A Federal Communications Commission (FCC) anunciou uma nova proposta regulatória que pode mudar significativamente a forma como operadoras de telefonia lidam com chamadas automatizadas ilegais, conhecidas como robocalls. A medida busca aumentar a responsabilidade das empresas que originam chamadas e reforçar mecanismos de identificação de clientes, em uma tentativa de frear fraudes que continuam afetando milhões de consumidores. A proposta, apresentada nesta quinta-feira, amplia as exigências já existentes de “Know Your Customer” (KYC), exigindo que operadoras coletem mais informações de seus clientes antes de permitir o uso de seus serviços. Segundo a própria FCC, as regras atuais não têm sido suficientes, já que algumas empresas não aplicam controles rigorosos, permitindo que chamadas fraudulentas continuem sendo originadas em suas redes. Falhas no modelo atual abrem espaço para fraudes em escala O diagnóstico da agência é direto: a falta de rigor na validação de clientes por parte de algumas operadoras tem facilitado a proliferação de robocalls ilegais, muitas delas utilizadas em golpes financeiros, engenharia social e até em atividades criminosas mais graves. Para corrigir essa lacuna, a FCC propõe um endurecimento significativo nas penalidades. Um dos pontos mais relevantes é a mudança no modelo de multas, que passariam a ser aplicadas por chamada ilegal realizada — e não mais de forma agregada. Na prática, isso pode multiplicar exponencialmente os valores das penalidades, alinhando o impacto financeiro ao volume de chamadas fraudulentas geradas. Essa abordagem reflete uma tendência crescente no setor regulatório: responsabilizar diretamente os pontos de origem do tráfego malicioso, especialmente quando há falhas na validação ou monitoramento de clientes. Novas exigências de identificação e rastreabilidade Entre as medidas propostas, operadoras deverão coletar informações detalhadas de novos clientes — incluindo nome completo, endereço físico, documento oficial emitido pelo governo e um número de telefone alternativo. Além disso, será obrigatória a validação dessas informações com evidências, como cópias de documentos oficiais. Clientes com alto volume de chamadas também estarão sujeitos a controles adicionais. Eles deverão informar a finalidade do uso do serviço (como campanhas de marketing) e o endereço IP de onde as chamadas serão originadas, ampliando a rastreabilidade das operações. Outro ponto crítico da proposta é a exigência de retenção de dados por um período mínimo de quatro anos após o encerramento do relacionamento com o cliente. Essa medida visa apoiar investigações futuras e facilitar a identificação de responsáveis por atividades fraudulentas. A FCC também avalia exigir revalidação periódica de dados em casos de comportamento suspeito, além de estabelecer níveis de exigência diferentes para clientes de maior risco e distinguir regras entre serviços pré-pagos e pós-pagos. Impacto além da fraude: investigação criminal e segurança nacional A agência destaca que o problema vai além do incômodo das chamadas indesejadas. Segundo a FCC, a falta de controles adequados dificulta a atuação de autoridades na investigação de crimes mais graves, como tráfico de drogas, crimes violentos e até redes de tráfico humano que utilizam infraestrutura de telecomunicações para operar. Esse ponto reforça uma mudança importante de narrativa: robocalls deixam de ser apenas um problema de consumo e passam a ser tratados como uma questão de segurança pública e infraestrutura crítica. Caso recente reforça urgência regulatória A proposta surge em meio a ações recentes da FCC contra operadoras que, segundo a agência, falharam em impedir o uso indevido de suas redes. No início de abril, a empresa Voxbeam Telecommunications foi alvo de uma multa proposta de US$ 4,5 milhões por supostamente permitir tráfego de chamadas suspeitas provenientes de um provedor estrangeiro não autorizado. De acordo com a FCC, esse tráfego teria viabilizado robocalls de falsificação financeira direcionadas a consumidores americanos. A penalidade ainda não é definitiva e a empresa terá oportunidade de apresentar sua defesa. O episódio evidencia um cenário em que operadoras deixam de ser apenas intermediárias técnicas e passam a ser vistas como agentes responsáveis pela integridade do ecossistema de comunicação. Um problema persistente — e cada vez mais sofisticado Apesar de anos de iniciativas regulatórias e tecnológicas, as robocalls continuam sendo um problema estrutural nos Estados Unidos. A nova proposta da FCC indica que a estratégia agora passa por aumentar a pressão sobre a origem do problema: as operadoras que permitem, direta ou indiretamente, que essas chamadas aconteçam. Se aprovada, a nova regra pode redefinir padrões globais de compliance em telecomunicações, especialmente ao combinar princípios de KYC com rastreabilidade técnica e responsabilização proporcional ao dano causado.

Uma nova onda de ataques cibernéticos mostrou como áreas financeiras continuam entre os alvos mais sensíveis dentro das empresas. Desta vez, hackers conseguiram desviar milhões de rublos de companhias russas após invadir computadores de profissionais da contabilidade e transformar transações fraudulentas em pagamentos que pareciam fazer parte da folha salarial. De acordo com um relatório divulgado nesta semana pela empresa russa de cibersegurança F6, a campanha foi conduzida pelo grupo Hive0117 entre fevereiro e março de 2026, com foco direto em departamentos financeiros corporativos. A operação chamou atenção não apenas pelo volume de organizações atingidas, mas pela forma cuidadosa como os invasores adaptaram sua abordagem para explorar rotinas comuns de trabalho e mecanismos bancários usados diariamente pelas empresas. Segundo a análise, mais de 3 mil organizações russas receberam os e-mails maliciosos enviados pelos hackers. O maior roubo confirmado ultrapassou 14 milhões de rublos, o equivalente a cerca de US$ 178 mil. A estratégia era relativamente simples na aparência, mas sofisticada na execução: os criminosos enviavam mensagens de phishing direcionadas a funcionários das áreas de contabilidade e finanças, se passando por contatos legítimos e utilizando documentos aparentemente rotineiros como isca. Os e-mails partiam de contas que aparentavam ser confiáveis, possivelmente comprometidas anteriormente. Entre elas, estava inclusive uma conta ligada a uma desenvolvedora de aplicações web e mobile sediada em Moscou. Os anexos eram enviados em arquivos protegidos por senha e apresentados como documentos corporativos comuns, como notas fiscais, comprovantes de conciliação e papéis relacionados a remessas e transporte. Esse detalhe ajudava a reduzir a desconfiança das vítimas, já acostumadas a lidar com esse tipo de material no dia a dia. Quando o funcionário abria o arquivo compactado e executava um arquivo oculto em seu interior, o computador era infectado pelo malware DarkWatchman, um trojan de acesso remoto já conhecido no cenário de ameaças. Esse malware permite que os hackers mantenham controle furtivo sobre a máquina comprometida, executem comandos remotamente, baixem ferramentas adicionais e até se movimentem lateralmente dentro da rede corporativa, ampliando o alcance do ataque. Com acesso ao equipamento de um contador ou analista financeiro, os invasores conseguiam entrar nos sistemas bancários remotos usados pelas empresas para gerenciar pagamentos. Esse é um dos pontos mais críticos da operação: como as ações eram executadas a partir de uma máquina legítima, utilizada por um colaborador autorizado, as transações tinham aparência de normalidade. Na prática, os hackers operavam “por dentro” do ambiente financeiro da organização, reduzindo a chance de bloqueios imediatos por sistemas de segurança. Na campanha mais recente, o grupo explorou o próprio mecanismo de folha de pagamento para criar ordens de transferência associadas a contas bancárias registradas de forma aparentemente legítima. Esses registros davam a impressão de pertencer a funcionários, mas, na realidade, eram controlados pelos próprios hackers. Se o banco não identificasse o desvio como suspeito durante as verificações antifraude, os valores eram liberados e posteriormente sacados pelos criminosos. O caso evidencia uma tendência importante no cibercrime financeiro: em vez de depender apenas de roubo de credenciais ou ataques genéricos, grupos hackers estão cada vez mais focados em simular processos empresariais legítimos. Ao imitar pagamentos salariais, os invasores exploram justamente uma das rotinas mais previsíveis e críticas das empresas, criando um cenário em que fraude e operação legítima passam a se confundir. O Hive0117 está ativo desde o fim de 2021 e tem como principal alvo departamentos financeiros de empresas de diferentes setores. Embora a maior parte da atividade recente tenha se concentrado na Rússia, campanhas anteriores já atingiram usuários na Lituânia, Estônia, Belarus e Cazaquistão. Segundo a F6, não há indícios de que as operações do grupo estejam ligadas diretamente ao conflito cibernético mais amplo entre Rússia e Ucrânia, e a origem dos hackers ainda permanece desconhecida. Essa não é a primeira vez que o grupo utiliza o DarkWatchman em suas campanhas. Em 2025, a mesma empresa já havia relatado ataques contra empresas russas com uma versão modificada do malware. Antes disso, em 2023, pesquisadores também observaram o Hive0117 se passando por comunicações oficiais do governo russo em mensagens de phishing disfarçadas de notificações de alistamento militar, distribuindo a mesma família de malware. O episódio reforça um alerta já conhecido, mas ainda subestimado por muitas empresas: o setor financeiro continua sendo um dos pontos mais críticos para a segurança corporativa. Não basta apenas treinar usuários para evitar anexos suspeitos. É necessário revisar processos de autorização bancária, validar fluxos de pagamento, aplicar autenticação forte, restringir privilégios e monitorar com mais profundidade atividades realizadas a partir de estações que operam funções sensíveis. Quando um ataque consegue se misturar à rotina operacional, o prejuízo pode surgir antes mesmo que qualquer alerta seja disparado.

Uma nova variante do malware Chaos está ampliando seu alcance e agora passa a explorar ambientes em nuvem mal configurados, indicando uma evolução significativa nas estratégias de ataque. Antes focado principalmente em roteadores e dispositivos de borda, o malware agora mira infraestruturas cloud vulneráveis, aproveitando falhas de configuração para obter acesso inicial e executar código remotamente. O Chaos foi identificado originalmente em 2022 como um malware multiplataforma capaz de comprometer sistemas Windows e Linux. Desde então, vem sendo utilizado para diversas atividades maliciosas, incluindo execução remota de comandos, mineração de criptomoedas e ataques de negação de serviço (DDoS). Agora, a nova variante reforça a tendência de adaptação dos hackers, acompanhando a migração massiva de empresas para ambientes em nuvem. A análise mais recente identificou ataques direcionados a uma instância Hadoop deliberadamente vulnerável, utilizada como honeypot. O ataque começa com uma requisição HTTP que cria uma aplicação maliciosa dentro do ambiente comprometido. Em seguida, comandos são executados para baixar o binário do malware a partir de um servidor controlado pelos invasores, conceder permissões amplas ao arquivo e executá-lo, removendo vestígios logo após para dificultar investigações. Um detalhe relevante é que o domínio utilizado para hospedar o malware já havia sido associado a campanhas anteriores conduzidas por grupos hackers, incluindo operações de phishing que distribuíam malware. Isso indica possível reutilização de infraestrutura e continuidade nas atividades maliciosas. A nova versão do Chaos também apresenta mudanças estruturais importantes. Funções antigas, como propagação via SSH e exploração de vulnerabilidades em roteadores, foram removidas. Em seu lugar, os hackers introduziram um recurso de proxy SOCKS, permitindo que dispositivos comprometidos sejam usados como intermediários para tráfego malicioso, ocultando a origem real dos ataques. Essa funcionalidade amplia o potencial de monetização da botnet, permitindo não apenas ataques DDoS ou mineração de criptomoedas, mas também o aluguel de infraestrutura para atividades ilícitas, como anonimização de ataques e distribuição de tráfego malicioso. O movimento reflete uma tendência crescente no cibercrime: transformar botnets em plataformas multifuncionais de serviços ilegais. O avanço do Chaos reforça um alerta importante para organizações: configurações inadequadas em ambientes cloud continuam sendo uma das principais portas de entrada para ataques. A evolução constante desse tipo de malware demonstra que os hackers estão cada vez mais focados em maximizar o retorno financeiro e diversificar suas operações.

Uma nova botnet chamada Masjesu está ganhando destaque no cenário global de cibersegurança ao operar como um serviço de DDoS sob demanda , explorando milhares de dispositivos IoT comprometidos. Ativa desde 2023, a infraestrutura vem sendo promovida em canais do Telegram, permitindo que clientes contratem ataques de negação de serviço de forma acessível e escalável. A operação, também conhecida como XorBot devido ao uso de criptografia baseada em XOR para ocultar comandos e cargas maliciosas, foi inicialmente documentada pela empresa chinesa NSFOCUS. Desde então, análises mais recentes indicam uma evolução significativa da ameaça, incluindo a incorporação de múltiplas técnicas de exploração para comprometer dispositivos como roteadores, câmeras, DVRs e NVRs de diversos fabricantes amplamente utilizados no mercado. Ao contrário de botnets tradicionais que buscam infecção em larga escala, o Masjesu adota uma abordagem mais discreta e estratégica. A operação evita deliberadamente atingir infraestruturas sensíveis — como redes governamentais — para reduzir o risco de exposição e prolongar sua permanência ativa. Esse comportamento indica um nível mais sofisticado de operação, focado em sustentabilidade e lucro contínuo. Os ataques conduzidos pela botnet são predominantemente do tipo volumétric o , com capacidade para impactar servidores de jogos, redes de distribuição de conteúdo (CDNs) e ambientes corporativos. A origem do tráfego malicioso é global, com forte concentração em países como Vietnã, Ucrânia, Irã, Brasil, Quênia e Índia — sendo o Vietnã responsável por cerca de metade das atividades observadas. Após comprometer um dispositivo , o malware estabelece persistência no sistema e abre uma porta de comunicação dedicada para receber comandos diretamente dos hackers. Além disso, ele desativa processos comuns como wget e curl, possivelmente para impedir a ação de outras botnets concorrentes. A partir daí, o dispositivo passa a integrar a rede de ataque e pode ser utilizado em campanhas coordenadas. Outro diferencial relevante do Masjesu é sua capacidade de autopropagação . A botnet realiza varreduras constantes em busca de dispositivos vulneráveis, explorando portas abertas e falhas conhecidas — como serviços associados a roteadores Realtek. Essa estratégia permite a expansão contínua da rede de dispositivos comprometidos, aumentando seu poder de ataque ao longo do tempo. Especialistas apontam que o crescimento dessa botnet reforça uma tendência preocupante: a profissionalização do cibercrime, com modelos de negócio estruturados e uso intensivo de plataformas populares para recrutamento e comercialização de ataques. O cenário evidencia a urgência na proteção de dispositivos IoT, frequentemente negligenciados em estratégias de segurança corporativa e residencial.

Uma vulnerabilidade crítica do tipo zero-day no Adobe Reader está sendo explorada ativamente por hackers desde pelo menos dezembro de 2025, por meio de documentos PDF maliciosos cuidadosamente elaborados. A falha, até então desconhecida, permite a execução de ações avançadas nos sistemas das vítimas, sem que haja correções disponíveis até o momento. A descoberta foi detalhada por Haifei Li, da empresa EXPMON, que identificou um artefato suspeito denominado “Invoice540.pdf”, inicialmente enviado à plataforma VirusTotal em novembro de 2025. Uma segunda amostra foi detectada em março de 2026, indicando a continuidade da campanha. O uso do nome do arquivo sugere uma estratégia de engenharia social, em que usuários são induzidos a abrir documentos aparentemente legítimos, como faturas. Ao abrir o arquivo no Adobe Reader, o documento ativa automaticamente um código JavaScript ofuscado, capaz de coletar dados sensíveis da máquina comprometida e estabelecer comunicação com servidores remotos. Esse mecanismo permite não apenas o roubo de informações, mas também a entrega de cargas maliciosas adicionais, ampliando o impacto do ataque. Análises adicionais indicam que os PDFs observados contêm iscas em idioma russo, com referências a eventos atuais relacionados ao setor de petróleo e gás, sugerindo possíveis alvos específicos ou campanhas geopolíticas direcionadas. O ataque também explora APIs privilegiadas do Acrobat, mesmo em versões atualizadas do software, o que aumenta a gravidade da ameaça. Além da coleta de dados, o malware possui potencial para executar código remotamente (RCE) e escapar de ambientes isolados (sandbox), técnicas frequentemente utilizadas para comprometer sistemas de forma mais profunda e persistente. Os dados coletados são enviados para um servidor remoto, enquanto novos comandos podem ser recebidos para execução adicional. Apesar de a etapa final do ataque ainda não estar totalmente documentada — possivelmente devido a mecanismos de filtragem baseados no ambiente da vítima —, especialistas alertam que a capacidade de coleta de informações e a possibilidade de exploração adicional tornam essa ameaça altamente crítica. O caso segue em desenvolvimento e mantém a comunidade de segurança em estado de alerta.

A CIA promoveu discretamente sua divisão de ciberespionagem a um novo patamar estratégico, sinalizando uma mudança relevante na postura dos Estados Unidos no cenário digital. O Centro de Inteligência Cibernética (CCI), que desde 2015 operava dentro da Diretoria de Inovação Digital, foi elevado a um “mission center” — estrutura que garante maior autonomia, orçamento e prioridade dentro da agência. A decisão foi liderada pelo diretor John Ratcliffe como parte de uma reestruturação interna voltada a fortalecer a capacidade da agência de identificar, analisar e neutralizar ameaças cibernéticas estrangeiras. Com a mudança, a liderança do centro passa a se reportar diretamente ao diretor, além de ter acesso ampliado a recursos e equipes especializadas. Segundo representantes da agência , a reestruturação busca aumentar a eficiência das operações cibernéticas e garantir que nenhuma ameaça esteja fora do alcance das capacidades da CIA. Na prática, isso inclui não apenas inteligência defensiva, mas também o desenvolvimento de ferramentas ofensivas e técnicas avançadas de espionagem digital. A movimentação ocorre em paralelo a uma diretriz mais ampla da política de segurança nacional dos Estados Unidos , que vem adotando uma postura mais assertiva no ciberespaço. A estratégia nacional de cibersegurança divulgada recentemente pela Casa Branca reforça a intenção de utilizar operações ofensivas para responder a adversários e aumentar o custo de ataques contra o país. Internamente, a mudança também reflete a visão de Ratcliffe de tornar a agência menos avessa a riscos, especialmente diante da crescente sofisticação de ameaças digitais globais. O fortalecimento do CCI posiciona a CIA como um dos principais atores no campo da guerra cibernética, ampliando sua relevância estratégica ao lado de outras entidades como o Comando Cibernético dos EUA. O histórico da divisão reforça sua importância. Em 2017, documentos vazados pelo WikiLeaks, conhecidos como “Vault 7”, revelaram uma série de ferramentas avançadas utilizadas pela CIA, incluindo exploração de vulnerabilidades em sistemas como iOS, Android e Microsoft Windows, além de técnicas capazes de transformar dispositivos domésticos em ferramentas de espionagem. Com a elevação do centro, especialistas apontam que a CIA ganha ainda mais protagonismo na disputa digital global, em um cenário onde ataques cibernéticos se consolidam como instrumentos estratégicos de influência, espionagem e dissuasão entre nações.

Um novo movimento no cenário de ciberespionagem internacional acendeu alertas entre especialistas em segurança. O grupo hacker russo APT28, também conhecido como Forest Blizzard e Pawn Storm, foi associado a uma campanha sofisticada de ataques direcionados contra a Ucrânia e países aliados da OTAN. A operação utiliza um conjunto inédito de malwares chamado PRISMEX , projetado para espionagem avançada e possível sabotagem. De acordo com análises conduzidas pela Trend Micro , a campanha está ativa desde pelo menos setembro de 2025 e tem como alvos setores críticos, incluindo órgãos governamentais, defesa, logística ferroviária, transporte marítimo e até serviços meteorológicos — áreas diretamente ligadas à infraestrutura estratégica e ao suporte operacional em cenários de conflito. O ataque começa com campanhas de spear phishing altamente direcionadas, explorando vulnerabilidades recentes como CVE-2026-21509 e CVE-2026-21513. Em alguns casos, evidências indicam que o grupo já explorava essas falhas como zero-day antes mesmo de sua divulgação oficial, demonstrando um nível elevado de capacidade técnica e acesso antecipado a vulnerabilidades críticas. A cadeia de ataque é estruturada em múltiplas etapas. Inicialmente, uma falha força o sistema da vítima a baixar um arquivo malicioso no formato .LNK, que posteriormente explora outra vulnerabilidade para contornar mecanismos de segurança e executar códigos sem alertas ao usuário. Esse encadeamento reforça o uso de técnicas modernas de exploração combinada, aumentando significativamente a taxa de sucesso dos ataques. No estágio final, o PRISMEX entra em ação. O malware utiliza esteganografia para ocultar cargas maliciosas dentro de imagens aparentemente legítimas, além de empregar técnicas como hijacking de COM e abuso de serviços legítimos de cloud para comunicação com servidores de comando e controle. Essa abordagem dificulta a detecção por soluções tradicionais de segurança. O conjunto PRISMEX é composto por diferentes módulos, incluindo loaders, droppers e stagers, que operam de forma coordenada. Entre eles, destaca-se o uso do framework de comando e controle COVENANT, amplamente utilizado por grupos avançados. Em alguns casos, os ataques também envolvem o roubo de e-mails via Outlook e até a execução de comandos destrutivos capazes de apagar arquivos do sistema da vítima. Esse comportamento híbrido — combinando espionagem com potencial de destruição — reforça a hipótese de que a campanha não se limita à coleta de informações, mas também busca impactar operações críticas. O foco em cadeias de suprimento, rotas logísticas e serviços de suporte à Ucrânia sugere uma estratégia mais ampla de desestabilização. A análise também aponta conexões com campanhas anteriores, como a chamada Operation Neusploit, indicando evolução contínua das técnicas utilizadas pelo grupo. A utilização de serviços em nuvem legítimos para comunicação maliciosa e a sofisticação na ocultação de payloads evidenciam um avanço significativo na evasão de mecanismos de defesa. O cenário reforça o papel crescente da cibersegurança como componente estratégico em conflitos geopolíticos, onde ataques digitais são utilizados não apenas para espionagem, mas também como ferramentas de influência e interrupção operacional.

Uma nova linha de pesquisas acadêmicas revelou um cenário preocupante para a segurança de ambientes que utilizam alto poder computacional, especialmente em inteligência artificial e cloud. Um conjunto de técnicas, liderado pelo ataque denominado GPUBreach , demonstrou ser capaz de explorar falhas na memória de GPUs modernas para alcançar algo até então considerado improvável: o controle total do sistema, incluindo privilégios de nível root. O estudo, conduzido por especialistas da University of Toronto , expande os limites de uma vulnerabilidade já conhecida chamada RowHammer . Tradicionalmente associada à memória DRAM, essa falha permite a alteração de bits (de 0 para 1 ou vice-versa) por meio de acessos repetitivos à memória. Agora, os pesquisadores demonstraram que o mesmo princípio pode ser aplicado à memória GDDR6 utilizada em GPUs de alto desempenho, incluindo modelos da NVIDIA . O diferencial do GPUBreach está na sua capacidade de ir além da simples corrupção de dados. A técnica permite comprometer tabelas de páginas da GPU, possibilitando que um processo sem privilégios obtenha acesso de leitura e escrita arbitrária na memória. A partir daí, o ataque evolui para explorar falhas no driver do sistema, resultando na escalada de privilégios no CPU e, consequentemente, no controle total da máquina. Um dos pontos mais críticos é que o ataque consegue contornar proteções fundamentais de hardware, como o IOMMU (Input-Output Memory Management Unit), responsável por isolar dispositivos e evitar acessos indevidos à memória. Mesmo com esse mecanismo ativo, o GPUBreach manipula estados confiáveis do driver para provocar falhas no kernel, abrindo caminho para execução de código privilegiado . Além do GPUBreach, outros dois métodos — GDDRHammer e GeForge — também foram apresentados, todos explorando corrupção de memória em GPUs. Embora compartilhem o mesmo objetivo de acesso indevido à memória, o GPUBreach se destaca por conseguir escalar privilégios até o nível do sistema operacional, tornando-o mais perigoso. Os impactos vão além do comprometimento de sistemas. Os pesquisadores também demonstraram que essas técnicas podem degradar significativamente a precisão de modelos de machine learning — em alguns casos, com redução de até 80% na acurácia — além de permitir o vazamento de chaves criptográficas sensíveis. Em termos de mitigação, a ativação de ECC (Error-Correcting Code) pode reduzir parcialmente o risco, mas não é considerada uma solução definitiva. Estudos anteriores já demonstraram que ataques avançados conseguem contornar essa proteção. Em GPUs de consumo, onde ECC não está disponível, o cenário é ainda mais crítico, já que não existem contramedidas eficazes conhecidas até o momento. O avanço dessas técnicas reforça uma mudança importante no cenário de segurança: à medida que GPUs se tornam peças centrais em ambientes de IA, cloud e HPC, elas também passam a representar uma nova superfície de ataque — até então subestimada — com impactos potencialmente sistêmicos.

O Bundeskriminalamt (BKA), principal órgão de investigação criminal da Alemanha, revelou a identidade de dois dos principais integrantes do grupo hacker REvil , uma das operações de ransomware mais agressivas dos últimos anos. A organização foi responsável por dezenas de ataques de alto impacto em escala global, incluindo incidentes que atingiram grandes empresas e infraestruturas críticas. Entre os identificados está Daniil Maksimovich Shchukin , cidadão russo de 31 anos, apontado como uma das figuras centrais do grupo. Conhecido online por diversos apelidos, incluindo UNKN , ele atuava como porta-voz e responsável por promover o ransomware em fóruns clandestinos, além de coordenar atividades do grupo. Também foi identificado Anatoly Sergeevitsch Kravchuk , de 43 anos, acusado de ser um dos principais desenvolvedores da operação. Segundo as autoridades alemãs, os dois hackers estão ligados diretamente a pelo menos 130 ataques de ransomware no país. Em 25 desses casos, vítimas realizaram pagamentos que somaram cerca de €1,9 milhão. No total, os danos financeiros causados ultrapassam €35 milhões, evidenciando o impacto significativo da atuação do grupo no cenário corporativo. O REvil operava sob o modelo de “ransomware como serviço” (RaaS), permitindo que afiliados utilizassem sua infraestrutura e ferramentas para conduzir ataques em troca de uma porcentagem dos lucros. Esse modelo foi um dos principais responsáveis pela escalada global de ataques de ransomware nos últimos anos, democratizando o acesso a ferramentas avançadas de cibercrime. O grupo ganhou notoriedade internacional ao atingir grandes organizações, como a JBS e a Kaseya, em ataques que causaram interrupções operacionais e prejuízos milionários. Apesar de ter encerrado suas atividades oficialmente em 2021 após operações coordenadas de autoridades internacionais, o legado do REvil continua influenciando novas gerações de grupos hackers. Investigações indicam que a operação do REvil teve origem na evolução do ransomware GandCrab, um dos primeiros grandes casos de RaaS. Ao longo dos anos, o grupo expandiu sua rede de afiliados, chegando a contar com cerca de 60 operadores ativos em diferentes regiões do mundo. Em uma ação considerada rara, o serviço de inteligência russo anunciou em 2022 a prisão de membros ligados ao grupo, com parte deles sendo condenada posteriormente. Ainda assim, a identificação dos líderes pelo BKA reforça o esforço contínuo das autoridades em responsabilizar os principais operadores por trás desses ataques. O caso também revela um aspecto importante do cibercrime moderno: muitos desses grupos são altamente organizados, operando como verdadeiras empresas, com divisão de funções, estratégias de marketing e estruturas de monetização bem definidas. Além disso, declarações atribuídas a Shchukin indicam uma trajetória marcada por dificuldades financeiras antes de ingressar no mundo do cibercrime, onde acabou acumulando grande riqueza. Esse perfil reforça uma tendência observada em grupos de ransomware, que combinam motivação financeira com habilidades técnicas avançadas. O desmantelamento parcial do REvil não representa o fim desse tipo de ameaça. Pelo contrário, o modelo RaaS continua sendo amplamente adotado, tornando o ransomware uma das principais ameaças à segurança digital global.

Um grupo hacker associado à China voltou a intensificar ataques contra governos e organizações diplomáticas na Europa, utilizando uma combinação de malware avançado e técnicas sofisticadas de phishing. A campanha, ativa desde meados de 2025, foi atribuída ao cluster TA416, conhecido por suas operações de espionagem cibernética altamente direcionadas. Segundo análises da empresa de segurança Proofpoint , os ataques têm como alvo missões diplomáticas ligadas à União Europeia e à OTAN, além de organizações governamentais em diferentes países europeus. A operação também se expandiu recentemente para o Oriente Médio, possivelmente em resposta às tensões geopolíticas envolvendo Estados Unidos, Israel e Irã. A campanha utiliza múltiplas técnicas para infiltração, incluindo o uso de “web bugs” — pequenos elementos invisíveis em e-mails que permitem aos hackers identificar se a mensagem foi aberta e coletar informações como endereço IP e comportamento do usuário. A partir daí, os ataques evoluem para o envio de malware, principalmente o backdoor PlugX, amplamente utilizado em operações de espionagem. Uma das técnicas mais sofisticadas envolve o abuso de fluxos legítimos de autenticação via OAuth . Os e-mails de phishing direcionam as vítimas para páginas oficiais de autorização da Microsoft, que, após o login, redirecionam o usuário para domínios controlados pelos hackers, iniciando o download de arquivos maliciosos. Essa abordagem permite contornar mecanismos tradicionais de segurança em e-mails e navegadores. Além disso, os invasores têm utilizado serviços legítimos como Microsoft Azure, Google Drive e SharePoint comprometido para hospedar arquivos maliciosos, dificultando ainda mais a detecção. Em uma das cadeias de ataque mais recentes, os arquivos baixados incluem um executável legítimo da Microsoft (MSBuild) combinado com um projeto malicioso em C#, que atua como downloader para instalar o malware. O PlugX continua sendo o principal vetor de persistência nos sistemas comprometidos. Após a infecção, o malware estabelece comunicação criptografada com servidores de comando e controle (C2), permitindo aos hackers executar comandos remotamente, coletar informações do sistema e implantar novos payloads. Especialistas destacam que o grupo demonstra alta capacidade de adaptação, alterando constantemente suas técnicas para evitar detecção. O uso de DLL side-loading, abuso de serviços confiáveis e engenharia social avançada reforça a sofisticação das operações. O retorno do TA416 ao cenário europeu, após um período focado no Sudeste Asiático, indica uma mudança estratégica alinhada a interesses geopolíticos. De acordo com análises recentes, campanhas desse tipo têm evoluído para ataques mais centrados em identidade e persistência de longo prazo, com invasões que podem permanecer ocultas por meses — ou até anos — antes de serem reativadas. O cenário reforça um alerta crítico: ataques modernos não buscam apenas acesso imediato, mas sim presença silenciosa e contínua dentro de infraestruturas críticas, permitindo coleta de inteligência estratégica ao longo do tempo.

Webinar analisa o histórico de mudanças de licenciamento da Broadcom, o impacto real em ambientes virtualizados e o que os dados de mercado indicam sobre os próximos movimentos. Desde a aquisição da VMware pela Broadcom, em novembro de 2023, o mercado de virtualização passou por quatro mudanças estruturais em menos de três anos. Cada uma seguiu o mesmo padrão: anúncio com pouco aviso, janela curta de adaptação e impacto desproporcional sobre os ambientes. Para os CIOs, CTOs e equipes de TI responsáveis por infraestrutura virtualizada, o cenário deixou de ser previsível — e ignorar esse histórico antes da próxima renovação é um risco concreto. O Gartner registrou aumento de 275% nas consultas sobre saída do VMware apenas no primeiro semestre de 2024. Mas 74% dos líderes de TI que avaliam alternativas ainda não têm solução técnica pronta, segundo o Gartner Peer Community. O problema não é só o custo. É a combinação de mudança de modelo de cobrança, fim das licenças perpétuas, compressão das opções de contrato e ausência de alternativas consolidadas. Cada renovação que chega sem diagnóstico atualizado é uma negociação que começa em desvantagem. "Ninguém tem dúvida do impacto que as mudanças trouxeram. O que ainda falta para a maioria das empresas é clareza sobre as possíveis alternativas e como o mercado está se movimentando." — Thiago Madeira de Lima , CEO da Penso A Penso, parceira VMware há mais de 15 anos, realiza webinar gratuito conduzido por Thiago Madeira de Lima, CEO da empresa. Os temas incluem: Cronologia das mudanças de licenciamento VMware de 2020 a 2026 Como calcular o impacto real da próxima renovação no modelo atual da Broadcom O que Gartner, IDC e Forrester estão dizendo sobre o mercado de virtualização Como o mercado está reagindo na prática As principais estratégias e tecnologias que empresas estão adotando Os prós e contras, prazos de migração e riscos do cenário atual e de suas alternativas Checklist: 5 ações de diagnóstico antes da próxima renovação VMware 30 minutos de conteúdo técnico e de mercado, com 15 minutos de Q&A. Participantes recebem acesso ao assessment gratuito de ambiente VMware da Penso, com diagnóstico entregue em até uma semana. Inscrições pelo link Sobre a Penso Tecnologia: parceira VMware há mais de 15 anos, especialista em resiliência de dados e continuidade de negócios, operando em data centers Tier III com certificação ISO 27001.

O mercado financeiro brasileiro está sob pressão de um dilema duplo: a nova regulação de transparência e fiscalização sobre Inteligência Artificial (IA) e o combate a ataques cibernéticos que se tornaram fundamentalmente destrutivos. O relatório M-Trends 2026 da Mandiant confirma o agravamento das ameaças, enquanto a Resolução BCB 538/2025 do Banco Central  impõe uma redefinição urgente nas arquiteturas de segurança. O setor financeiro, que responde por 14,6% das investigações globais, precisa de sistemas que transformem a segurança em uma prova inalterável. I. O Imperativo Regulatório: Rastreabilidade Inviolável da IA A principal exigência do Banco Central é que as instituições financeiras consigam provar e auditar cada decisão tomada por seus sistemas de IA. O problema central é que os sistemas de registro comuns ( logging ) são insuficientes, pois as trilhas de evidência podem ser alteradas ou apagadas, comprometendo a auditoria. A solução de mercado para essa lacuna é a adoção de uma arquitetura que garanta o registro de dados de auditoria de forma imutável . Esse histórico deve ser armazenado sob condições que impeçam qualquer modificação ou exclusão subsequente, funcionando como um "Cartório Digital" das operações. II. A Imutabilidade Como Defesa Contra o Ransomware Moderno A necessidade regulatória por imutabilidade oferece uma blindagem direta contra as novas táticas de ataque. O cibercrime, conforme o M-Trends 2026, evoluiu para a denegação de recuperação , destruindo backups  e trilhas de evidência para forçar o pagamento. Ao garantir que o registro de conformidade da IA seja resistente à exclusão — mesmo por usuários internos ou invasores com acesso amplo —, o setor financeiro protege sua capacidade de recuperação e anula a principal tática de chantagem moderna. III. Vishing e a Proteção do Acesso Privilegiado O vishing  (phishing por voz) saltou para o segundo vetor de infecção mais comum (11%), sendo altamente eficaz no roubo de credenciais privilegiadas no setor financeiro. Para combater isso, as arquiteturas de nova geração adotam o conceito de Zero-Persistência , garantindo que as informações sensíveis da IA não sejam mantidas em disco, existindo apenas na memória volátil. Além disso, utilizam chaves criptográficas baseadas em hardware seguro para validar alterações de políticas, impedindo que credenciais roubadas causem danos permanentes. IV. Isolamento de Infraestrutura Crítica Ataques direcionados a infraestruturas de virtualização ( hypervisors ) por grupos como o UNC6201 exigem que os mecanismos de segurança mais críticos operem de forma isolada. A tendência do mercado é buscar soluções Cloud-Native  ( sem estado ), que atuam como proxies  de segurança e não necessitam de volumes de disco permanentes, isolando a lógica de conformidade e reduzindo a superfície de ataque em comparação com soluções instaladas em ambientes virtualizados tradicionais Arquiteturas como a Rex (Gemini Guard) , da Foundlab , exemplificam essa convergência. A solução foi projetada para garantir a rastreabilidade em tempo real e a imutabilidade do registro de auditoria, atendendo integralmente à BCB 538/2025, ao mesmo tempo que fornece defesa avançada contra as táticas de denegação e roubo de credenciais.