sobre privacidade, viabilidade técnica e responsabilidade compartilhada entre empresas, governos e famílias.

A Palantir Technologies voltou ao centro das discussões globais após declarações controversas de seu CEO, Alex Karp, durante a apresentação de resultados do primeiro trimestre de 2026. Segundo o executivo, cerca de “10% do mundo odeia profissionalmente” a empresa — uma afirmação que reflete o papel cada vez mais sensível da companhia no uso de tecnologia para fins militares. O crescimento da empresa está diretamente ligado ao aumento das tensões geopolíticas, especialmente no contexto da guerra envolvendo o Irã. Durante o período, o Department of Defense ampliou significativamente o uso do sistema Maven, plataforma de inteligência artificial da Palantir voltada para análise de dados e suporte a decisões em cenários de combate. O volume de uso da tecnologia dobrou em apenas quatro meses, evidenciando a crescente dependência de soluções baseadas em IA em operações militares modernas. A plataforma Maven atua como um sistema avançado de processamento e correlação de dados, permitindo identificar padrões, alvos e comportamentos a partir de grandes volumes de informações — incluindo imagens de satélite, sinais e dados operacionais. Esse tipo de tecnologia se insere em uma tendência maior de militarização da inteligência artificial, onde decisões críticas passam a ser cada vez mais assistidas por algoritmos. Do ponto de vista financeiro, os números refletem esse movimento. O governo dos Estados Unidos aumentou seus gastos com a Palantir em 84% na comparação anual, atingindo US$ 687 milhões no trimestre. Esse crescimento também representa um aumento de 20% em relação ao trimestre anterior, consolidando o setor governamental como principal motor de receita da empresa. Além do setor militar, a Palantir também destacou avanços em aplicações industriais. Um exemplo citado foi o contrato de US$ 484 milhões com a Marinha dos EUA, focado na modernização da base industrial marítima por meio da plataforma ShipOS. Os resultados operacionais chamam atenção: processos que levavam até 200 horas passaram a ser executados em segundos, enquanto ciclos de revisão contratual foram acelerados em até 575%. Apesar dos ganhos operacionais e financeiros, o posicionamento da empresa levanta preocupações éticas e reputacionais. A Palantir mantém contratos com governos e operações que frequentemente são alvo de críticas internacionais, incluindo ações militares controversas e acusações de violações de direitos humanos. O próprio CEO reconheceu que a impopularidade faz parte do modelo de atuação da empresa. Karp reforçou que a Palantir prioriza a segurança nacional dos Estados Unidos acima de interesses comerciais, deixando claro para clientes privados que essa hierarquia não é negociável. Essa postura evidencia um alinhamento estratégico profundo com o governo americano, o que pode representar tanto uma vantagem competitiva quanto um risco reputacional significativo. No cenário mais amplo, o crescimento da Palantir reflete uma tendência consolidada: o avanço da inteligência artificial como elemento central em operações de defesa, inteligência e segurança nacional. Ao mesmo tempo, levanta discussões críticas sobre governança, uso responsável de tecnologia e os limites éticos da automação em contextos de guerra. Com receita trimestral de US$ 1,63 bilhão — um crescimento de 85% em relação ao ano anterior — a empresa projeta atingir pelo menos US$ 7,65 bilhões até o final de 2026, reforçando sua posição como uma das principais fornecedoras de tecnologia estratégica para governos.

Após anos sendo tratado como tecnologia legada, o mainframe volta ao centro das decisões estratégicas de infraestrutura corporativa. Um estudo recente do Gartner revela que, em determinados contextos, migrar workloads de ambientes VMware para plataformas de mainframe da IBM pode ser mais econômico — especialmente diante das mudanças de licenciamento promovidas pela Broadcom. A análise ganha ainda mais relevância quando combinada com dados mais amplos do próprio relatório “The State of the IBM Mainframe in 2026”, que aponta uma mudança estrutural no mercado: o mainframe deixou de ser visto como um ativo em declínio e passou a ser reposicionado como um pilar estratégico em arquiteturas híbridas de TI. Segundo Alessandro Galimberti, analista do Gartner, organizações com grandes ambientes virtualizados — especialmente aquelas que operam entre 500 e 700 máquinas virtuais Linux — estão reavaliando o custo total de propriedade (TCO) após a exigência da Broadcom de adoção do pacote completo do VMware Cloud Foundation. Essa mudança tem elevado significativamente os custos, tornando alternativas como o mainframe economicamente viáveis em certos cenários. Do ponto de vista técnico, o diferencial do mainframe está na sua arquitetura nativa. Recursos como alta disponibilidade, consistência transacional e sincronização de dados já fazem parte da plataforma, eliminando a necessidade de desenvolvimento dessas capacidades na camada de aplicação — algo comum em ambientes distribuídos e multi-cloud. Essa característica reduz a complexidade operacional e acelera o desenvolvimento de sistemas críticos. Além disso, o mainframe continua sendo uma das plataformas mais robustas para aplicações que exigem estabilidade de longo prazo. Diferente de ambientes cloud tradicionais, que demandam ciclos frequentes de atualização e testes (geralmente a cada 5 a 8 anos), o mainframe mantém compatibilidade retroativa por décadas, sendo capaz de executar códigos desenvolvidos há mais de 50 anos sem necessidade de reescrita. Esse nível de continuidade operacional é especialmente relevante para setores como financeiro, governo e grandes indústrias, onde a integridade transacional e a previsibilidade são essenciais. Ao mesmo tempo, a IBM tem reforçado sua estratégia de inovação, com lançamentos como o z17 e o acelerador Spyre, voltado para cargas de inteligência artificial — incluindo inferência de modelos generativos dentro do próprio mainframe. No campo da segurança, a plataforma também mantém uma posição diferenciada. O mainframe é historicamente considerado um dos ambientes mais seguros da indústria, com recursos integrados como criptografia pervasiva, gerenciamento de identidade robusto (RACF, ACF2, Top Secret) e isolamento lógico avançado. No entanto, o Gartner alerta que, assim como qualquer outra plataforma moderna, ele não está imune a ameaças como ransomware, exigindo adoção de monitoramento contínuo e controles de privilégio mínimo. Apesar dos avanços, o modelo não está isento de desafios relevantes. O principal deles é a escassez de profissionais qualificados, considerada hoje o maior risco para a continuidade do crescimento do ecossistema. Diferente do cloud, que possui ampla acessibilidade e comunidades massivas, o mainframe ainda carece de programas mais abertos para formação de novos talentos, o que limita a adoção em larga escala. Outro ponto crítico é o modelo de mercado concentrado. O ecossistema de software para mainframe é dominado por poucos fornecedores (ISVs), que frequentemente adotam políticas agressivas de precificação. Isso obriga as organizações a dedicarem esforços significativos em negociações contratuais e estratégias de renovação, em vez de focarem no valor de negócio das soluções. Além disso, o risco de lock-in tecnológico permanece elevado. A dependência de fornecedores específicos pode limitar a flexibilidade estratégica das empresas e desencorajar customizações mais profundas, com receio de dificultar uma eventual migração futura. Curiosamente, o próprio movimento de migração para fora do mainframe — amplamente incentivado por integradores globais nas últimas décadas — está sendo revisto. O Gartner destaca que muitos desses projetos resultaram em custos superiores ao esperado, além de disrupções operacionais significativas e até perdas financeiras. Como reflexo dessa mudança de percepção, a consultoria projeta que até 2030 cerca de 75% dos fornecedores focados em “mainframe exit” deverão mudar seu modelo de negócio ou deixar o mercado, enquanto menos de 10% das organizações que utilizam mainframe atualmente planejam abandoná-lo. Esse cenário reforça uma tendência clara: a discussão deixou de ser apenas “modernizar ou migrar” e passou a envolver uma análise mais pragmática de custo, risco e valor operacional. Em muitos casos, manter — ou até expandir — o uso de mainframes pode ser a decisão mais racional.

Por Priscila Meyer — CEO da Eskive, especialista em segurança da informação com foco no risco humano Nos últimos tempos, vimos uma sequência de incidentes de cibersegurança — incluindo no setor bancário e em órgãos públicos ligados ao Governo Federal — que tiveram como ponto de partida ações voluntárias ou involuntárias de agentes internos. Foi a partir dessa aparente “tendência” que eu desenvolvi uma pergunta simples, mas que me tirou o sono por bastante tempo pensando em sua complexidade: afinal, é possível conscientizar pessoas de má índole? A resposta não cabe em um simples “sim” ou “não”. Ela exige que deixemos de tratar o problema como um bloco homogêneo e passemos a olhar para perfis, vieses e contextos. O mercado costuma usar a palavra insider como se fosse um rótulo único — na prática, são realidades bem distintas. Elas se dividem em pelo menos três grupos: o criminoso convicto; o colaborador aliciado; e o colaborador coagido. Cada um deles nasce (ou se encontra) em circunstâncias diferentes e, portanto, pede estratégias diferentes. O insider (realmente) malicioso O primeiro grupo — o criminoso convicto — reúne aqueles cujo comportamento é, em essência, mal-intencionado. Aqui, nem o melhor programa de conscientização terá poder de “conversão”: esses indivíduos procuram oportunidades para causar dano e raramente são impedidos por apelos éticos. Claro, a resposta ideal para esse perfil seria mantê-lo fora da organização, mas não é fácil identificar tais indivíduos, não é mesmo? Dessa forma, a solução tem menos a ver com campanhas educativas e mais com desenho de sistemas, controles rigorosos e detecção precoce: limitar oportunidades, segmentar acessos, monitorar padrões e isolar riscos. Muitas empresas já contam, felizmente, com departamentos inteiros dedicados a identificar de forma antecipada eventuais ações fraudulentas de sua própria equipe, tal como realizar um “pente fino” antes da contratação. O insider psicologicamente manipulado O segundo grupo é composto por colaboradores aliciados. Não são necessariamente pessoas “más”, mas sim cidadãos comuns, às vezes até mesmo de boa índole, que são persuadidos a colaborar com atos ilícitos por promessas, gratificações ou pela banalização do risco (“não vai dar em nada”). É nesse ponto que a teoria econômica e a psicologia nos ajudam a entender porque a conscientização tradicional às vezes falha. Gary Becker, vencedor do Nobel, escreveu a Teoria Econômica do Crime, sobre como decisões que chamamos de “crimes” costumam ser decisões resultantes de um cálculo racional sobre custos e benefícios — ele mesmo contou o exemplo de decidir estacionar em local proibido quando o custo percebido de uma multa parece menor que o benefício imediato de chegar a tempo. Do outro lado, Dan Ariely mostrou que o comportamento desonesto é muitas vezes previsível e sensível ao contexto: pequenas oportunidades de racionalização, quando repetidas, ampliam a tolerância da pessoa a transgressões. Ou seja: não é só ter informação; é reduzir incentivos, tornar as consequências claras e cortar as justificativas fáceis. Tudo isso se encaixa perfeitamente no contexto socioeconômico que estamos vivendo, sobretudo no Brasil. Muitas pessoas não possuem uma renda compatível com as suas necessidades e o crime organizado sabe muito bem disso. Uma ideia plantada aqui, uma facilitação inserida ali e pronto: o cenário está propício para que o profissional aliciado se torne convicto de que vale a pena cometer a transgressão por uma recompensa financeira. O insider que também é vítima O terceiro e último perfil — talvez o mais desafiador eticamente falando — é o do colaborador coagido. Ele age sob ameaça, chantagem ou pressão de atores externos. Criminalizá-lo sem investigar o contexto é um erro duplo: além de injusto, é contraproducente, pode empurrar outras pessoas vulneráveis para o silêncio. É por isso que, em muitos casos, a “conscientização” precisa caminhar junto com canais seguros de denúncia, apoio psicológico e medidas que diminuam a exposição do colaborador a riscos externos. Esses três perfis que acabamos de falar se relacionam intimamente com o que, na criminologia, é o que o criminologista Donald Cressey chamou de Triângulo da Fraude: pressão, oportunidade e racionalização. O primeiro lado desse triângulo — pressão — significa os motivos que empurram alguém, como dívidas, vícios e ambição. O segundo — oportunidade — é a brecha técnica ou processual que permite o ato, como controles fracos, acessos desnecessários, supervisão ineficiente. E o terceiro — racionalização — é o mecanismo mental que permite à pessoa convencer a si mesma de que o ato “não é tão grave” ou que “todo mundo faz”. É quando esses três elementos se encontram que a fraude acontece; por isso, a nossa resposta precisa desmontar esse triângulo em cada vértice. Se conscientizar não é o suficiente, o que fazer? Na prática, isso implica ações integradas, não uma lista de boas intenções. Controles técnicos e arquitetura de identidade reduzem a oportunidade; programas de assistência a empregados e processos transparentes de gestão reduzem a pressão; formação baseada em dilemas reais, lideranças que exemplifiquem condutas e uma comunicação que torne as consequências palpáveis reduzem a possibilidade de racionalização. A conscientização eficaz é contínua, contextualizada e vinculada a políticas concretas — remuneração justa, revisões de acesso, processos de investigação humanizados e caminhos seguros para pedir ajuda. Tudo, é claro, acompanhado da conscientização sobre a existência dos canais de assistência e treinamentos sobre postura segura no ambiente de trabalho. Também é preciso ajustar o foco das investigações internas. Nem todo desvio é crime intencional; alguns são sintomas de problemas mais amplos — cultural, operacional ou pessoal. Tratar uma pessoa coagida como autora desde a primeira hipótese elimina a chance de prover suporte e corrige apenas o sintoma, não a causa. Por outro lado, fingir que o problema é apenas de caráter e confiar apenas em filtros de contratação expõe a organização a surpresas: pesquisas comportamentais indicam que, sob determinadas pressões e oportunidades, qualquer pessoa pode “sair da linha”. Uma abordagem prática e madura combina três frentes: tecnologia com desenho à prova de falhas; cultura que reduz a normalização da transgressão; e processos humanos que protejam e investiguem com justiça. Isso envolve desde o princípio do menor privilégio e segregação de funções até programas de Employee Assistance que enfrentem vulnerabilidades financeiras e emocionais. Envolve também exercícios de tabletop que simulam cenários de insider, integração efetiva entre Segurança, RH e Jurídico e, o mais difícil, uma liderança disposta a admitir falhas e a melhorar processos sem buscar apenas culpados. Conscientizar “pessoas de má índole” sem essa camada extra de análise é, em muitos casos, gastar energia onde não vai gerar resultado. Mas desistir de educar e construir cultura porque alguns são irrecuperáveis é igualmente derrotista. Nossa tarefa prática é reconhecer quem pode ser influenciado — reduzindo incentivos e justificativas — e quem precisa ser contido por controles. E, acima de tudo, acolher quem pode estar agindo sob coação. Este é um tema sensível, estudado na criminologia e na psicologia, que exige políticas profundas e realistas. A pergunta que lanço — e a que você deveria refletir bem antes de reestruturar as suas defesas internas — é simples: dentro da sua empresa, como vocês vêm destrinchando o triângulo da fraude? Onde a conscientização tem funcionado e onde ainda faltam controles ou apoio humano? Continuar essa conversa é parte da solução; e, inclusive, ciente do aumento vertiginoso no caso de incidentes causados por insiders maliciosos, a Eskive resolveu convidar especialistas no assunto para debater tal fenômeno com os olhos de quem vive tal desafio diariamente. Aos interessados em acompanhar tal painel, vale a pena reservar o dia 14 de maio para descobrir as estratégias adotadas por profissionais experientes.

Vice-presidente do Grupo NTSec, Patrícia Angelina saiu do sertão de Pernambuco para comandar a operação de um dos maiores integradores de cibersegurança do país. Agora, quer que outras mulheres façam o mesmo. O programa Elas Que Inspiram | She Connects é a resposta. O Brasil enfrenta um déficit de 750 mil profissionais de cibersegurança. Enquanto isso, as mulheres representam apenas 24% da força de trabalho global no setor, segundo o ISC² Cybersecurity Workforce Study 2025. Em posições de vice-presidência, esse número despenca para 16%. Os dados revelam um paradoxo que o mercado insiste em tratar como inevitável: sobram vagas, falta gente qualificada, e metade da população sequer é considerada parte da solução. Não é uma questão de capacidade. É uma questão de acesso, representatividade e, sobretudo, de quem ocupa os espaços onde as decisões sobre o futuro da segurança digital são tomadas. Eu sei disso porque vivi essa jornada. Saí do sertão de Pernambuco, de um lugar onde não havia energia elétrica, e construí minha carreira ao longo de 12 anos dentro do Grupo NTSec até chegar à vice-presidência, com responsabilidade direta sobre toda a operação da empresa. Não tenho formação técnica. Minha base é administrativa e de gestão. Entrei em uma empresa onde a ampla maioria dos profissionais era composta por homens e, ao contrário do que acontece em grande parte do setor, não precisei brigar por espaço. Fui impulsionada a ocupá-lo. Essa diferença não é detalhe. É o que separa empresas que falam sobre diversidade daquelas que a praticam. O Grupo NTSec hoje reúne quase 400 colaboradores, faturou mais de R$ 500 milhões em 2025 e acaba de se consolidar como S.A. de capital fechado. Nesse crescimento, mulheres como Ayla, Taciana e Carolina ocupam posições de referência técnica e de liderança. Quando profissionais jovens, mulheres, olham para uma estrutura e enxergam alguém como elas em cargos de decisão, a mensagem é clara: é possível chegar lá. A minha avó Angelina, que criou uma família inteira de mulheres no sertão com coragem e sem recurso algum, me ensinou isso antes de qualquer sala de reunião. Representatividade não é discurso corporativo. É motor de transformação real. Foi dessa convicção que nasceu o Elas Que Inspiram | She Connects. O programa é a materialização de algo que acredito profundamente: lugar de mulher é onde ela quiser. E não basta acreditar. É preciso construir as condições para que isso aconteça. O Elas Que Inspiram | She Connects nasce dentro do Grupo NTSec, mas não pretende ficar restrito a ele. O programa é, desde a sua concepção, um convite aberto a outras empresas do setor de tecnologia e cibersegurança para se juntarem a essa missão. O desafio é grande demais para ser enfrentado por uma única organização. São 750 mil vagas esperando por profissionais. Nós queremos garantir que as mulheres estejam preparadas, apoiadas e, acima de tudo, confiantes para ocupá-las. Se a gente já é minoria e não acreditar em si mesma, fica mais difícil. Quando estamos juntas, somos mais fortes. A cibersegurança do futuro será tão robusta quanto a diversidade das equipes que a constroem. E o futuro, para nós, começa agora.

A empresa de cibersegurança Trellix confirmou um incidente envolvendo acesso não autorizado a parte de seu repositório de código-fonte, levantando preocupações sobre a segurança de cadeias de desenvolvimento e proteção de propriedade intelectual no setor. De acordo com o comunicado oficial, a companhia identificou recentemente o comprometimento e iniciou imediatamente uma resposta ao incidente, envolvendo especialistas forenses e autoridades policiais. Apesar da gravidade potencial desse tipo de violação, a empresa afirmou que, até o momento, não há evidências de que o código-fonte tenha sido alterado, explorado ou impactado em seus processos de distribuição. Embora detalhes técnicos ainda sejam limitados, esse tipo de incidente geralmente envolve comprometimento de credenciais, falhas em controles de acesso ou exploração de integrações com ferramentas de desenvolvimento — um vetor cada vez mais comum em ataques à cadeia de suprimentos de software. O acesso a repositórios de código pode permitir desde a análise de vulnerabilidades até a inserção de código malicioso em versões futuras, dependendo do nível de acesso obtido pelos invasores. A Trellix não divulgou quais dados específicos foram acessados, nem o período em que os atacantes permaneceram dentro do ambiente comprometido. Também não há, até o momento, atribuição oficial a grupos hackers ou evidências públicas sobre a origem do ataque. Fundada em 2022 após a fusão entre a divisão enterprise da McAfee e a FireEye, a Trellix atua como uma das principais fornecedoras de soluções de segurança corporativa. A fusão ocorreu no mesmo período em que a Mandiant — braço de inteligência de ameaças da FireEye — foi adquirida pelo Google por US$ 5,4 bilhões. Embora a empresa afirme que não houve impacto direto no código-fonte, especialistas alertam que o simples acesso não autorizado já representa um risco relevante. Isso porque atacantes podem mapear a arquitetura das soluções, identificar possíveis falhas e preparar ataques mais sofisticados no futuro — mesmo sem alterar diretamente o código. O incidente reforça uma tendência crescente de ataques direcionados a ambientes de desenvolvimento, especialmente repositórios, pipelines CI/CD e plataformas de versionamento. Esses ambientes se tornaram alvos estratégicos por concentrarem ativos críticos, como código proprietário, credenciais e integrações com sistemas internos. Além disso, casos como esse destacam a importância de práticas robustas de segurança em desenvolvimento, incluindo controle rigoroso de acesso, autenticação multifator, monitoramento de atividades suspeitas e auditorias contínuas em repositórios de código. A Trellix informou que novas atualizações serão divulgadas conforme o avanço das investigações, indicando que o caso ainda está em andamento.

Dois profissionais da área de cibersegurança foram condenados a quatro anos de prisão nos Estados Unidos por participação direta em ataques de ransomware ligados à operação BlackCat ransomware group, também conhecida como ALPHV. O caso expõe um cenário preocupante: especialistas que deveriam proteger sistemas acabaram utilizando seu conhecimento técnico para conduzir ataques e extorsões contra empresas. Ryan Goldberg, de 40 anos, e Kevin Martin, de 36, atuaram entre abril e dezembro de 2023 executando ataques contra múltiplas vítimas em território norte-americano. Ambos se declararam culpados em dezembro de 2025, após investigação conduzida pelo U.S. Department of Justice. Um terceiro envolvido, Angelo Martino, também participou da operação e aguarda sentença prevista para julho de 2026. A operação criminosa seguia o modelo de Ransomware-as-a-Service (RaaS), no qual os hackers obtêm acesso à infraestrutura do grupo BlackCat mediante pagamento de comissão. No caso, os envolvidos concordaram em repassar 20% dos valores obtidos em resgates aos operadores do ransomware, mantendo os 80% restantes entre eles. A cadeia de ataque envolvia etapas típicas de campanhas de ransomware. Inicialmente, os hackers realizavam o acesso às redes das vítimas, explorando vulnerabilidades ou credenciais comprometidas. Em seguida, implantavam o ransomware para criptografar sistemas críticos e, simultaneamente, exfiltravam dados sensíveis — prática conhecida como dupla extorsão. Após o comprometimento, iniciava-se a fase de negociação, na qual as vítimas eram pressionadas a pagar para recuperar o acesso aos sistemas e evitar a divulgação dos dados roubados. Em um dos casos documentados, os criminosos conseguiram extorquir cerca de US$ 1,2 milhão em Bitcoin, valor posteriormente lavado para dificultar o rastreamento. Um dos pontos mais críticos do caso envolve o uso indevido de conhecimento privilegiado. Todos os envolvidos atuavam profissionalmente na área de segurança da informação. Kevin Martin e Angelo Martino trabalhavam na empresa DigitalMint, especializada em resposta a incidentes e negociação de ransomware, enquanto Goldberg ocupava o cargo de gerente de resposta a incidentes na Sygnia. Segundo as autoridades, Martino utilizou sua posição como negociador para obter informações confidenciais das vítimas, incluindo limites de apólices de seguro cibernético, e repassá-las aos operadores do ransomware para maximizar os valores exigidos nos resgates — uma prática que agrava significativamente o impacto financeiro das vítimas. O grupo BlackCat, apesar de já não estar mais ativo, foi um dos mais relevantes no ecossistema de ransomware nos últimos anos, sendo responsável por ataques a mais de 1.000 organizações globalmente. Sua operação utilizava técnicas avançadas, incluindo criptografia robusta, evasão de detecção e plataformas próprias de vazamento de dados. O caso reforça uma tendência preocupante no cenário de ameaças: o abuso de acesso privilegiado e conhecimento técnico por insiders. Profissionais com experiência em defesa podem se tornar ameaças altamente eficazes quando atuam maliciosamente, especialmente em contextos onde possuem acesso a informações sensíveis e processos críticos. Além disso, o episódio evidencia riscos no modelo de negócios de empresas que atuam em resposta a incidentes e negociação de ransomware, levantando questionamentos sobre governança, segregação de funções e controles internos.

Uma nova campanha de ciberespionagem atribuída a hackers alinhados à China está mirando governos, setores de defesa, jornalistas e ativistas em diversas regiões do mundo, combinando exploração de vulnerabilidades conhecidas, implantes avançados e campanhas de phishing altamente direcionadas. Pesquisadores da Trend Micro identificaram o cluster de atividade como SHADOW-EARTH-053, ativo desde pelo menos dezembro de 2024. O grupo tem como principal vetor de entrada a exploração de vulnerabilidades conhecidas — as chamadas N-days — em servidores expostos à internet, especialmente Microsoft Exchange e aplicações baseadas em IIS. Após a exploração inicial, os hackers implantam web shells como o Godzilla, permitindo acesso remoto persistente aos sistemas comprometidos. A cadeia de ataque segue um padrão bem definido. Após a invasão inicial, os invasores utilizam os web shells para execução remota de comandos e reconhecimento do ambiente. Em seguida, implantam o backdoor ShadowPad por meio de técnicas de DLL side-loading, abusando de executáveis legítimos assinados digitalmente para carregar código malicioso sem levantar suspeitas. Em alguns casos, os hackers também exploraram a vulnerabilidade React2Shell (CVE-2025-55182), utilizada para distribuir uma variante Linux do malware Noodle RAT, ampliando a capacidade de controle remoto sobre os sistemas afetados. Esse tipo de abordagem demonstra a flexibilidade operacional do grupo, que consegue atuar tanto em ambientes Windows quanto Linux. Para manter comunicação com a infraestrutura comprometida e evitar detecção, os invasores utilizam ferramentas legítimas e open source como IOX, GOST e Wstunnel, além de técnicas de empacotamento com RingQ para ofuscação de payloads. A elevação de privilégios é realizada com ferramentas conhecidas como Mimikatz, enquanto a movimentação lateral ocorre por meio de RDP customizado e implementações como Sharp-SMBExec. Os alvos principais incluem países da Ásia, como Índia, Tailândia, Malásia, Sri Lanka, Taiwan e Paquistão, além de um país europeu membro da OTAN: a Polônia. A escolha dos alvos indica um foco claro em coleta de inteligência estratégica, especialmente em governos e setores críticos. Paralelamente, outra vertente da campanha envolve ataques de phishing conduzidos por grupos também ligados à China, identificados como GLITTER CARP e SEQUIN CARP. Esses grupos têm como alvo jornalistas, ativistas e organizações da sociedade civil, incluindo membros da diáspora uigur, tibetana, taiwanesa e de Hong Kong. Essas campanhas utilizam engenharia social avançada, com e-mails que simulam comunicações legítimas de jornalistas, organizações internacionais e até alertas de segurança de empresas de tecnologia. O objetivo é induzir as vítimas a fornecer credenciais, acessar páginas falsas ou conceder permissões OAuth para aplicativos maliciosos. Um dos recursos observados é o uso de pixels de rastreamento 1x1 em e-mails, que permitem aos hackers confirmar se a mensagem foi aberta e coletar informações do dispositivo da vítima. Além disso, há uso de kits de phishing AiTM, que capturam credenciais e tokens de sessão em tempo real. Os pesquisadores também observaram sobreposição de infraestrutura e táticas entre diferentes grupos, sugerindo um ecossistema distribuído de operações, possivelmente envolvendo empresas contratadas para executar atividades de espionagem em nome do Estado chinês. Esse modelo reforça uma tendência crescente de “terceirização” de operações cibernéticas ofensivas. O impacto dessas campanhas vai além do comprometimento técnico. Trata-se de operações de espionagem e repressão digital transnacional, com foco em vigilância, coleta de inteligência e monitoramento de opositores políticos e jornalistas. Isso amplia significativamente o risco para organizações e indivíduos envolvidos em temas sensíveis. Diante desse cenário, especialistas recomendam a aplicação imediata de patches de segurança, especialmente em servidores expostos, além da implementação de controles compensatórios como WAF e IPS para bloquear tentativas de exploração. Também é essencial reforçar a segurança de identidade, monitorar acessos suspeitos e investir em conscientização contra phishing direcionado.

Uma nova campanha de ataque à cadeia de suprimentos de software está colocando desenvolvedores e ambientes de integração contínua (CI/CD) sob risco ao distribuir pacotes maliciosos disfarçados como bibliotecas legítimas nos ecossistemas Ruby e Go. A operação, atribuída à conta “BufferZoneCorp”, utilizou técnicas avançadas para comprometer pipelines, roubar credenciais sensíveis e estabelecer persistência nos sistemas afetados. De acordo com análise da Socket, os invasores publicaram múltiplos pacotes — incluindo Ruby Gems e módulos Go — que imitavam bibliotecas amplamente utilizadas, como activesupport-logger, devise-jwt e go-retryablehttp. Essa técnica de mascaramento tem como objetivo enganar desenvolvedores e ferramentas automatizadas, aumentando as chances de instalação em projetos reais. A campanha segue um modelo sofisticado de ataque com uso de “sleeper packages”, ou seja, bibliotecas aparentemente benignas que permanecem inativas até receberem atualizações maliciosas. Esse tipo de abordagem é especialmente perigoso, pois permite que os pacotes passem por verificações iniciais e sejam incorporados a pipelines antes da ativação do código malicioso. A cadeia de ataque começa no momento da instalação do pacote. No caso dos Ruby Gems, o código malicioso é executado automaticamente durante o processo de instalação, coletando variáveis de ambiente e arquivos sensíveis do sistema. Entre os dados capturados estão chaves SSH, credenciais da AWS, arquivos de configuração como .npmrc e .netrc, tokens do GitHub CLI e credenciais do próprio RubyGems. Essas informações são então exfiltradas para servidores controlados pelos hackers por meio de endpoints externos. Já os módulos Go apresentam um nível ainda mais avançado de comprometimento, focando diretamente em pipelines de CI/CD, especialmente aqueles baseados em GitHub Actions. Esses pacotes manipulam o ambiente de execução ao explorar funções como init(), permitindo que o código seja executado automaticamente ao importar o módulo. Uma das técnicas mais críticas envolve a manipulação de variáveis como GITHUB_ENV e GITHUB_PATH, além da redefinição de proxies HTTP e HTTPS. Os módulos maliciosos criam um executável falso do Go dentro de diretórios de cache e alteram o PATH do sistema para que esse binário seja executado antes do legítimo. Na prática, isso permite interceptar e modificar comandos executados durante o pipeline sem interromper o funcionamento do processo. O wrapper malicioso atua como um intermediário invisível, capturando informações, alterando comportamentos e repassando a execução ao binário legítimo para evitar suspeitas — uma técnica clássica de evasão. Além disso, os invasores implantam persistência adicionando uma chave pública SSH diretamente no arquivo ~/.ssh/authorized_keys, garantindo acesso remoto contínuo ao ambiente comprometido. Essa abordagem transforma um ataque inicial de cadeia de suprimentos em um comprometimento persistente de infraestrutura. O impacto é significativo, especialmente em ambientes corporativos que dependem fortemente de automação de builds e deploys. Um único pacote comprometido pode expor segredos críticos, permitir acesso a repositórios privados, comprometer pipelines de entrega de software e abrir caminho para ataques mais amplos, incluindo movimentação lateral e inserção de código malicioso em aplicações distribuídas. Esse tipo de campanha reflete uma tendência crescente no cenário de ameaças: ataques direcionados à cadeia de suprimentos de software, com foco em desenvolvedores e pipelines CI/CD como vetores estratégicos. Em vez de atacar diretamente a infraestrutura final, os hackers comprometem o processo de desenvolvimento, atingindo múltiplos alvos de forma escalável. Como medidas de mitigação, especialistas recomendam remover imediatamente os pacotes comprometidos, revisar arquivos sensíveis, validar alterações no arquivo authorized_keys, rotacionar todas as credenciais potencialmente expostas e analisar logs de rede em busca de comunicações suspeitas. Também é fundamental adotar práticas como verificação de dependências, uso de ferramentas de análise de segurança em pipelines e políticas de confiança zero para ambientes de desenvolvimento.

Grupos hackers estão intensificando uma nova modalidade de ataque contra empresas que dependem fortemente de aplicações SaaS, combinando engenharia social por telefone, abuso de login corporativo e movimentação dentro de ambientes confiáveis para roubar dados com rapidez e deixar poucos rastros. Segundo pesquisadores da CrowdStrike, dois grupos identificados como Cordial Spider, também conhecido como BlackFile, CL-CRI-1116, O-UNC-045 e UNC6671, e Snarky Spider, também rastreado como O-UNC-025 e UNC6661, vêm conduzindo campanhas de roubo de dados e extorsão com alto impacto operacional. Ambos estariam ativos desde pelo menos outubro de 2025 e apresentam semelhanças relevantes em suas táticas, técnicas e procedimentos. A principal característica dessas campanhas é que os ataques ocorrem quase inteiramente dentro de ambientes SaaS legítimos, como Google Workspace, Microsoft SharePoint, Salesforce, HubSpot e outros serviços integrados ao provedor de identidade corporativo. Isso reduz a necessidade de instalação de malware, dificulta a detecção por ferramentas tradicionais e acelera o tempo entre o comprometimento inicial e a exfiltração de dados. A cadeia de ataque começa com vishing, técnica de phishing por voz em que os hackers se passam por profissionais de suporte, equipe de TI ou help desk. Durante a ligação, a vítima é induzida a acessar uma página falsa com aparência de portal de autenticação SSO. Essas páginas usam técnicas de adversary-in-the-middle, ou AiTM, permitindo capturar credenciais, tokens de sessão e, em alguns casos, códigos de autenticação multifator. Com esses dados em mãos, os hackers acessam o provedor de identidade da organização, como Okta, Microsoft Entra ID ou outros sistemas de SSO. Esse ponto é crítico porque o IdP funciona como uma porta de entrada única para diversas aplicações corporativas. Ao comprometer uma sessão autenticada, os invasores não precisam explorar separadamente cada aplicação SaaS. Eles abusam da relação de confiança entre o provedor de identidade e os serviços conectados. Após o acesso inicial, os grupos registram um novo dispositivo na conta comprometida para contornar mecanismos de MFA e manter persistência. Em alguns casos, dispositivos legítimos já cadastrados são removidos, reduzindo a capacidade da vítima de recuperar rapidamente o acesso. Em seguida, os hackers configuram regras na caixa de entrada para apagar automaticamente alertas relacionados ao registro de novos dispositivos ou atividades suspeitas, uma técnica simples, mas eficaz para atrasar a resposta do time de segurança. A movimentação lateral ocorre dentro do próprio ecossistema SaaS. Os invasores consultam diretórios internos de funcionários, identificam contas privilegiadas e usam novas rodadas de engenharia social para ampliar privilégios. Com acesso elevado, passam a buscar documentos sensíveis, relatórios financeiros, bases comerciais, registros de clientes, informações operacionais e arquivos estratégicos em plataformas corporativas. A Unit 42, da Palo Alto Networks, e o RH-ISAC avaliaram que o grupo CL-CRI-1116 tem mirado especialmente empresas dos setores de varejo e hotelaria desde fevereiro de 2026. A escolha desses segmentos não é aleatória: são ambientes com grande volume de dados de clientes, operações distribuídas, equipes numerosas e forte dependência de sistemas SaaS para vendas, atendimento, marketing, RH e gestão financeira. Outro ponto relevante é o uso de técnicas living-off-the-land, nas quais os hackers exploram recursos legítimos do próprio ambiente para executar ações maliciosas. Em vez de implantar ferramentas externas facilmente detectáveis, eles usam funcionalidades nativas de contas, e-mail, autenticação, permissões e armazenamento em nuvem. Também foram observados proxies residenciais para mascarar a origem dos acessos e burlar filtros baseados em reputação de IP. A Mandiant, do Google, já havia associado essa evolução de atividade a campanhas com características semelhantes às do grupo ShinyHunters, conhecido por operações de extorsão baseadas em roubo de dados. O elo comum está no uso agressivo de engenharia social, foco em credenciais, abuso de MFA e pressão sobre empresas a partir da exposição ou ameaça de divulgação de informações sensíveis. O impacto para as organizações é significativo. Ataques desse tipo podem resultar em vazamento de dados de clientes, interrupção de operações internas, exposição de informações comerciais, perdas financeiras, danos reputacionais e riscos regulatórios. Como a atividade ocorre dentro de plataformas legítimas, muitas empresas podem não perceber rapidamente que dados estão sendo acessados ou transferidos. O caso reforça uma tendência maior no cibercrime: a migração de ataques tradicionais baseados em malware para operações centradas em identidade, SaaS e engenharia social. À medida que empresas transferem processos críticos para a nuvem, o controle de identidade passa a ser um dos principais alvos dos hackers. Proteger apenas endpoints e redes já não é suficiente; é necessário monitorar sessões, dispositivos registrados, alterações em MFA, regras de e-mail, acessos anômalos e movimentações entre aplicações SaaS. Para reduzir o risco, organizações devem fortalecer políticas de MFA resistente a phishing, como chaves FIDO2, revisar privilégios em aplicações SaaS, monitorar alterações em dispositivos confiáveis, auditar regras de caixa de entrada, treinar usuários contra golpes de vishing e implementar detecção comportamental em provedores de identidade e plataformas cloud.