Evento híbrido em São Paulo marca o lançamento de livro com 106 artigos que conectam regulação, inteligência artificial, poder econômico e impacto social ABES (Associação Brasileira das Empresas de Software), em parceria com o IEA/USP (Instituto de Estudos Avançados da Universidade de São Paulo), promove nesta terça-feira, dia 28 de abril, das 9h às 11h, o lançamento do livro “Tecnologia e inovação: governança, estratégia e desenvolvimento digital do Brasil – uma coletânea de especialistas para um Brasil mais digital e menos desigual”. O evento será realizado em formato híbrido, com participação presencial no Espaço Skyone, em São Paulo, e transmissão ao vivo pelo canal da ABES no YouTube. A obra é o terceiro volume derivado da produção intelectual do Think Tank da ABES e reúne uma coletânea de 106 artigos produzidos por pesquisadores, executivos e lideranças setoriais. Diferente das edições anteriores, o livro foi organizado em quatro grandes eixos estratégicos que refletem a complexidade do ecossistema digital: O Alicerce (soberania e governança), O Motor (inteligência artificial), A Engrenagem (políticas públicas e poder econômico) e O Impacto (vida real e sentido social). Para Andriei Gutierrez, presidente da ABES, a obra convoca o país a um posicionamento firme na geopolítica tecnológica. "É imperativo que o país consolide um Projeto de Nação para a Era Digital. Não uma soberania míope, baseada em reserva de mercado, mas uma soberania competitiva, que estimule o desenvolvimento de tecnologia local sem restringir o acesso às melhores tecnologias estrangeiras", afirma, destacando que o futuro depende das escolhas estratégicas feitas agora. Jamile Sabatini Marques, Diretora de Inovação, Fomento e Pesquisa e Diretora do Think Tank da ABES, reforça que a inovação exige uma coordenação sistêmica. “Inovar, hoje, significa projetar as estruturas que sustentam a inovação: ambientes de confiança, marcos regulatórios funcionais e conexões efetivas. Este conjunto de interpretações ajuda a delinear um ecossistema digital mais funcional, responsável e capaz de gerar impacto real”, destaca a executiva, que também é uma das organizadoras e editoras da obra. Na avaliação de Lauro de Lauro, Diretor de Marketing da ABES, a iniciativa consolida o papel institucional da associação. “Ao reunir diferentes visões em torno de temas regulatórios críticos, a ABES fortalece sua atuação como ponte entre o setor produtivo e os formuladores de políticas públicas, contribuindo para uma agenda digital mais consistente e alinhada aos desafios do país”, afirma. Programação e Painéis Temáticos O evento de lançamento contará com três painéis que debaterão os eixos centrais do livro, com a presença de Andriei Gutierrez, Jamile Sabatini Marques e Roseli de Deus Lopes, diretora do IEA/USP. Painel 1 – O Alicerce: soberania, dados e regulação: Debate sobre a construção de bases regulatórias sólidas, com Darci de Borba, Luiz Felipe Siqueira e Diogo Vasconcellos. Painel 2 – O Motor: IA, indústria e transformação digital: Análise da inteligência artificial como vetor de produtividade, com Alexandre Pupo, Anderson Röhe e André Felipe de Moraes Batista. Painel 3 – A Engrenagem: Estado, compras públicas e sociedade: O papel do poder público como indutor da inovação, com Camila Murta, Marcelo Batista Nery e Leonardo Melo Lins. Serviço Data: 28 de abril de 2026 Horário: Das 9h às 11h Local (Presencial): Espaço Skyone – Av. das Nações Unidas, 12399, 14º andar – São Paulo Transmissão Online: YouTube da ABES (@abes_software) Inscrições: https://forms.gle/hoopMUT13ZARx1yi7 Sobre a ABES Com 40 anos de atuação, a ABES – Associação Brasileira das Empresas de Software – é uma das principais entidades do setor de tecnologia e inovação no Brasil. Reúne cerca de 2 mil empresas, responsáveis por aproximadamente 80% do faturamento do setor de software e serviços no país, promovendo o fortalecimento do ambiente de negócios, a inovação e a defesa dos interesses do mercado. Mais do que representar o setor, a ABES conecta empresas, gera oportunidades e contribui para um Brasil mais digital, competitivo e menos desigual. Para mais informações, acesse o Portal ABES ou ligue para +55 (11) 5094-3100.

Pesquisadores de segurança identificaram uma nova campanha altamente sofisticada que compromete pacotes do ecossistema npm para distribuir um worm auto-propagável capaz de se espalhar por meio do roubo de credenciais de desenvolvedores. A atividade, monitorada pelas empresas Socket e StepSecurity, foi denominada CanisterSprawl e representa mais uma evolução crítica nos ataques à cadeia de suprimentos de software. O ataque começa com a inserção de código malicioso em pacotes legítimos publicados no npm. Quando um desenvolvedor instala uma dessas bibliotecas comprometidas, um script do tipo postinstall é automaticamente executado no ambiente local. Esse script inicia a coleta silenciosa de dados sensíveis, incluindo tokens npm, chaves SSH, credenciais de cloud (AWS, Google Cloud e Azure), arquivos .env, históricos de shell e configurações de ferramentas como Docker, Kubernetes e Terraform. A partir desse ponto, o ataque entra em sua fase mais perigosa: a propagação. Utilizando os tokens npm roubados, o malware publica novas versões comprometidas de pacotes no repositório oficial, ampliando o alcance da infecção. Esse comportamento transforma ambientes de desenvolvimento comprometidos em vetores ativos de disseminação, caracterizando um worm de supply chain com capacidade de escala exponencial. Os dados coletados são exfiltrados para servidores controlados pelos invasores, incluindo um webhook HTTPS e um canister na rede ICP (Internet Computer Protocol). Esse uso de infraestrutura descentralizada torna a operação mais resiliente a tentativas de derrubada, dificultando a resposta por parte de equipes de segurança. Além do ecossistema JavaScript, o malware também incorpora lógica de propagação para o ambiente Python (PyPI). Ele cria um payload baseado em .pth, que é executado automaticamente quando o interpretador Python é iniciado. Caso encontre credenciais válidas, o código utiliza ferramentas como Twine para publicar pacotes maliciosos, expandindo o ataque para múltiplos ecossistemas de desenvolvimento. Outro ponto relevante é a sofisticação da coleta de dados. O malware tenta acessar informações armazenadas em navegadores baseados em Chromium e até dados de extensões de carteiras de criptomoedas, ampliando o impacto potencial para além do ambiente corporativo. A campanha também se conecta a uma série de outras atividades recentes no ecossistema open source. Pesquisadores observaram pacotes maliciosos disfarçados como ferramentas Kubernetes que instalam proxies SOCKS5, servidores SFTP e até proxies de modelos de linguagem (LLM). Esses componentes podem ser usados tanto para movimentação lateral quanto para interceptação e exfiltração de dados sensíveis, incluindo chaves de API e prompts de IA. Outro vetor identificado envolve o abuso de workflows do GitHub Actions, especialmente o gatilho pull_request_target. Nesse cenário, invasores automatizam a busca por repositórios vulneráveis, injetam código malicioso em pipelines CI/CD e tentam extrair credenciais durante a execução dos builds. Embora a taxa de sucesso observada seja inferior a 10%, o ataque demonstra viabilidade em escala, principalmente contra projetos menores e menos protegidos. O cenário reforça uma tendência clara: ataques à cadeia de suprimentos estão se tornando mais automatizados, multi-plataforma e resilientes. Em vez de atacar diretamente infraestruturas corporativas, os hackers exploram o elo mais fraco — o ambiente de desenvolvimento — para comprometer software na origem. Organizações devem adotar medidas como uso de tokens com escopo limitado, autenticação multifator em repositórios, monitoramento de dependências, validação de integridade de pacotes e proteção de pipelines CI/CD. Além disso, ferramentas de análise de comportamento e segurança de código são essenciais para detectar atividades anômalas antes que o impacto se amplifique.

Uma investigação conduzida pelo NASA Office of Inspector General revelou uma campanha de spear phishing altamente direcionada que enganou funcionários da NASA e colaboradores por anos, resultando no vazamento de softwares sensíveis com potencial uso militar e aeroespacial. De acordo com o relatório, um cidadão chinês identificado como Song Wu se passou por pesquisadores e engenheiros norte-americanos para induzir vítimas a compartilharem códigos e ferramentas proprietárias. A campanha ocorreu entre 2017 e 2021 e teve como alvo não apenas a NASA, mas também instituições como a Força Aérea, Marinha, Exército dos Estados Unidos, Administração Federal de Aviação, universidades e empresas privadas. A cadeia de ataque foi baseada em engenharia social altamente refinada. Inicialmente, os hackers realizavam reconhecimento detalhado das vítimas, identificando pesquisadores e engenheiros com acesso a softwares críticos. Em seguida, criavam identidades falsas, muitas vezes simulando colegas ou parceiros acadêmicos, estabelecendo comunicação legítima por e-mail ao longo do tempo. Com a confiança estabelecida, os invasores solicitavam acesso a softwares de modelagem avançada usados no desenvolvimento aeroespacial e militar. Em alguns casos, as vítimas compartilharam essas ferramentas sem perceber que estavam violando leis de controle de exportação dos Estados Unidos, enviando dados diretamente para contas controladas pelos atacantes. Segundo o U.S. Department of Justice, Song Wu atuava como engenheiro na Aviation Industry Corporation of China, um conglomerado estatal chinês do setor aeroespacial e de defesa. O objetivo da operação era obter softwares capazes de apoiar o desenvolvimento de tecnologias militares, incluindo mísseis táticos avançados e sistemas aerodinâmicos para armas. A campanha teve sucesso em diversos casos, evidenciando como ataques de phishing direcionados continuam sendo uma das principais ameaças para ambientes altamente sensíveis. Diferente de campanhas massivas, o spear phishing explora confiança, contexto e relações profissionais, tornando a detecção significativamente mais difícil. As investigações levaram à acusação formal de Song Wu por fraude eletrônica e roubo de identidade agravado. Ele pode enfrentar até 20 anos de prisão por cada acusação de fraude, além de penas adicionais por uso indevido de identidade. O Federal Bureau of Investigation incluiu o suspeito na lista de mais procurados, mas ele permanece foragido. O caso também revela padrões recorrentes nesse tipo de fraude: pedidos repetidos pelo mesmo software, justificativas inconsistentes, mudanças inesperadas em métodos de pagamento e uso de canais alternativos para transferência de arquivos — todos sinais clássicos de tentativas de contornar controles de exportação e mecanismos de segurança. Do ponto de vista estratégico, o incidente reforça uma tendência crescente: o uso de engenharia social para contornar controles técnicos e acessar propriedade intelectual crítica. Em vez de explorar vulnerabilidades em sistemas, os hackers exploram vulnerabilidades humanas — especialmente em ambientes colaborativos como universidades e projetos de pesquisa.

Pesquisadores identificaram uma nova onda da campanha GlassWorm, agora chamada de GlassWorm v2, envolvendo 73 extensões falsas publicadas no repositório Open VSX, usado por desenvolvedores que trabalham com ambientes como VS Code, Cursor, Windsurf e VSCodium. As extensões foram criadas como cópias de pacotes legítimos, usando nomes parecidos, ícones e descrições quase idênticas. Essa técnica, conhecida como typosquatting, tenta enganar usuários que procuram extensões populares. Embora apenas seis pacotes tenham sido confirmados como maliciosos, os demais funcionavam como “sleepers”: extensões aparentemente inofensivas usadas para ganhar confiança, aumentar instalações e, futuramente, receber atualizações maliciosas. Entre as extensões maliciosas identificadas estão: outsidestormcommand.monochromator-theme keyacrosslaud.auto-loop-for-antigravity krundoven.ironplc-fast-hub boulderzitunnel.vscode-buddies cubedivervolt.html-code-validate winnerdomain17.version-lens-tool Segundo a Socket, mais de 320 artefatos relacionados à campanha foram encontrados desde 21 de dezembro de 2025. A estratégia mostra uma evolução importante dos hackers, que passaram a abusar de pacotes dormentes, dependências transitivas e carregadores escritos em Zig para dificultar a detecção. A cadeia de ataque começa quando o desenvolvedor instala uma extensão aparentemente legítima. Após a ativação, ela funciona como um loader e busca no GitHub uma segunda extensão VSIX maliciosa. Em seguida, o malware tenta instalar esse payload em todos os IDEs encontrados na máquina, usando o comando --install-extension. O objetivo final é comprometer o ambiente de desenvolvimento, roubar dados sensíveis, instalar um trojan de acesso remoto e implantar uma extensão Chromium falsa para capturar credenciais, favoritos e outras informações do navegador. O malware também evita execução em sistemas russos, um comportamento comum em campanhas associadas ao ecossistema cibercriminoso do Leste Europeu. O caso reforça um risco crescente na cadeia de suprimentos de software: extensões e pacotes usados por desenvolvedores se tornaram alvos estratégicos. Ao comprometer ferramentas de desenvolvimento, hackers podem alcançar credenciais corporativas, tokens de acesso, repositórios privados e ambientes cloud, ampliando o impacto operacional e financeiro para empresas.

O grupo hacker conhecido como Harvester foi associado a uma nova evolução de sua operação de espionagem cibernética, desta vez utilizando uma variante para Linux do backdoor GoGra. A campanha, identificada por pesquisadores da Symantec e da VMware Carbon Black, tem como provável alvo organizações no Sul da Ásia, com indícios de atividade concentrada na Índia e no Afeganistão. O diferencial técnico dessa operação está no uso de infraestrutura legítima da Microsoft como canal de comando e controle (C2). O malware utiliza a API Microsoft Graph e caixas de e-mail do Outlook para se comunicar com os operadores, o que permite contornar controles tradicionais de segurança de rede, já que o tráfego aparenta ser legítimo. A cadeia de ataque começa com técnicas de engenharia social, onde as vítimas são induzidas a executar arquivos ELF disfarçados como documentos PDF. Após a execução, o dropper exibe um documento isca para manter a aparência de legitimidade, enquanto instala silenciosamente o backdoor no sistema comprometido. Uma vez ativo, o GoGra em Linux estabelece comunicação contínua com um diretório específico em uma caixa de e-mail do Outlook — curiosamente nomeado como “Zomato Pizza”. A cada dois segundos, o malware consulta esse diretório utilizando requisições baseadas em OData, buscando instruções ocultas em e-mails com assunto iniciado por “Input”. Quando encontra uma mensagem válida, o malware decodifica o conteúdo em Base64 e executa os comandos diretamente no sistema usando o interpretador “/bin/bash”. Os resultados da execução são então enviados de volta aos operadores por e-mail, utilizando o assunto “Output”. Após concluir a comunicação, o backdoor remove as mensagens utilizadas, dificultando a análise forense e a detecção. Esse modelo de C2 baseado em serviços legítimos é uma técnica cada vez mais comum, conhecida como “living-off-the-cloud”, onde hackers exploram plataformas confiáveis para mascarar suas atividades. Nesse caso, o uso do Microsoft Graph API permite que o tráfego malicioso se misture com operações corporativas legítimas, reduzindo significativamente a eficácia de ferramentas tradicionais de detecção baseadas em perímetro. O grupo Harvester já havia sido documentado anteriormente, em 2021, utilizando um implante chamado Graphon, também baseado na Microsoft Graph API, em campanhas de espionagem contra setores de telecomunicações, governo e tecnologia da informação na região. Em 2024, o grupo evoluiu seu arsenal com o desenvolvimento do GoGra, inicialmente focado em ambientes Windows. A nova variante para Linux demonstra uma expansão estratégica das capacidades do grupo, permitindo atingir uma gama mais ampla de alvos, especialmente servidores e infraestruturas críticas que frequentemente operam nesse sistema operacional. A análise técnica revelou que, apesar das diferenças de plataforma, a lógica de comunicação C2 permanece praticamente idêntica entre as versões. Outro ponto relevante é a identificação de erros de ortografia idênticos no código das versões Windows e Linux do malware, o que reforça a hipótese de que ambas foram desenvolvidas pelo mesmo autor ou equipe. Do ponto de vista de segurança, o ataque evidencia uma tendência crescente de abuso de APIs e serviços cloud confiáveis para operações maliciosas. Esse tipo de técnica desafia modelos tradicionais de segurança baseados em bloqueio de tráfego, exigindo abordagens mais avançadas, como análise comportamental, inspeção de identidade e monitoramento de atividades em APIs. Organizações são aconselhadas a reforçar controles sobre execução de binários desconhecidos, implementar monitoramento detalhado de chamadas à API Microsoft Graph, além de inspecionar padrões anômalos de acesso a caixas de e-mail corporativas. A detecção precoce desse tipo de ameaça depende, cada vez mais, da visibilidade sobre comportamentos e não apenas sobre assinaturas conhecidas.

Pesquisadores da Kaspersky identificaram um malware inédito do tipo wiper, batizado de Lotus Wiper, utilizado em uma campanha altamente destrutiva contra o setor de energia e utilities na Venezuela. Os ataques ocorreram entre o final de 2025 e o início de 2026 e têm como principal objetivo inutilizar completamente os sistemas afetados, sem qualquer indício de motivação financeira. Diferente de campanhas tradicionais de ransomware, o Lotus Wiper não inclui instruções de pagamento ou extorsão. Isso indica um perfil mais alinhado a operações de sabotagem digital ou ataques com motivação geopolítica. O malware foi detectado em um período de aumento significativo de atividades maliciosas na região, levantando suspeitas de uma campanha altamente direcionada contra infraestruturas críticas. A cadeia de ataque começa com scripts em batch que preparam o ambiente comprometido para a fase destrutiva. Esses scripts coordenam a execução do ataque em múltiplas máquinas, enfraquecem defesas locais e interrompem operações normais antes de baixar e executar o payload final do wiper. Um dos primeiros passos é a tentativa de desativar o serviço Windows Interactive Services Detection (UI0Detect), indicando que os invasores tinham conhecimento prévio de ambientes legados, já que esse serviço foi removido em versões mais recentes do Windows. Na sequência, o malware verifica a existência do compartilhamento NETLOGON, comum em ambientes com Active Directory, e tenta acessar arquivos remotos que ajudam a determinar se o sistema faz parte de um domínio corporativo. Essa etapa é crítica para movimentação lateral e execução coordenada dentro da rede. Caso o acesso falhe, o script implementa atrasos aleatórios de até 20 minutos, técnica comum para evitar detecção por soluções de segurança baseadas em comportamento. Uma vez validado o ambiente, um segundo script entra em ação e executa uma série de comandos nativos do sistema operacional para maximizar o impacto. Entre eles, estão a enumeração de usuários locais, desativação de logins em cache, encerramento de sessões ativas e desativação de interfaces de rede — efetivamente isolando o sistema antes da destruição. O ataque então avança para a fase mais crítica: a execução de comandos como "diskpart clean all", que apaga completamente todos os discos lógicos identificados. Em paralelo, o malware utiliza ferramentas como robocopy para sobrescrever diretórios e fsutil para criar arquivos que ocupam todo o espaço disponível em disco, dificultando qualquer tentativa de recuperação. Após essa preparação, o payload principal do Lotus Wiper é executado. Ele remove pontos de restauração, sobrescreve setores físicos dos discos com zeros, limpa registros de journaling (USN) e apaga sistematicamente todos os arquivos presentes nos volumes montados. O resultado é um ambiente completamente inutilizável, exigindo reconstrução total da infraestrutura. A análise indica que os hackers possuíam conhecimento prévio do ambiente alvo, incluindo uso de sistemas operacionais antigos e estrutura de domínio. Isso sugere que o comprometimento inicial pode ter ocorrido semanas ou até meses antes da fase destrutiva, caracterizando uma operação avançada com persistência e movimentação lateral bem estabelecidas. Especialistas recomendam que organizações — especialmente em setores críticos — monitorem alterações no compartilhamento NETLOGON, comportamentos relacionados a dumping de credenciais e tentativas de elevação de privilégio, além do uso incomum de ferramentas nativas do Windows como diskpart, robocopy e fsutil, frequentemente exploradas em ataques do tipo “living-off-the-land”. O caso reforça uma tendência crescente no cenário de ameaças: o uso de malware destrutivo em campanhas direcionadas, muitas vezes associadas a contextos geopolíticos ou operações de sabotagem. Diferente do modelo de monetização via ransomware ou DDoS-as-a-Service, ataques com wipers visam interrupção total de operações, com impactos diretos em serviços essenciais, economia e estabilidade de regiões inteiras.

A Agência de Segurança Cibernética e de Infraestrutura dos EUA (CISA) revelou um incidente crítico envolvendo um dispositivo Cisco Firepower pertencente a uma agência federal, comprometido por um malware avançado chamado FIRESTARTER. A ameaça, associada a um grupo APT, demonstra um nível elevado de sofisticação ao conseguir manter persistência mesmo após a aplicação de correções de segurança. O ataque explora vulnerabilidades previamente corrigidas no software Cisco ASA, incluindo falhas críticas que permitem execução remota de código e acesso não autenticado a endpoints restritos. Uma vez exploradas, essas brechas fornecem acesso privilegiado ao dispositivo, permitindo que os hackers implantem ferramentas de pós-exploração como o LINE VIPER, um toolkit capaz de executar comandos, capturar tráfego de rede, contornar autenticação VPN (AAA) e até suprimir logs para evitar detecção. A partir desse ponto, o malware FIRESTARTER é implantado como backdoor persistente. Desenvolvido como um binário ELF para Linux, ele se integra ao processo de inicialização do dispositivo ao modificar a lista de montagem de boot. Isso garante que o malware seja automaticamente executado a cada reinicialização — sobrevivendo inclusive a atualizações de firmware e reboots convencionais. Outro aspecto crítico é a capacidade do FIRESTARTER de se integrar ao processo LINA, componente central responsável pelo processamento de tráfego e funções de segurança no dispositivo. Ao inserir um hook nesse processo, o malware passa a interceptar operações legítimas e executar código arbitrário enviado pelos invasores, utilizando inclusive pacotes especialmente manipulados durante autenticações WebVPN. Mesmo após a correção das vulnerabilidades exploradas, dispositivos previamente comprometidos permanecem infectados, uma vez que o malware não é removido automaticamente pelos updates. Isso representa um risco significativo, pois permite que os invasores mantenham acesso contínuo ao ambiente sem necessidade de reinfecção. Para remoção completa da ameaça, a Cisco recomenda a reinstalação total do sistema (reimage) e atualização para versões corrigidas. Como mitigação temporária, um simples reboot não é suficiente — é necessário um desligamento físico do equipamento (power cycle) para remover o implante da memória ativa, embora isso não elimine a persistência configurada no boot. O cenário é agravado por indícios de que a campanha esteja relacionada a grupos com vínculos à China, que vêm utilizando dispositivos de borda — como firewalls, roteadores e equipamentos IoT — como ponto de entrada estratégico em redes corporativas e governamentais. Além disso, relatórios recentes indicam que esses grupos estão operando redes encobertas compostas por dispositivos comprometidos (como roteadores domésticos e câmeras IP), formando uma infraestrutura distribuída para mascarar ataques e dificultar a atribuição. Esse modelo permite que o tráfego malicioso atravesse múltiplos dispositivos intermediários antes de atingir o alvo final. O caso reforça uma tendência preocupante no cenário de ameaças: o foco crescente em dispositivos de perímetro, que muitas vezes ficam fora do escopo de soluções tradicionais de segurança de endpoint e identidade. Esses equipamentos, quando comprometidos, oferecem um ponto de acesso persistente, de baixa visibilidade e altamente estratégico dentro da rede. Organizações devem tratar dispositivos de rede como ativos críticos, garantindo atualização contínua, monitoramento de integridade, revisão de configurações e, em casos de suspeita de comprometimento, considerar a substituição completa ou reinstalação do sistema.

A Microsoft lançou atualizações emergenciais fora do ciclo regular de correções para corrigir uma vulnerabilidade crítica no ASP.NET Core que poderia permitir que um invasor elevasse privilégios em aplicações afetadas. A falha, rastreada como CVE-2026-40372, recebeu pontuação CVSS 9.1 de 10 e foi classificada pela empresa como de severidade “Importante”. Segundo o alerta da Microsoft, o problema está relacionado à verificação inadequada de assinaturas criptográficas no ASP.NET Core. Em termos práticos, isso significa que um invasor não autorizado, explorando a falha pela rede, poderia manipular mecanismos de proteção de dados usados pela aplicação e, em cenários bem-sucedidos, obter privilégios de SYSTEM. A vulnerabilidade afeta especificamente aplicações que utilizam o pacote Microsoft.AspNetCore.DataProtection 10.0.6 via NuGet, seja de forma direta ou por meio de dependências como Microsoft.AspNetCore.DataProtection.StackExchangeRedis. Além disso, a cópia vulnerável da biblioteca precisa ter sido carregada em tempo de execução, e a aplicação deve estar rodando em Linux, macOS ou outro sistema operacional não Windows. O componente DataProtection é usado para proteger informações sensíveis em aplicações ASP.NET Core, incluindo cookies de autenticação, tokens antifraude e outros dados que dependem de criptografia autenticada. A falha foi causada por uma regressão nos pacotes Microsoft.AspNetCore.DataProtection das versões 10.0.0 a 10.0.6, que fazia o mecanismo de criptografia autenticada calcular a validação HMAC sobre bytes incorretos do payload e, em alguns casos, descartar o hash calculado. Com isso, um invasor poderia criar payloads falsificados capazes de passar pelas verificações de autenticidade do DataProtection. A exploração também poderia permitir a descriptografia de payloads anteriormente protegidos, ampliando o risco para sessões autenticadas, tokens de redefinição de senha, chaves de API e outros mecanismos sensíveis usados por aplicações web. A Microsoft corrigiu o problema no ASP.NET Core 10.0.7 e recomenda que administradores e equipes de desenvolvimento atualizem imediatamente os ambientes afetados. No entanto, a empresa alerta que a atualização por si só pode não ser suficiente em todos os casos. Se um invasor tiver conseguido se autenticar como um usuário privilegiado durante a janela de exposição, ele pode ter induzido a aplicação a emitir tokens legítimos, como sessões renovadas ou links de redefinição de senha. Esses tokens podem continuar válidos mesmo após a atualização para a versão 10.0.7, a menos que o anel de chaves do DataProtection seja rotacionado. Por isso, além da aplicação do patch, a mitigação adequada deve incluir a rotação das chaves, revisão de tokens emitidos durante o período vulnerável e análise de logs em busca de comportamentos anômalos. O caso reforça a importância de monitorar dependências de software, especialmente bibliotecas criptográficas e componentes de autenticação usados por aplicações modernas. Em ambientes corporativos, falhas desse tipo podem ter impacto significativo, pois afetam diretamente a confiança em sessões, tokens e mecanismos de autorização.

A Panasonic anunciou uma nova abordagem para otimizar o cadastro biométrico em sistemas de controle de acesso: QR Codes que funcionam apenas em dispositivos e ambientes autorizados. A tecnologia foi incorporada ao seu serviço de gestão de acesso físico, conhecido como “Site Management Service”, com o objetivo de reduzir gargalos no processo de registro facial. O problema identificado pela empresa é comum em ambientes corporativos e industriais: o onboarding biométrico costuma ser lento, dependente de intervenção manual e sujeito a falhas de qualidade. Funcionários e visitantes frequentemente enfrentam filas para capturar imagens faciais adequadas, enquanto administradores precisam validar os dados e, em muitos casos, repetir o processo. A solução proposta muda a dinâmica do fluxo. Em vez de realizar o cadastro manual, o usuário recebe um QR Code contendo informações de registro. Ao chegar ao local, ele apresenta esse código para o sistema de reconhecimento facial — que utiliza a própria câmera do dispositivo de acesso para escanear o QR em vez do rosto inicialmente. A partir daí, o backend em nuvem valida o conteúdo do QR Code. Se autorizado, o sistema realiza automaticamente a captura facial, processa os dados biométricos e os armazena para futuras autenticações. Na prática, isso permite um modelo de autoatendimento supervisionado, eliminando a necessidade de interação direta com administradores. Do ponto de vista técnico, a cadeia de funcionamento envolve três etapas principais: geração do QR Code com dados de autorização, validação em ambiente controlado e captura biométrica vinculada à identidade. Esse fluxo reduz atrito operacional e acelera o provisionamento de identidades físicas. Um dos principais desafios desse modelo está na segurança. QR Codes tradicionais podem ser lidos por qualquer dispositivo, o que abre espaço para uso indevido, como tentativa de acesso não autorizado ou interceptação de dados. Para mitigar esse risco, a Panasonic desenvolveu um mecanismo que restringe a leitura do QR Code a dispositivos e ambientes previamente autorizados. Segundo a empresa, o conteúdo do código é ilegível fora desses contextos, utilizando um método de exibição que impede a interpretação por leitores comuns. Isso sugere o uso de técnicas como criptografia, binding com hardware específico ou validação contextual baseada em ambiente — embora os detalhes técnicos completos ainda não tenham sido divulgados. A empresa também informou que solicitou patente para a tecnologia, indicando uma tentativa de consolidar essa abordagem como diferencial competitivo no mercado de controle de acesso físico e identidade digital. Vale destacar que o uso combinado de QR Code e biometria não é totalmente novo. A Denso já demonstrou que é possível codificar perfis biométricos dentro da capacidade de armazenamento de um QR Code, que pode chegar a aproximadamente 3KB de dados. No entanto, a proposta da Panasonic se diferencia ao focar no controle de contexto e restrição de leitura. Além disso, a Panasonic anunciou uma colaboração com a Hitachi para o desenvolvimento de soluções de identidade digital mais amplas. A iniciativa visa permitir que usuários tenham maior controle sobre seus dados pessoais, alinhando-se a tendências globais de descentralização e privacidade. O movimento reflete uma convergência cada vez mais forte entre controle de acesso físico, identidade digital e tecnologias biométricas. À medida que organizações buscam maior eficiência operacional sem comprometer segurança, soluções híbridas como essa tendem a ganhar espaço — especialmente em ambientes de alto fluxo e exigência de controle rigoroso.

A Apple lançou uma correção de segurança para iOS e iPadOS após identificar uma falha no sistema de notificações que podia manter armazenadas, no próprio dispositivo, notificações que deveriam ter sido apagadas. A vulnerabilidade, registrada como CVE-2026-28950, foi classificada pela empresa como um problema de registro de dados, corrigido por meio de melhorias na forma como informações sensíveis são removidas ou ocultadas dos logs internos do sistema. Segundo a Apple, “notificações marcadas para exclusão poderiam ser inesperadamente mantidas no dispositivo”. Na prática, isso significa que conteúdos exibidos em notificações, inclusive trechos de mensagens recebidas por aplicativos como o Signal, poderiam permanecer salvos em bases internas do iPhone ou iPad mesmo depois que o aplicativo fosse apagado. A correção foi incluída nas versões iOS 26.4.2, iPadOS 26.4.2, iOS 18.7.8 e iPadOS 18.7.8, abrangendo uma ampla lista de dispositivos, incluindo iPhones a partir do iPhone XR e iPhone 11, modelos mais recentes como iPhone 15, iPhone 16 e iPhone 16e, além de várias gerações de iPad, iPad Air, iPad mini e iPad Pro. O caso ganhou relevância após uma reportagem da 404 Media revelar que o FBI conseguiu extrair, por meio de análise forense, cópias de mensagens recebidas no Signal a partir de um iPhone pertencente a um réu investigado em conexão com um ataque contra uma instalação de detenção da ICE em Prairieland, nos Estados Unidos. Mesmo após a remoção do aplicativo Signal, os investigadores teriam conseguido recuperar partes do conteúdo porque as mensagens haviam sido armazenadas no banco de dados de notificações push do dispositivo. Ainda não está claro por que o conteúdo das notificações estava sendo registrado dessa forma, nem desde quando o problema existia. A atualização da Apple indica que se tratava de um bug, mas permanece a dúvida sobre quantos casos anteriores podem ter envolvido a extração desse tipo de dado por ferramentas forenses. O episódio expõe um ponto importante para a privacidade digital: mesmo aplicativos com foco em comunicação segura podem ter parte de seus dados expostos quando o sistema operacional, as notificações ou o armazenamento local preservam informações inesperadamente. A criptografia protege a comunicação durante o envio e recebimento, mas não elimina todos os riscos quando o conteúdo aparece em notificações ou quando há acesso físico ao aparelho. A Electronic Frontier Foundation alertou que, para a maioria dos aplicativos, não é simples para o usuário saber quais metadados ou conteúdos podem ser obtidos a partir de notificações. A organização também reforçou que vale repensar quais aplicativos realmente precisam enviar alertas na tela do celular. No caso do Signal, os usuários podem reduzir a exposição acessando o perfil do aplicativo, entrando em “Notificações” e alterando a opção de exibição para “Somente nome” ou “Sem nome nem mensagem”. Dessa forma, o conteúdo da mensagem deixa de aparecer diretamente nas notificações. O Signal afirmou que nenhuma ação adicional é necessária além da instalação da atualização da Apple. Segundo a empresa, após o patch, notificações preservadas indevidamente serão removidas e futuras notificações de aplicativos deletados não serão mais mantidas.

Um dos recursos mais icônicos do sistema operacional Windows acaba de ganhar uma nova interpretação técnica. O medidor de uso de CPU do Gerenciador de Tarefas, ferramenta amplamente utilizada por usuários e profissionais de TI, não representa exatamente o que está acontecendo em tempo real — mas sim um retrato recente do passado. A explicação vem de Dave Plummer, responsável pela primeira versão do Task Manager. Segundo ele, o valor exibido não é uma leitura instantânea do uso da CPU, mas sim o resultado de um cálculo baseado em intervalos de tempo. Na prática, o funcionamento segue uma lógica relativamente simples, porém engenhosa. O sistema utiliza um timer que, em intervalos regulares, consulta o kernel do sistema operacional para obter o tempo total de execução acumulado de cada processo. Em seguida, compara esses valores com a medição anterior. A partir disso, calcula-se o delta de uso de CPU — ou seja, quanto processamento cada aplicação consumiu entre duas medições consecutivas. Esse valor é então dividido pelo total de uso do sistema no mesmo intervalo, resultando na porcentagem exibida ao usuário. Esse modelo funciona bem em termos de consistência, mas traz limitações importantes. Como o cálculo é baseado em amostras temporais, o número apresentado sempre reflete o que aconteceu momentos antes — não exatamente o estado atual da CPU no instante da visualização. Além disso, o próprio Plummer destaca que o modelo foi criado em uma época muito diferente da atual. Nos anos 90 e início dos anos 2000, os processadores operavam com frequências relativamente estáveis, o que tornava a relação entre tempo de execução e capacidade de processamento mais previsível. Hoje, porém, o cenário mudou drasticamente. CPUs modernas utilizam técnicas avançadas como scaling dinâmico de frequência, turbo boost, core parking e estados de baixo consumo. Isso significa que a quantidade de trabalho realizada em um mesmo intervalo de tempo pode variar significativamente, dependendo do estado do processador naquele momento. Nesse contexto, o medidor do Task Manager continua tecnicamente correto — mas mede algo diferente do que muitos imaginam. Em vez de refletir produtividade ou capacidade real de processamento, ele indica ocupação da CPU ao longo de um intervalo. Isso ajuda a explicar por que, em sistemas modernos, o uso de CPU pode parecer “instável” ou pouco intuitivo. Um mesmo percentual pode representar níveis muito diferentes de processamento real, dependendo da frequência e do comportamento dinâmico do hardware. Outro detalhe interessante revelado pelo engenheiro envolve os desafios enfrentados durante o desenvolvimento da ferramenta. Pequenas inconsistências nos dados fornecidos pelo kernel podiam fazer com que a soma total de uso ultrapassasse 100%, exigindo ajustes e validações adicionais no código — incluindo mecanismos de verificação e até comentários com instruções para contato direto com o desenvolvedor. O caso também ilustra uma mudança mais ampla no paradigma de monitoramento de sistemas. Em ambientes modernos, métricas isoladas — como um simples percentual de CPU — já não são suficientes para representar com precisão o desempenho de um sistema. É cada vez mais necessário analisar múltiplos indicadores em conjunto, como throughput, latência, uso de memória, I/O e comportamento do hardware. No fim, o medidor de CPU do Windows permanece como uma ferramenta útil, mas que carrega consigo as limitações de uma era mais simples da computação. Como o próprio Plummer resume, quando os números parecem “escorregadios”, o problema não está necessariamente na ferramenta — mas na complexidade crescente do hardware que ela tenta representar.

Um caso que expõe uma das camadas mais sensíveis do ecossistema de resposta a incidentes ganhou novos desdobramentos nos Estados Unidos. Angelo Martino, ex-negociador de ransomware, declarou-se culpado por colaborar com o grupo hacker ALPHV/BlackCat, traindo empresas que haviam contratado sua própria equipe para lidar com ataques cibernéticos. Martino atuava em uma empresa de resposta a incidentes — identificada em documentos judiciais como “Company-1”, associada à empresa DigitalMint — e tinha como função auxiliar vítimas a negociar com hackers para reduzir impactos financeiros. No entanto, em vez de proteger os clientes, ele repassava informações confidenciais diretamente aos invasores. A atuação do insider seguia uma lógica clara dentro da cadeia de ataque. Após o comprometimento inicial das empresas por meio de ransomware, as vítimas acionavam especialistas para conduzir negociações. Nesse momento, Martino acessava dados críticos — como limites de apólices de seguro cibernético e percepção interna sobre a disposição de pagamento — e os compartilhava com o grupo hacker. Essas informações permitiam aos criminosos ajustar a estratégia de extorsão, aumentando significativamente os valores exigidos. Além do vazamento de informações, Martino também admitiu participação direta em ataques, atuando ao lado de outros dois envolvidos — Ryan Goldberg e Kevin Martin — na implantação do ransomware em múltiplas vítimas entre abril e novembro de 2023. Ou seja, o caso deixou de ser apenas espionagem interna e passou a configurar envolvimento ativo na operação criminosa. Os impactos financeiros foram expressivos. Documentos judiciais revelam que uma empresa do setor de hospitalidade pagou cerca de US$ 16,4 milhões em resgate, enquanto uma organização sem fins lucrativos desembolsou aproximadamente US$ 26,8 milhões. Uma empresa de serviços financeiros também realizou pagamento superior a US$ 25,6 milhões. Outros casos incluem US$ 6,1 milhões pagos por uma empresa de varejo e US$ 213 mil por uma organização da área médica. Somando diferentes incidentes, os três envolvidos chegaram a exigir mais de US$ 16 milhões em ataques conduzidos diretamente por eles, além de lucrarem com operações onde atuavam como intermediários. Parte desses valores foi dividida entre o grupo e posteriormente lavada para ocultar a origem ilícita. As autoridades já conseguiram apreender cerca de US$ 10 milhões em ativos ligados a Martino, incluindo criptomoedas, veículos de luxo, propriedades e até bens incomuns, como um food truck e um barco de pesca adquirido com recursos provenientes dos crimes. Dois imóveis na Flórida também estão em processo de confisco. O caso levanta um alerta relevante para o mercado de cibersegurança: o risco interno em empresas que atuam justamente na linha de frente contra ataques. A confiança depositada em equipes de resposta a incidentes é um dos pilares da gestão de crises cibernéticas, e episódios como esse expõem vulnerabilidades não técnicas, mas humanas e processuais. Do ponto de vista estratégico, o incidente também evidencia a sofisticação crescente dos grupos hackers. Ao explorar não apenas falhas técnicas, mas também relações de confiança e processos de negociação, essas operações ampliam sua eficácia e aumentam o retorno financeiro. O grupo ALPHV/BlackCat, conhecido por operar no modelo de Ransomware-as-a-Service (RaaS), já esteve envolvido em diversas campanhas de alto impacto, combinando criptografia de dados, exfiltração e extorsão dupla. A colaboração de um insider com acesso privilegiado elevou ainda mais o nível de eficiência dessas operações. Martino aguarda sentença, prevista para julho, enquanto seus cúmplices devem ser julgados ainda em abril. Todos podem enfrentar penas de até 20 anos de prisão.