Levantamento sobre a atividade de mais de 27 mil hackers mostra que a tecnologia apontada como ameaça ao modelo reduziu a barreira de entrada, elevou as recompensas e aumentou a demanda das empresas por validação humana especializada A inteligência artificial não esvaziou o mercado de bug bounty no Brasil. Ampliou. É o que mostra um levantamento da BugHunt, maior plataforma de bug bounty do Brasil, que acompanha as atividades de mais de 27 mil hackers. Entre setembro de 2025 e setembro de 2026, o número de pesquisadores ativos, aqueles que enviaram ao menos um relatório de vulnerabilidade, cresceu 115% na comparação com os doze meses anteriores. O resultado contraria uma expectativa que ganhou força no setor de segurança da informação nos últimos dois anos. Com ferramentas de IA capazes de varrer sistemas, aplicativos e infraestrutura em escala, e de serem usadas por cibercriminosos em ataques em massa, a leitura predominante era de que a automação ocuparia o espaço do pesquisador humano. O bug bounty, modelo que remunera hackers éticos por relatar falhas reais antes que sejam exploradas, estaria entre os primeiros afetados. Os números do estudo apontam na direção oposta em três frentes: mais gente pesquisando, recompensas mais altas e mais empresas investindo. O primeiro efeito foi a queda da barreira de entrada. Os novos cadastros de hackers na plataforma subiram 44% no período, e a proporção de estreantes entre os pesquisadores ativos, pessoas que enviaram o primeiro relatório da vida, passou de confidencial — bughunt + the map. 64% para 77,8%. A atividade também ficou menos concentrada: a fatia de relatórios enviada pelos 10% de hackers mais ativos caiu de 69,1% para 63,4%. A leitura da BugHunt é que a IA encurtou o caminho entre fazer parte de uma comunidade de hackers e atuar de fato em um programa. Antes, uma parcela relevante dos cadastrados não chegava a completar o ciclo de buscar uma vulnerabilidade, documentar o achado e enviar o relatório em busca de recompensa. Agora, mais gente completa. "Sempre tivemos uma comunidade grande, mas uma parte dela ficava parada na porta. Faltava repertório técnico para transformar curiosidade em relatório. A IA encurtou esse caminho", diz Caio Telles, cofundador da BugHunt. "Hoje mais gente consegue sair do cadastro e virar pesquisador ativo, e isso é bom para todo o mercado." A entrada de novos pesquisadores não diluiu a remuneração. O valor médio pago por recompensa subiu 17%, e o valor total pago em recompensas cresceu 22,6%. Para o estudo, está aí a principal ironia do período: o mesmo efeito de massa que parecia ameaçar o bug bounty é o que tem gerado mais demanda das empresas. A partir de março de 2026, o levantamento registra um padrão consistente com a chegada em massa de relatórios gerados de forma automatizada. O volume mensal de envios ficou entre duas e quatro vezes acima da média do ano anterior, o número de relatórios sem validade técnica quase dobrou e o volume de spam mais que triplicou. Com mais volume, filtrar passou a ser o centro do trabalho. Separar ameaça real de ruído, medir a eficiência de cada programa, direcionar a pesquisa para onde está o risco e, principalmente, conduzir a resolução das vulnerabilidades exige um olhar humano cada vez mais especializado. É nesse ponto que entram os pesquisadores. "A aposta do mercado era que a IA ia substituir o hacker. Aconteceu o contrário", diz Bruno Telles, cofundador da BugHunt. "A IA gera volume, e volume precisa de gente que saiba separar achado real de ruído e levar a correção até o fim. A empresa não troca bug bounty por IA. Ela investe mais em bug bounty justamente porque a IA aumentou o que precisa ser validado." Os indicadores de eficiência reforçam essa leitura. Mesmo com muito mais relatórios passando pela triagem, a mediana de tempo até o fechamento de um relatório na BugHunt caiu de 15,2 para 3,7 dias. E o que passa pelo filtro ficou mais relevante: entre os relatórios aprovados, a fatia classificada como crítica ou alta subiu de 58,2% para 68,5%, e a proporção de relatórios com classificação técnica de gravidade preenchida corretamente foi de 45,2% para 61,0%. "A IA está democratizando o acesso ao bug bounty e deixando os programas mais eficientes, mas não decide sozinha o que é ameaça", diz Caio Telles. "Quanto mais fácil fica gerar relatório, maior a diferença entre ter e não ter um time experiente no meio do caminho. Quem não tem essa validação humana paga o preço de um jeito ou de outro, com a equipe interna perdendo tempo com o que não é ameaça ou deixando passar o que é." Bruno Telles e Caio Telles são cofundadores da BugHunt, primeira plataforma de bug bounty do Brasil. Os dados citados são de levantamento interno da BugHunt sobre a atividade da própria plataforma entre setembro de 2025 e setembro de 2026, comparada ao mesmo período do ano anterior.

Margaret Hamilton, engenheira de software norte-americana que liderou o desenvolvimento dos programas de voo das missões Apollo, morreu em 30 de setembro, aos 90 anos. Seu trabalho foi fundamental para o sucesso da Apollo 11, missão que levou os primeiros seres humanos à superfície da Lua, em 1969. Hamilton comandou a equipe responsável pelo software embarcado dos módulos de comando e lunar da NASA. Durante a histórica descida da Apollo 11, os sistemas desenvolvidos por sua equipe permitiram que o computador de orientação continuasse executando funções essenciais, mesmo diante de uma sobrecarga que poderia comprometer o pouso. Nascida em Paoli, Indiana, Hamilton estudou matemática na Universidade de Michigan e no Earlham College, onde se formou em 1958, com formação complementar em filosofia. Em 1959, mudou-se para Boston e começou a trabalhar no Massachusetts Institute of Technology (MIT), ao lado de Edward Lorenz, que posteriormente se tornaria um dos pioneiros da teoria do caos. No MIT, programou computadores LGP-30 e DEC PDP-1 para aplicações de previsão meteorológica, antes de participar de projetos aeroespaciais. Em 1965, ingressou na equipe responsável pelo desenvolvimento dos sistemas computacionais das missões Apollo. Uma de suas primeiras tarefas foi criar um programa para procedimentos de abortagem de missão, considerado pouco relevante pelos colegas porque acreditavam que dificilmente seria utilizado. Hamilton batizou o software de "Forget It" (Esqueça). Entretanto, uma missão não tripulada precisou executar o procedimento, e o programa funcionou conforme previsto. Em entrevista ao Computer History Museum, Hamilton relembrou que o episódio mudou sua posição dentro da equipe, transformando-a rapidamente em uma referência técnica. O software que ajudou a salvar o pouso da Apollo 11 Durante os minutos finais da descida da Apollo 11, em julho de 1969, o computador de orientação do módulo lunar começou a emitir alarmes inesperados. Os avisos indicavam executive overflows, situação em que o sistema não conseguia concluir todas as tarefas solicitadas. A ocorrência levou os astronautas a questionarem se seria seguro continuar o pouso. Entretanto, o software desenvolvido pela equipe de Hamilton havia sido projetado com mecanismos de recuperação e priorização de tarefas. Esses recursos permitiram que o computador interrompesse atividades menos importantes e mantivesse as operações essenciais de navegação e pouso. O engenheiro Jack Garman informou ao controlador de orientação Steve Bales que os alarmes não exigiam o cancelamento da missão. Com a autorização para prosseguir, a tripulação conseguiu pousar na Lua e posteriormente retornar à Terra. A investigação identificou que a sobrecarga havia sido provocada por entradas indesejadas provenientes do sistema de radar de encontro. Hamilton também defendia mecanismos de proteção contra erros humanos. Durante uma simulação, sua filha de quatro anos havia provocado uma falha no sistema ao acionar um programa de pré-lançamento durante um voo simulado. A engenheira propôs implementar uma proteção para impedir esse tipo de situação, mas a sugestão foi inicialmente rejeitada porque se acreditava que astronautas não cometeriam o mesmo erro. Posteriormente, um tripulante da Apollo 8 realizou uma operação semelhante, levando à revisão do software. Contribuições para a engenharia de software moderna Durante o programa Apollo, Hamilton passou a utilizar a expressão "engenharia de software" para descrever sua profissão, em uma época em que o desenvolvimento de programas não recebia o mesmo reconhecimento das demais disciplinas da engenharia. Ela também se tornou conhecida por uma fotografia histórica em que aparece ao lado de uma pilha de documentos contendo o código desenvolvido por sua equipe para as missões Apollo, com altura quase equivalente à sua. Após o programa espacial, Hamilton fundou e cofundou empresas de tecnologia especializadas em sistemas tolerantes a falhas. Entre suas contribuições estão a metodologia Development Before the Fact (DBTF), voltada à prevenção antecipada de erros, e a Universal Systems Language (USL), utilizada no projeto de sistemas. Em 2016, recebeu do então presidente Barack Obama a Medalha Presidencial da Liberdade, uma das maiores honrarias civis dos Estados Unidos. A pioneira da computação Grace Hopper também recebeu a distinção, de forma póstuma. Na ocasião, a Casa Branca destacou as contribuições de Hamilton para conceitos como software assíncrono, escalonamento de prioridades, apresentação de informações prioritárias e mecanismos de decisão com participação humana. Seu trabalho ajudou a estabelecer fundamentos para o desenvolvimento de sistemas computacionais altamente confiáveis, especialmente em aplicações nas quais falhas podem provocar consequências críticas. Segundo o MIT, Hamilton deixa uma filha, um genro, dois netos, quatro bisnetos e três irmãos.

Por Priscila Meyer — CEO da Eskive, especialista em segurança da informação com foco no risco humano Por muito tempo, o mercado de cibersegurança tem repetido uma narrativa que, embora conveniente, já se tornou insuficiente: a de que as pessoas são o elo mais fraco da segurança. O novo documento conceitual do NIST (National Institute of Standards and Technology) sobre Human-Centered Cybersecurity — ou seja, Cibersegurança Centrada no Ser Humano —, publicado em 12 de agosto, representa, na minha visão, uma mudança importante justamente porque questiona essa lógica e propõe algo muito mais maduro: colocar as pessoas, suas necessidades, capacidades e limitações no centro das decisões de segurança. Como CEO de uma empresa que atua com security awareness e gestão do risco humano, considero essa iniciativa uma das sinalizações mais relevantes para o mercado nos últimos anos. Não porque o conceito de segurança centrada em pessoas seja novo, mas porque ele ganha, agora, uma chancela de enorme peso: o NIST não está apenas reconhecendo que o fator humano importa. Está propondo a construção de diretrizes e recursos para transformar essa visão em parte integrante dos programas de cibersegurança. Muito mais do que tecnologia O ponto central do documento é simples, mas poderoso: a cibersegurança não pode (e não deve) ser pensada apenas a partir de tecnologia e controles. Organizações são sistemas formados por tecnologia, processos e pessoas, e os três elementos precisam ser considerados em conjunto. Na prática, isso significa deixar de enxergar o colaborador apenas como alguém que precisa ser treinado para não cometer erros e passar a reconhecê-lo também como participante ativo da defesa, capaz de identificar situações suspeitas, reportar incidentes, tomar decisões e fortalecer a resiliência organizacional. Aliás, vale aqui uma observação importante: durante décadas, grande parte das tecnologias foi desenvolvida sem considerar que as pessoas responsáveis por sua operação necessitassem de treinamento apropriado. A função computacional vinha antes do protagonismo humano — situação que vimos bem, por exemplo, na primeira onda de erros ocasionados por erros de configuração em serviços de cloud storage. Com a concentração da atenção nos usuários, quem desenvolve tecnologias também precisará pensar nas pessoas como tomadoras de decisão, especialmente quando falamos de proteção a dados digitais. Essa mudança de perspectiva tem consequências profundas. O próprio NIST chama atenção para um problema que nós, profissionais da área, observamos diariamente: muitas organizações ainda apostam quase exclusivamente em treinamentos anuais, partindo da premissa de que falta conhecimento é a principal causa de comportamentos inseguros. Ao mesmo tempo, frameworks e diretrizes de segurança continuam fortemente orientados para controles técnicos, deixando pouca clareza sobre como estruturar, implementar e medir uma abordagem efetivamente centrada nas pessoas. Não é sobre ensinar, é sobre protagonismo humano Para mim, esse é um dos maiores méritos do paper: ele amplia a conversa de security awareness para algo muito maior. O NIST deixa claro que HCC envolve cultura de segurança, comunicação, comportamento, cognição, interação entre humanos e sistemas, vulnerabilidades e também as capacidades das pessoas. Ou seja, conscientização e treinamento continuam importantes, mas deixam de ser tratados como resposta suficiente ao risco humano. Essa distinção é fundamental. Durante eras, parte do mercado tratou a conscientização como uma espécie de vacina: uma dose anual de treinamento, algumas simulações de phishing e a expectativa de que o usuário passasse a agir corretamente. O documento ajuda a consolidar uma visão diferente. Uma experiência de phishing, por exemplo, não deveria servir simplesmente para punir ou constranger quem clicou, mas para avaliar se treinamento, processos e mecanismos de suporte estão realmente ajudando aquela pessoa a tomar uma decisão segura. Também considero especialmente relevante o reconhecimento de que mais segurança não significa necessariamente melhor segurança. Quando controles são difíceis de usar, interrompem fluxos de trabalho ou parecem desconectados da realidade, criam fricção, fadiga e até comportamentos de contorno. O NIST aponta que uma abordagem centrada nas pessoas pode reduzir esse atrito, melhorar produtividade, satisfação e motivação e, ao mesmo tempo, fortalecer a postura de segurança. É justamente aqui que acredito que veremos uma transformação no mercado. A partir do momento em que o NIST pretende produzir uma referência comum para HCC, alinhada a seus próprios frameworks e acompanhada de guias, ferramentas, estudos de caso, templates e treinamentos, a discussão tende a sair do campo conceitual e chegar à agenda dos gestores. O que esperar pelos próximos anos? Minha previsão é que, nos próximos anos, programas de gestão do risco humano serão avaliados indicadores mais avançados além da participação em treinamentos ou taxas de cliques em phishing. A tendência é que o mercado cobre evidências mais próximas de comportamento, cultura, resiliência, capacidade de reporte, redução de fricção e efetividade dos controles sob a perspectiva de quem precisa utilizá-los. O próprio NIST coloca como questão central a necessidade de definir se HCC será tratado como uma abordagem, com indicadores de adoção e maturidade, ou como um resultado, medido por fatores como cultura, confiança, usabilidade e resiliência. Também acredito que veremos uma aproximação maior entre segurança, recursos humanos, tecnologia, gestão de risco e liderança. O documento deixa explícito que a responsabilidade pela abordagem human-centered não pertence apenas ao time de segurança. Ela atravessa diferentes funções da organização e depende de colaboração e comunicação entre elas. O mais importante, porém, é o sinal que esse movimento envia. Quando uma instituição com a relevância e a credibilidade do NIST coloca pessoas no centro da discussão de cibersegurança, fica mais difícil para o mercado continuar tratando comportamento humano como um problema periférico. Estamos diante da oportunidade de substituir uma cultura de culpabilização por uma cultura de participação, aprendizado e gestão do risco humano. Ainda estamos no início dessa jornada. O documento é um concept paper, não um padrão definitivo. Mas talvez seja justamente essa característica que torna a iniciativa tão relevante: o mercado não está apenas recebendo uma nova diretriz; está sendo convidado a ajudar a construir uma nova forma de pensar segurança. E, na minha leitura, essa é uma vitória importante. Porque uma cibersegurança realmente madura não é aquela que constrói as melhores barreiras contra as pessoas, mas sim aquela que constrói sistemas, processos e culturas nos quais as pessoas conseguem ser parte da barreira — em vez de parte do problema.

Anibal Alexander Canelon Aguirre, apontado pelas autoridades americanas como uma das principais figuras por trás do malware Ploutus, utilizado para retirar dinheiro ilegalmente de caixas eletrônicos, compareceu pela primeira vez à Justiça dos Estados Unidos após ser detido por autoridades federais. O venezuelano de 50 anos se declarou inocente das acusações apresentadas contra ele em um tribunal distrital de Nebraska na sexta-feira e permanecerá detido enquanto aguarda julgamento. Conhecido pelos apelidos “Prometheus” e “The Engineer”, Aguirre é acusado pelo FBI de atuar como um dos arquitetos do Ploutus, malware desenvolvido especificamente para comprometer ATMs. As autoridades americanas afirmam que a ferramenta foi utilizada em uma ampla operação de “ATM jackpotting”, técnica que força caixas eletrônicos a liberar o dinheiro armazenado. Nos ataques descritos pelo Departamento de Justiça dos EUA (DOJ), criminosos abriam a parte superior dos caixas eletrônicos, conectavam dispositivos aos equipamentos e instalavam o malware. Uma vez comprometido, o ATM podia ser comandado para dispensar seu dinheiro aos invasores. Aguirre estava foragido desde que o DOJ começou a indiciar participantes do esquema. Em março, ele foi incluído na lista dos “Dez Fugitivos Mais Procurados” do FBI, tornando-se, segundo as autoridades, o primeiro acusado de crimes cibernéticos a integrar a relação. As circunstâncias de sua captura, no entanto, permanecem pouco claras. O Departamento de Justiça não informou oficialmente quando ou onde Aguirre foi detido. O diretor do FBI, Kash Patel, afirmou que o acusado está agora nos Estados Unidos para responder à Justiça. Um porta-voz do DOJ esclareceu que seria incorreto afirmar que Aguirre foi extraditado e confirmou que ele estava fora do território americano, mas não explicou o mecanismo utilizado para levá-lo legalmente aos EUA. A Fox News informou que ele teria sido preso na Venezuela no mês passado. Segundo o procurador-geral adjunto A. Tysen Duva, Aguirre teria desempenhado papel central no desenvolvimento de malware utilizado para retirar dinheiro de caixas eletrônicos em diferentes regiões dos Estados Unidos. As autoridades também associam a operação às atividades da organização criminosa venezuelana Tren de Aragua (TdA). Um grande júri federal em Nebraska indiciou Aguirre em dezembro por acusações que incluem conspiração para cometer fraude bancária, conspiração para roubo a banco, fraude envolvendo computadores, lavagem de dinheiro e fornecimento de apoio material a terroristas. Caso seja condenado por todas as acusações, ele pode enfrentar até 70 anos de prisão. Autoridades americanas contabilizam pelo menos 1.500 ataques de ATM jackpotting, responsáveis por aproximadamente US$ 40,7 milhões em prejuízos. Apesar das acusações do governo, pesquisadores de segurança que acompanham o Ploutus há mais de uma década não conseguiram confirmar de forma independente que Aguirre seja efetivamente o desenvolvedor original do malware. Diferentes variantes do Ploutus são utilizadas contra caixas eletrônicos na América Latina e nos Estados Unidos desde 2013. O malware é considerado uma das famílias mais avançadas voltadas especificamente para ATMs. As autoridades americanas tentam relacionar parte significativa dos ataques recentes ao Tren de Aragua. Segundo o DOJ, recursos obtidos com os roubos teriam sido transferidos para integrantes da organização, que ajudavam a ocultar a origem do dinheiro por meio de criptomoedas ou da lavagem dos valores através de empresas controladas pelo grupo no México e em outros países. O Departamento de Justiça afirma existir uma rede de conexões diretas e indiretas entre o uso do Ploutus nos ataques de ATM jackpotting e integrantes do Tren de Aragua. Entre fevereiro de 2024 e dezembro de 2025, Aguirre e outros integrantes do esquema são acusados de participar de 117 ataques contra caixas eletrônicos de bancos e cooperativas de crédito, principalmente em locais mais remotos de Nebraska e de outros estados americanos. Essas operações teriam rendido mais de US$ 5,4 milhões entre 2024 e 2025. Segundo os investigadores, Aguirre coordenava pessoas responsáveis por se deslocar até os caixas eletrônicos e abrir fisicamente os equipamentos, enquanto o malware era instalado remotamente. Os participantes que executavam os ataques presencialmente ficavam com uma porcentagem do dinheiro e entregavam o restante a Aguirre e a outros integrantes de nível mais elevado na estrutura da operação. Na semana passada, o Departamento do Tesouro dos EUA aplicou sanções contra Aguirre e outras pessoas acusadas de utilizar empresas e outros mecanismos para lavar os recursos provenientes do esquema. Ao todo, 120 pessoas já foram acusadas de participação na operação de ATM jackpotting, segundo as autoridades americanas.

Especialistas em segurança cibernética estão pressionando a Cybersecurity and Infrastructure Security Agency (CISA) a estabelecer padrões mínimos e obrigatórios para proteger sistemas de tecnologia operacional (OT) utilizados por agências federais civis dos Estados Unidos. A proposta foi apresentada pela Operational Technology Cybersecurity Coalition (OTCC) em um white paper divulgado na terça-feira. O grupo defende a criação de uma nova Binding Operational Directive (BOD), instrumento que permite à CISA impor requisitos de segurança às agências federais, especificamente voltada para ambientes OT. Tecnologias operacionais são utilizadas para monitorar e controlar processos físicos e estão presentes em sistemas de energia, água, climatização, controle de acesso e automação predial. Segundo a OTCC, ataques recentes contra centenas de sistemas de água em pelo menos 12 estados americanos demonstram que esses ambientes se tornaram alvos relevantes tanto para grupos de cibercrime quanto para agentes ligados a Estados. Em vários desses incidentes, os dispositivos afetados apresentavam problemas básicos de segurança: estavam expostos diretamente à internet, utilizavam senhas padrão ou não possuíam autenticação e não estavam segmentados das demais áreas da rede. O risco também está presente na infraestrutura federal. Agências civis dos EUA utilizam mais de 8 mil prédios próprios ou alugados, incluindo laboratórios, hospitais, instalações de pesquisa e pontos de entrada no país. Esses locais dependem de sistemas OT para climatização, energia, abastecimento de água, controle de acesso e automação. A OTCC citou uma análise recente de um órgão de fiscalização do governo que identificou falhas no inventário desses ativos. Das 22 agências civis avaliadas, apenas sete haviam cumprido integralmente as exigências da Casa Branca para catalogar dispositivos OT e de Internet das Coisas (IoT) conectados às redes. O prazo para concluir os inventários terminou em setembro de 2024. Para Tatyana Bolton, diretora-executiva da OTCC, o resultado confirma um problema recorrente: as agências não conseguem proteger adequadamente ativos que sequer conseguem identificar. Segundo ela, orientações voluntárias não foram suficientes para eliminar essa lacuna, enquanto uma diretiva vinculante poderia criar requisitos claros e permitir que a CISA acompanhasse seu cumprimento. Atualmente, grande parte das agências federais civis administra seus próprios ambientes OT, o que limita a visibilidade centralizada da CISA sobre a postura de segurança desses sistemas. A coalizão também argumenta que o avanço da inteligência artificial reduziu as barreiras para ataques mais sofisticados, aumentando a exposição das tecnologias operacionais. A CISA já adotou diretivas obrigatórias em situações nas quais medidas voluntárias não produziram os resultados esperados. Para a OTCC, uma nova BOD permitiria estabelecer um padrão uniforme para as agências civis federais e medir de forma consistente o nível de conformidade. Embora essas diretivas não sejam obrigatórias para empresas privadas ou governos locais, o grupo avalia que os requisitos federais também funcionariam como referência de boas práticas para outros operadores de infraestrutura. A CISA não comentou o documento. Michael Garcia, diretor de políticas da OTCC, afirmou que a coalizão manteve contato com a agência durante a elaboração do relatório e compartilhou a versão final antes de sua publicação. O relatório de oito páginas propõe uma linha de base de prevenção e contenção baseada em inventário e visibilidade dos ativos OT, segmentação de redes, controles obrigatórios para acesso remoto, configurações padronizadas, preparação para incidentes e mecanismos testados de backup e recuperação. A OTCC também recomenda que cada agência designe um executivo ou escritório responsável pela segurança de OT. Essa estrutura ficaria encarregada de administrar o inventário dos ativos, estabelecer configurações de referência e preparar os ambientes para possíveis incidentes, incluindo planos de backup, recuperação e avaliações de risco. Segundo Garcia, a tecnologia operacional frequentemente fica em uma “zona cinzenta” entre as equipes do Chief Information Officer (CIO) e os responsáveis pela infraestrutura física dos prédios. Sem uma definição clara de responsabilidade, controles essenciais podem acabar sem um responsável direto. Entre as medidas consideradas prioritárias estão ações relativamente básicas, como eliminar senhas padrão, segmentar redes e controlar adequadamente o acesso remoto. Dave Williams, especialista em segurança OT da empresa Elisity, destacou que a definição de responsabilidade é fundamental para implementar as demais recomendações. Em muitas instalações, sistemas como climatização, leitores de crachá e energia são administrados pelas equipes prediais, enquanto a infraestrutura de rede pertence à área de TI. Para Williams, estabelecer formalmente quem responde pelos riscos de segurança permite definir antecipadamente como prioridades e limitações de recursos serão tratadas. Uma diretiva obrigatória poderia forçar cada agência a atribuir essa responsabilidade de forma explícita, em vez de depender apenas de novas orientações voluntárias.

O Departamento de Estado dos Estados Unidos está oferecendo uma recompensa de até US$ 10 milhões por informações que levem à localização de Zhang Yu, cidadão chinês acusado de participar da campanha hacker Hafnium, responsável pelo comprometimento de milhares de computadores em diferentes países. Segundo autoridades americanas, Zhang atua como diretor da Shanghai Firetech Information Science and Technology e teria trabalhado em nome do governo chinês em operações destinadas a invadir sistemas e roubar grandes volumes de documentos e e-mails. Zhang é acusado de atuar ao lado de Xu Zewei em ataques que teriam resultado no roubo de pesquisas relacionadas à COVID-19 conduzidas por universidades, imunologistas e virologistas nos Estados Unidos. O Departamento de Estado afirma que as operações também tiveram como alvos pelo menos uma universidade e um escritório de advocacia. As autoridades americanas acusam Zhang de violar a Computer Fraud and Abuse Act (CFAA), principal legislação federal dos EUA utilizada em processos relacionados a acesso não autorizado a sistemas computacionais. Enquanto Zhang permanece foragido, Xu foi preso por autoridades italianas em julho de 2025, durante uma viagem a Milão. Ele foi posteriormente extraditado para os Estados Unidos em abril. Uma acusação criminal com nove indiciamentos, divulgada pelo Departamento de Justiça dos EUA no ano passado, atribuiu a Zhang e Xu participação em invasões realizadas entre fevereiro de 2020 e junho de 2021. Entre essas operações está a campanha Hafnium, descrita pelos promotores americanos como uma ação indiscriminada que comprometeu milhares de computadores em todo o mundo, incluindo sistemas localizados nos Estados Unidos. De acordo com a acusação, os dois homens teriam realizado os ataques sob orientação de serviços de inteligência chineses, especificamente o Ministério da Segurança do Estado (MSS) e o Shanghai State Security Bureau (SSSB). Os promotores afirmam que os suspeitos reportavam os resultados das operações a oficiais supervisores do SSSB. Em um dos episódios descritos pelas autoridades, Xu teria confirmado o comprometimento da rede de uma universidade de pesquisa localizada no Distrito Sul do Texas. Brett Leatherman, diretor assistente da divisão cibernética do FBI, afirmou no ano passado que a campanha Hafnium teve como alvo mais de 60 mil entidades nos Estados Unidos e conseguiu comprometer mais de 12,7 mil delas com o objetivo de obter informações sensíveis. A recompensa de US$ 10 milhões amplia os esforços americanos para localizar Zhang enquanto o processo contra os envolvidos nas operações continua nos Estados Unidos.

Ataques cibernéticos, sabotagens e ameaças à infraestrutura crítica associados à Rússia geram prejuízos estimados entre 2 bilhões e 2,5 bilhões de libras (US$ 2,6 bilhões a US$ 3,3 bilhões) por ano ao Reino Unido. Apesar do impacto econômico, o governo britânico ainda não possui mecanismos oficiais para calcular os custos dessas atividades. A estimativa foi apresentada no relatório The Putin Tax (O Imposto de Putin), publicado em 7 de outubro pelo parlamentar trabalhista Graeme Downie e pelo pesquisador Dominic Reed. O documento aponta que os valores representam uma estimativa mínima e que os prejuízos reais podem ser maiores. Os autores reconhecem limitações metodológicas nos cálculos, mas destacam que a principal preocupação é a ausência de avaliações oficiais. Segundo o relatório, essa lacuna dificulta a comparação entre os prejuízos provocados por atividades hostis e os investimentos necessários para proteger empresas, serviços públicos e infraestruturas estratégicas. Para identificar essa deficiência, Downie encaminhou questionamentos parlamentares a diferentes departamentos governamentais. As respostas indicaram que os ministérios não possuíam estimativas consolidadas sobre o impacto econômico de incidentes associados ao Kremlin. Entre os exemplos estão dois ataques de ransomware contra organizações britânicas: um direcionado à Advanced, fornecedora de software do Serviço Nacional de Saúde (NHS), e outro contra a Royal Mail, responsável pelos serviços postais do país. Os ataques foram associados a um grupo criminoso que, segundo o relatório, operaria com consentimento tácito do Kremlin e, em determinadas circunstâncias, manteria conexões com a inteligência russa. Entretanto, não foram realizadas avaliações governamentais específicas sobre os custos desses incidentes. O documento também menciona o ataque cibernético de agosto de 2025 contra a Jaguar Land Rover, cujo impacto econômico foi estimado em aproximadamente US$ 2,5 bilhões. Apesar de sua inclusão na análise, o governo britânico não atribuiu formalmente o incidente a hackers vinculados à Rússia. Outro episódio citado ocorreu em 2024, quando um incêndio criminoso atingiu um armazém em Londres. Segundo as autoridades, a ação foi ordenada pelo Grupo Wagner, organização paramilitar russa. Como os prejuízos foram calculados A maior parcela da estimativa apresentada no relatório considera que a Rússia seria responsável por aproximadamente 10% dos 14,7 bilhões de libras (US$ 19,3 bilhões) que o cibercrime custa anualmente às empresas britânicas. Essa proporção resultaria em aproximadamente 1,47 bilhão de libras em prejuízos anuais, embora os autores reconheçam que o percentual utilizado não decorre de uma atribuição precisa dos ataques. Outros componentes do cálculo incluem possíveis perdas relacionadas a ameaças contra cabos submarinos de comunicação e outras infraestruturas críticas. Esses valores também foram obtidos por modelos de estimativa, e não por registros públicos completos de incidentes. A pesquisa ressalta que a ausência de dados consolidados impede uma avaliação precisa das consequências financeiras de operações cibernéticas, sabotagens e outras atividades atribuídas a Estados estrangeiros. Falta de transparência dificulta investimentos em segurança A preocupação apresentada no relatório também foi levantada pelo general Sir Jim Hockenhull, ex-chefe da Inteligência de Defesa britânica, durante entrevista ao Recorded Future News. Segundo Hockenhull, o Reino Unido enfrenta dificuldades para demonstrar à população a necessidade de ampliar investimentos em segurança nacional porque parte significativa das informações utilizadas para justificar essas medidas permanece classificada. O ex-chefe de inteligência argumentou que manter as evidências restritas a autoridades e dirigentes políticos significa solicitar confiança pública sem apresentar informações suficientes para fundamentar as decisões. Ele também defendeu uma atuação coordenada entre governo e sociedade para explicar os riscos associados às ameaças externas. Na avaliação do militar, alertas genéricos sobre possíveis conflitos não são suficientes para justificar investimentos que competem com áreas como saúde e educação. Relatório recomenda avaliações econômicas anuais Entre as principais recomendações, Downie propõe que o governo britânico publique avaliações anuais sobre os impactos econômicos de atividades hostis conduzidas por Estados estrangeiros. O documento também sugere que o Centro Nacional de Segurança Cibernética (NCSC) inclua estimativas financeiras em seus relatórios de atribuição de ataques. Outra proposta prevê que o Ministério da Defesa desenvolva uma metodologia para calcular os custos de sabotagens e outras operações físicas hostis. Os autores ainda recomendam uma campanha nacional de conscientização sobre ameaças patrocinadas por Estados e resiliência cibernética, buscando ampliar a compreensão pública dos riscos. Para Downie, o principal desafio deixou de ser demonstrar a existência dessas atividades e passou a ser estabelecer mecanismos capazes de mensurar seus impactos econômicos. Governo britânico destaca medidas contra atividades russas Em resposta ao relatório, um porta-voz do governo britânico classificou os ataques híbridos atribuídos à Rússia como inaceitáveis e afirmou que o país já adotou medidas para combater essas operações. Entre as iniciativas mencionadas estão a expulsão de agentes de inteligência russos, sanções contra a GRU, serviço de inteligência militar da Rússia, e ações contra redes financeiras ilícitas. O governo também destacou esforços para interromper atividades de grupos criminosos que atuariam como intermediários de interesses russos. Por fim, o representante reafirmou o

O presidente da Coreia do Sul, Lee Jae Myung, defendeu o desenvolvimento de ferramentas de segurança baseadas em inteligência artificial capazes de detectar e bloquear ataques cibernéticos antes que eles atinjam organizações e infraestruturas críticas do país. A declaração foi feita durante uma reunião com o gabinete, após uma sequência de incidentes envolvendo vazamentos de informações pessoais em instituições financeiras e públicas. Lee afirmou que há indícios de utilização de inteligência artificial nesses episódios, situação que estaria aumentando a preocupação da população. Entre os casos recentes estão o incidente envolvendo a varejista Coupang e ataques contra bancos sul-coreanos que resultaram na exposição de dados de clientes. O presidente pediu que as autoridades identifiquem rapidamente as circunstâncias dos incidentes e mobilizem pessoal e recursos para minimizar possíveis danos. Ao mesmo tempo, defendeu uma mudança na postura de segurança digital do país, passando de uma abordagem predominantemente reativa para mecanismos capazes de antecipar atividades maliciosas. Segundo Lee, o governo precisa desenvolver capacidades que permitam “detectar ataques antecipadamente e bloqueá-los de forma preventiva”. Para isso, os ministérios responsáveis deverão revisar os sistemas de segurança de toda a infraestrutura considerada essencial para o país, além de avaliar ambientes do setor privado e implementar medidas adicionais quando necessário. Outra prioridade apresentada pelo presidente é acelerar o desenvolvimento e a adoção de tecnologias de IA especificamente voltadas à cibersegurança. A proposta surge em um momento em que ferramentas de inteligência artificial também podem ser utilizadas por invasores para automatizar determinadas etapas de ataques e ampliar a escala de operações maliciosas. Lee afirmou que a Coreia do Sul precisa promover uma “renovação completa do paradigma de segurança” para adaptá-lo à era da inteligência artificial. O processo deverá envolver colaboração entre governo e empresas para modificar tecnologias, sistemas e práticas relacionadas à segurança. Apesar da ambição das declarações, transformar a proposta em ferramentas capazes de impedir todos os ataques cibernéticos representa um desafio técnico significativo. O escopo apresentado pelo presidente envolve desde infraestruturas nacionais críticas até empresas privadas, exigindo que ministérios, órgãos públicos e companhias de tecnologia convertam as diretrizes em políticas e mecanismos concretos de defesa. Enquanto a Coreia do Sul discute uma estratégia de cibersegurança baseada em IA, a Austrália também debate os impactos da tecnologia. Jason Kwon, diretor de estratégia da OpenAI, participou de uma audiência parlamentar sobre o acesso de agentes da empresa a um site governamental de registros médicos. Kwon reconheceu que a empresa poderia ter adotado uma abordagem melhor do que enviar um e-mail para o endereço destinado a denúncias de abuso da agência governamental responsável, mas defendeu as medidas adotadas pela companhia para aprender com o episódio envolvendo a Hugging Face. O Parlamento australiano também discute possíveis mudanças nas regras de direitos autorais relacionadas ao treinamento de modelos de IA. Entre as questões está como remunerar criadores cujas obras são utilizadas no treinamento desses sistemas, ao mesmo tempo em que o governo avalia os possíveis impactos regulatórios sobre investimentos em datacenters e a disponibilidade de modelos avançados de IA dentro do país.

O criador do Ruby on Rails, David Heinemeier Hansson (DHH), provocou um debate entre desenvolvedores após publicar um experimento no qual agentes de inteligência artificial reescreveram e otimizaram o aplicativo de chat Campfire em Rust, Go e Elixir. Os resultados foram comparados com a implementação original desenvolvida em Ruby on Rails. O teste foi divulgado semanas depois de DHH defender, durante a Rails World 2026, que os avanços da IA reduziram drasticamente a necessidade de desenvolvedores escreverem código manualmente. Segundo DHH, cada reimplementação levou apenas algumas horas. Ele não revelou quais serviços ou modelos de IA foram utilizados, mas afirmou que o processo foi facilitado pelo tamanho relativamente compacto do código original do Campfire, escrito principalmente em Ruby. Os números publicados chamaram atenção. No teste para servir uma página de sala do aplicativo, a implementação em Rust alcançou 36.260 requisições por segundo. Go registrou 3.860, Elixir chegou a 722 e Ruby on Rails ficou em 241 requisições por segundo. Rust também terminou à frente nos outros quatro workloads avaliados, incluindo operações como pesquisar e publicar mensagens. A publicação e o gráfico compartilhados por DHH ultrapassaram 900 mil visualizações. Para o criador do Rails, os resultados indicariam que reescrever aplicações em Rust — especialmente com agentes de IA realizando grande parte do trabalho — pode proporcionar ganhos expressivos de desempenho. DHH reconheceu, porém, que velocidade de execução não é o único critério para escolher uma linguagem. Rust, por exemplo, pode apresentar tempos de compilação elevados e uma curva de aprendizado mais difícil. O próprio Rails surgiu em 2003, enquanto DHH desenvolvia o Basecamp, com a proposta de aproveitar Ruby para simplificar o desenvolvimento e aumentar a produtividade, mesmo sacrificando parte do desempenho. A comparação, entretanto, rapidamente recebeu críticas de desenvolvedores que questionaram a metodologia utilizada. Parte da comunidade apontou que a implementação em Rust teria recebido muito mais trabalho de otimização após a geração inicial do código, enquanto as versões em Go e Elixir teriam permanecido próximas das primeiras respostas produzidas pelos agentes. A engenheira do Google Jaana Dogan questionou publicamente os resultados, sugerindo que os números deveriam imediatamente levantar dúvidas sobre o que realmente estava sendo medido. A reação da comunidade Elixir foi ainda mais prática. Desenvolvedores revisaram e reescreveram partes da implementação usada no experimento e conseguiram tornar seu desempenho comparável ao de Rust. Em alguns workloads, a versão otimizada em Elixir chegou a superar Rust, mesmo após otimizações adicionais feitas por terceiros no código Rust. Defensores de Go levantaram críticas semelhantes. O argumento é que o benchmark não estaria comparando apenas as características das linguagens, mas também diferentes níveis de esforço aplicados a cada implementação. Em outras palavras, parte da vantagem observada poderia refletir quanto cada versão foi otimizada, e não exclusivamente o desempenho de Rust. DHH respondeu que agentes avançados deveriam ser capazes de encontrar as otimizações necessárias por conta própria. Para ele, se os agentes não conseguem identificar os mecanismos necessários para tornar uma implementação em Elixir mais rápida, isso também seria relevante na avaliação de um cenário em que a IA assume parcela crescente da programação. A controvérsia não invalida o argumento de que agentes de IA podem acelerar significativamente processos de reescrita e otimização de software. O experimento, porém, também evidencia uma limitação importante: código produzido por IA e benchmarks gerados a partir dele ainda dependem de metodologia consistente, revisão humana e condições equivalentes para que comparações de desempenho sejam confiáveis.

O grupo de ransomware BYOD afirma ter comprometido a Trump Mobile e publicado informações pessoais de 3.615 clientes da operadora. O conjunto de dados supostamente roubado inclui nomes, endereços de e-mail, números de telefone, endereços residenciais e detalhes de pedidos. O BYOD é uma operação recente de ransomware-as-a-service (RaaS) e a Trump Mobile é apenas a terceira organização publicada em seu site de vazamentos. Segundo mensagens divulgadas pelos próprios criminosos, a empresa teria sido avisada sobre a invasão antes da publicação dos dados. Nem a Trump Organization nem a Liberty Mobile deram esclarecimento. Os hackers disseram ao International Cyber Digest que o acesso inicial teria ocorrido após um funcionário da Liberty Mobile ser infectado por um infostealer, malware projetado para roubar credenciais e outras informações. A partir desse comprometimento, o grupo afirma ter conseguido acessar a Trump Mobile por meio da operadora virtual (MVNO). O BYOD também alega continuar com acesso aos sistemas da Trump Mobile e afirma que nenhuma das duas empresas utilizava autenticação multifator (MFA). Essas informações, no entanto, são declarações dos próprios invasores e não foram confirmadas pelas empresas envolvidas. Segundo a Straight Arrow News, que noticiou inicialmente o incidente e verificou informações de alguns clientes, o material publicado não contém dados do presidente dos Estados Unidos, Donald Trump, nem de integrantes de sua família. O vazamento, porém, inclui informações pessoais atribuídas a Eric Brunnett, vice-presidente e diretor de informação da Trump Organization. De acordo com seu perfil no LinkedIn, Brunnett é responsável pelas áreas de tecnologia da informação e segurança da informação da organização. A reportagem também identificou outro problema envolvendo a Trump Mobile. Um cliente contatado pela Straight Arrow News afirmou ter pago US$ 100 no ano passado como depósito de pré-venda do T1, smartphone anunciado como principal dispositivo da empresa, mas disse que nunca recebeu o aparelho dourado. O caso pode ainda estar relacionado a uma publicação anterior. Uma semana antes da divulgação feita pelo BYOD, outro grupo criminoso, chamado EndZone, também alegou ter invadido a Trump Mobile e publicou um conjunto de dados roubados. Segundo o pesquisador de segurança Dominic Alvieri, os dois episódios aparentemente estão relacionados à mesma invasão original. Os incidentes se somam a um problema de segurança identificado anteriormente no site da Trump Mobile. Em maio, um pesquisador conhecido como “Louis” afirmou ter encontrado uma vulnerabilidade, posteriormente corrigida, que permitia acessar informações de clientes por meio de uma simples requisição POST. Até o momento, as alegações de acesso persistente aos sistemas, ausência de MFA e detalhes sobre a cadeia de comprometimento permanecem baseadas principalmente nas declarações dos invasores, já que as empresas citadas não responderam aos questionamentos da reportagem.

O FBI e o Serviço Secreto dos Estados Unidos (USSS) alertaram que criminosos estão usando credenciais associadas à campanha FortiBleed para comprometer dispositivos Fortinet e, em alguns casos, impedir que as próprias organizações acessem seus firewalls. Em um alerta conjunto, as agências citaram dados verificados pela SOCRadar que apontam mais de 86.644 dispositivos comprometidos em 194 países. Segundo o documento, algumas vítimas podem perder o acesso aos equipamentos Fortinet depois que os invasores excluem contas legítimas ou alteram suas senhas. Durante a invasão inicial, os hackers também criam novas contas que não existiam anteriormente nos dispositivos. Em determinados casos, contas existentes são removidas para dificultar a recuperação do ambiente e manter a persistência enquanto os invasores tentam realizar movimentação lateral pela rede. A campanha tem como alvo firewalls FortiGate e gateways SSL VPN expostos à internet. Os criminosos utilizam credenciais obtidas em vazamentos anteriores e registros coletados por malwares infostealers para executar ataques de credential stuffing e password spraying. Depois de obter acesso aos equipamentos, os invasores extraem hashes de senhas e tentam quebrá-los offline utilizando clusters acelerados por GPUs, ampliando a possibilidade de reutilização das credenciais em outros sistemas e etapas do ataque. Diante da atividade, FBI e USSS recomendam restringir o acesso às interfaces de gerenciamento expostas à internet, encerrar sessões administrativas e VPN ativas, redefinir senhas e habilitar autenticação multifator resistente a phishing. O alerta também relaciona a FortiBleed a operações de ransomware. Segundo as autoridades, initial access brokers — criminosos especializados em obter e comercializar acesso inicial a redes corporativas — forneceram ambientes comprometidos para afiliados de grupos de ransomware. As evidências disponíveis apontam para o uso dessas credenciais por afiliados ligados aos grupos INC/Lynx e Payload. Em julho, a SOCRadar informou ter identificado pelo menos 12 ataques de ransomware confirmados decorrentes da campanha FortiBleed. FBI e Serviço Secreto pediram que organizações afetadas comuniquem os incidentes às autoridades, embora tenham ressaltado que o fornecimento dessas informações não é obrigatório em resposta ao alerta. As agências afirmam que os relatos podem ajudar na identificação de indicadores de comprometimento e também recomendam que vítimas não realizem pagamentos de resgate.

Amir Barati, cidadão iraniano e turco de 40 anos acusado pelos Estados Unidos de participar de uma ampla campanha de invasões contra universidades e empresas, foi extraditado de Montenegro. Segundo promotores norte-americanos, a operação resultou no roubo de pelo menos 31 terabytes de dados acadêmicos e propriedade intelectual. Barati foi preso em 25 de junho pela polícia de Montenegro após a emissão de um mandado de prisão pelo FBI. Ele estava de férias em Kotor, município turístico localizado na costa do país, quando foi detido. Nesta semana, um tribunal montenegrino emitiu a decisão final autorizando sua extradição. Em agosto, o Departamento de Justiça dos Estados Unidos (DOJ) incluiu Barati em uma acusação com 14 imputações envolvendo 17 pessoas. Promotores afirmam que a campanha era conduzida por meio de uma empresa iraniana conhecida como Mabna Institute e realizada em nome da Guarda Revolucionária Islâmica do Irã (IRGC). Barati é apontado como uma figura importante na operação que teria comprometido contas de e-mail de universidades e outras instituições de pesquisa ao redor do mundo. Os invasores são acusados de roubar periódicos acadêmicos, teses, dissertações, livros eletrônicos e outros documentos relacionados a dezenas de áreas de conhecimento. Autoridades norte-americanas estimaram em US$ 3,4 bilhões os danos atribuídos às atividades do grupo. Segundo os promotores, Barati acompanhava o andamento das campanhas de spear phishing, compartilhava credenciais de contas comprometidas com outros integrantes, elaborava listas de alvos, realizava reconhecimento de redes e preparava mensagens de phishing. O DOJ afirma que a operação comprometeu 144 universidades e 42 empresas dos Estados Unidos, além de 178 universidades e pelo menos 11 empresas de outros países. Entre 2013 e 2017, a campanha teria conseguido atingir aproximadamente 8 mil contas de e-mail pertencentes a professores. As credenciais roubadas eram posteriormente utilizadas para acessar as contas e os recursos acadêmicos disponíveis às vítimas. De acordo com o Departamento de Justiça, os documentos obtidos foram fornecidos ao governo iraniano e também comercializados por meio de dois sites para universidades no Irã. Uma dessas plataformas permitia que clientes iranianos utilizassem contas comprometidas de professores para acessar sistemas de bibliotecas digitais de diversas universidades norte-americanas. As instituições afetadas teriam desembolsado aproximadamente US$ 20 milhões para investigar os incidentes e realizar trabalhos de remediação. Barati responde a múltiplas acusações relacionadas a conspiração para invasão de computadores, fraude eletrônica, fraude computacional e roubo de identidade. O veículo Iran International também atribuiu a Barati um histórico anterior de atividades hackers no Irã, incluindo a criação de grupos como Iran Black Hats Team e Digital Boys Underground Team, que teriam sido acusados de ataques contra Microsoft, MIT e outras organizações. Segundo o veículo, Barati foi preso pelo Ministério da Inteligência do Irã em 2010 e teria sido coagido a trabalhar para o órgão durante vários anos. Posteriormente, deixou o país, mudou de nome em 2021 e tornou-se cidadão turco.