Uma nova operação de botnet batizada de SSHStalker chamou a atenção da comunidade de segurança ao combinar técnicas clássicas com uma execução operacional altamente disciplinada. A campanha utiliza o protocolo IRC (Internet Relay Chat) como canal de comando e controle (C2), além de explorar vulnerabilidades antigas do kernel Linux algumas datadas de 2009 e 2010 para comprometer servidores desatualizados. A análise conduzida pela empresa Flare revela que o grupo por trás da operação mantém um vasto arsenal de exploits voltados para versões Linux 2.6.x. Embora essas falhas tenham pouco impacto em ambientes modernos devidamente atualizados, elas continuam eficazes contra infraestruturas legadas e sistemas esquecidos um cenário ainda comum em ambientes corporativos e servidores expostos na internet. Como o SSHStalker funciona O SSHStalker combina a mecânica tradicional de botnets baseadas em IRC com uma operação automatizada de comprometimento em massa. Um dos principais componentes é um scanner desenvolvido em Golang, projetado para varrer a porta 22 (SSH) em busca de servidores expostos. Ao identificar um alvo vulnerável, o malware instala diferentes cargas maliciosas e integra o sistema comprometido a canais de IRC controlados pelo invasor. Diferente de campanhas convencionais que utilizam botnets para ataques DDoS, mineração de criptomoedas ou proxyjacking, o SSHStalker apresenta um comportamento incomum: após a invasão, ele permanece “adormecido”. Não há atividades evidentes de pós-exploração imediata. Essa persistência silenciosa sugere que a infraestrutura comprometida pode estar sendo preparada para uso estratégico futuro, seja para testes, movimentação lateral ou ataques coordenados em larga escala. Entre os recursos identificados estão: Rootkits para garantir furtividade e persistência; Mineradores de criptomoedas; Script em Python capaz de executar um binário chamado “website grabber”, utilizado para roubar credenciais expostas da Amazon Web Services (AWS); O bot EnergyMech, que fornece capacidades de execução remota de comandos via IRC. Técnicas de evasão e persistência A botnet também executa programas em C voltados para limpar registros de conexão SSH (utmp, wtmp e lastlog), reduzindo a visibilidade forense. Além disso, conta com um mecanismo de “keep-alive” que reinicia automaticamente o malware em até 60 segundos caso ele seja encerrado por ferramentas de segurança. O módulo de exploração inclui pelo menos 16 vulnerabilidades distintas do kernel Linux, entre elas: CVE-2009-2692 CVE-2009-2698 CVE-2010-3849 CVE-2010-1173 Essas falhas são consideradas antigas, mas ainda representam risco significativo em ambientes que não aplicam atualizações de segurança de forma consistente. Origem e perfil do grupo hacker Indícios encontrados nos canais de IRC e em listas de configuração sugerem que o grupo possa ter origem romena, com base em padrões linguísticos e apelidos utilizados. A investigação também aponta semelhanças operacionais com o grupo hacker conhecido como Outlaw (também chamado de Dota). Segundo a análise técnica, o grupo não demonstra foco em desenvolvimento de exploits inéditos ou zero-days. Em vez disso, aposta em disciplina operacional, automação em larga escala e reutilização de infraestrutura. A base do malware utiliza linguagem C para os componentes principais, shell scripts para orquestração e persistência, além de Python e Perl para tarefas auxiliares dentro da cadeia de ataque. O que esse caso revela O caso do SSHStalker reforça uma lição importante: ameaças sofisticadas nem sempre dependem de falhas novas ou técnicas inovadoras. Muitas vezes, a exploração eficiente de vulnerabilidades antigas, combinada com automação e organização operacional, é suficiente para criar uma rede de acesso persistente e potencialmente perigosa. Ambientes Linux expostos, especialmente aqueles baseados em versões antigas do kernel, continuam sendo alvos prioritários. A ausência de atividade visível após o comprometimento torna a detecção ainda mais complexa, ampliando o risco estratégico para organizações que não mantêm uma política rigorosa de atualização e monitoramento.

O senador democrata Ron Wyden, um dos parlamentares mais experientes do Senate Intelligence Committee, afirmou ter “ profundas preocupações ” em relação a determinadas atividades conduzidas pela Central Intelligence Agency (CIA). O alerta foi feito por meio de uma carta curta, de apenas duas linhas, cujo conteúdo não detalha a natureza das ações nem os motivos específicos de preocupação. Embora sucinto, o comunicado segue um padrão já conhecido nos bastidores de Washington. Nos últimos anos, Wyden tornou-se famoso por emitir alertas públicos velados sobre programas secretos de vigilância ou interpretações legais controversas, prática que passou a ser informalmente chamada de “sirene de Wyden”. Historicamente, esses avisos antecederam revelações posteriores de irregularidades ou abusos por parte do governo norte-americano. Em resposta, a CIA declarou, por meio de nota citada pela imprensa, que considera “irônico, mas não surpreendente” o descontentamento do senador, classificando a crítica como um “selo de honra”. A equipe de Wyden informou que não poderia comentar o assunto, já que os detalhes permanecem classificados. Como parte de sua função de supervisão da comunidade de inteligência, Wyden está entre os poucos parlamentares autorizados a acessar informações altamente sigilosas sobre programas de vigilância governamental, incluindo operações cibernéticas e de inteligência. No entanto, essas autorizações impõem severas restrições, impedindo-o de compartilhar detalhes mesmo com a maioria de seus colegas no Congresso. Reconhecido como um defensor histórico da privacidade e das liberdades civis, Wyden tornou-se uma das vozes mais observadas por organizações de direitos digitais. Em diversas ocasiões, o senador alertou publicamente sobre práticas que considerava ilegais ou inconstitucionais, mesmo sem poder revelar provas. Em 2011, por exemplo, Wyden afirmou que o governo dos EUA utilizava uma interpretação secreta do Patriot Act, criando um “abismo” entre o que o público acreditava ser a lei e como ela era aplicada internamente. Dois anos depois, o ex-contratado da NSA Edward Snowden revelou que a National Security Agency (NSA) havia usado exatamente essa interpretação para obrigar operadoras como a Verizon a entregar registros telefônicos de milhões de americanos. Desde então, Wyden também denunciou a coleta massiva de conteúdos de comunicações, revelou que o Departamento de Justiça proibiu Apple e Google de informarem usuários sobre exigências secretas relacionadas a notificações push e afirmou que um relatório não classificado da Cybersecurity and Infrastructure Security Agency (CISA) ainda não divulgado contém “detalhes chocantes” sobre ameaças à segurança das operadoras de telecomunicações dos EUA. Especialistas destacam que, em retrospecto, todos os alertas públicos feitos por Wyden acabaram sendo confirmados por investigações jornalísticas ou revelações oficiais. Por isso, mesmo sem detalhes, o novo aviso sobre atividades da CIA já acende um sinal de alerta entre defensores da privacidade e da transparência governamental.

Relatos recentes indicam que o Department of Homeland Security (DHS) tem utilizado intimações administrativas para exigir que empresas de tecnologia entreguem informações de usuários críticos ao governo de Donald Trump. As ações vêm ocorrendo de forma discreta e têm gerado forte preocupação entre organizações de direitos civis e defensores da privacidade. Segundo investigações jornalísticas, o DHS solicitou dados de usuários que administram contas anônimas no Instagram dedicadas a divulgar informações sobre operações do ICE (Serviço de Imigração e Controle de Alfândega) em comunidades locais, além de perfis que criticam políticas do governo ou participam de protestos. Em vários casos, as solicitações buscavam identificar quem está por trás dessas contas. Diferentemente de intimações judiciais que exigem autorização de um juiz com base em indícios de crime, as intimações administrativas podem ser emitidas diretamente por agências federais, sem supervisão judicial. Embora esse tipo de instrumento não permita acesso ao conteúdo de e-mails, buscas online ou dados de localização, ele pode exigir uma grande quantidade de metadados, como horários de login, endereços IP, dispositivos utilizados, e-mails associados e outras informações capazes de revelar a identidade de usuários anônimos. O uso desse mecanismo não é novo, mas, segundo especialistas, sua aplicação para identificar críticos do governo representa um desvio preocupante. A American Civil Liberties Union (ACLU) classificou a prática como parte de uma estratégia mais ampla de intimidação contra pessoas que documentam atividades de imigração ou criticam ações governamentais. Um dos casos mais emblemáticos envolveu a tentativa do DHS de identificar o responsável pela conta @montocowatch , no Instagram, que divulga informações sobre direitos de imigrantes no condado de Montgomery, na Pensilvânia. Advogados do governo enviaram uma intimação administrativa à Meta, alegando que um informante teria denunciado suposto assédio a agentes do ICE. A ACLU, que representou o dono da conta, afirmou que não havia qualquer indício de ilegalidade e que registrar e compartilhar atividades policiais, inclusive de forma anônima, é protegido pela Primeira Emenda. O DHS acabou retirando a intimação sem explicações. Reportagem da Bloomberg apontou que esse não foi um caso isolado. Pelo menos quatro outras tentativas semelhantes de identificar administradores de contas críticas ao governo também foram realizadas por meio de intimações administrativas, todas posteriormente retiradas após ações judiciais. Outro episódio, revelado pelo The Washington Post , mostrou que o DHS utilizou o mesmo instrumento para solicitar dados de um aposentado americano poucas horas após ele enviar um e-mail crítico a um advogado-chefe do departamento. A solicitação foi encaminhada à Google e exigia detalhes extensos, incluindo horários de sessões online, endereços IP, localização física, serviços utilizados e até informações sensíveis como dados de cartão de crédito, carteira de motorista e número de seguridade social. Duas semanas depois, agentes federais visitaram a residência do aposentado para questioná-lo sobre o e-mail ação que os próprios agentes reconheceram não violar nenhuma lei. O Google informou que contestou a intimação por considerá-la excessiva. O DHS, por sua vez, afirmou que possui ampla autoridade legal para emitir intimações administrativas, citando dispositivos legais que regem investigações conduzidas pela unidade Homeland Security Investigations (HSI). No entanto, a agência se recusou a explicar por que buscava dados de críticos do governo ou por que as intimações foram retiradas. O episódio reacende o debate sobre até onde governos podem ir na coleta de dados pessoais e reforça preocupações globais sobre a dependência de grandes empresas de tecnologia dos EUA. Aplicativos com criptografia de ponta a ponta, como o Signal, destacam-se por armazenar o mínimo possível de dados, limitando a capacidade de resposta a esse tipo de solicitação. Para especialistas, o caso ilustra como metadados muitas vezes considerados inofensivos podem ser suficientes para desmontar o anonimato online, levantando sérios questionamentos sobre liberdade de expressão, vigilância estatal e o papel das big techs em regimes democráticos.

As agências federais de segurança da Alemanha emitiram um alerta conjunto sobre uma campanha cibernética sofisticada de phishing realizada por meio do aplicativo Signal, direcionada a políticos, membros das Forças Armadas, diplomatas e jornalistas investigativos na Alemanha e em outros países europeus. O comunicado foi divulgado pelo Bundesamt für Verfassungsschutz (BfV) e pelo Bundesamt für Sicherheit in der Informationstechnik (BSI), que classificaram a atividade como provavelmente conduzida por um ator estatal ou grupo hacker patrocinado por um Estado. Segundo as autoridades, o objetivo da campanha é obter acesso não autorizado a contas de mensageiros, o que permitiria não apenas a leitura de comunicações confidenciais, mas também o comprometimento de redes inteiras de relacionamento, incluindo grupos privados e listas de contatos estratégicos. Um aspecto relevante da ofensiva é que nenhuma vulnerabilidade técnica do Signal é explorada e nenhum malware é instalado. Em vez disso, os invasores abusam de funcionalidades legítimas da plataforma, transformando mecanismos de segurança em vetores de ataque. Os hackers entram em contato direto com as vítimas se passando por “Signal Support” ou por um falso chatbot chamado “Signal Security ChatBot”. Durante a conversa, alegam que a conta da vítima corre risco de perda de dados e solicitam o PIN do Signal ou um código de verificação recebido por SMS. Caso a vítima forneça essas informações, os invasores conseguem registrar a conta em um dispositivo sob seu controle, passando a ter acesso ao perfil, configurações, contatos e lista de bloqueios. Embora o PIN roubado não permita acesso às mensagens antigas, ele possibilita interceptar mensagens futuras e se passar pela vítima em novas conversas. Em uma variação ainda mais grave, os atacantes exploram o recurso de vinculação de dispositivos , induzindo a vítima a escanear um QR Code malicioso. Nesse cenário, os hackers obtêm acesso às mensagens dos últimos 45 dias, além da lista de contatos, sem que a vítima perca o acesso à própria conta permanecendo, muitas vezes, sem perceber a espionagem. As autoridades alertam que esse mesmo método pode ser facilmente adaptado para outros aplicativos de mensagens, como o WhatsApp, que utiliza mecanismos semelhantes de verificação em duas etapas e vinculação de dispositivos. “Uma vez comprometida, uma conta de mensageiro pode servir como porta de entrada para redes inteiras por meio de chats em grupo”, alertaram o BfV e o BSI. Embora os responsáveis não tenham sido oficialmente identificados, ataques semelhantes já foram atribuídos a grupos hackers alinhados à Rússia, como Star Blizzard, UNC5792 (UAC-0195) e UNC4221 (UAC-0185), segundo análises anteriores da Microsoft e do Google Threat Intelligence Group. Em dezembro de 2025, a Gen Digital também descreveu uma campanha semelhante, chamada GhostPairing, que explorava a vinculação de dispositivos do WhatsApp para assumir contas e cometer fraudes. O alerta alemão ocorre em paralelo a outras preocupações de segurança na Europa. O governo da Noruega acusou grupos hackers ligados à China, como o Salt Typhoon, de comprometer organizações explorando dispositivos de rede vulneráveis, enquanto também apontou atividades de espionagem russa contra alvos militares e ações iranianas voltadas ao monitoramento de dissidentes. Autoridades norueguesas destacaram ainda que serviços de inteligência chineses estariam explorando parcerias acadêmicas e projetos de pesquisa para fortalecer capacidades de espionagem, além de utilizar redes profissionais como o LinkedIn para recrutar fontes humanas.

Pesquisadores revelaram um framework avançado de monitoramento de gateway e ataque do tipo adversary-in-the-middle (AitM), batizado de DKnife, que vem sendo operado por hackers ligados à China desde pelo menos 2019. A plataforma é composta por múltiplos implantes voltados a dispositivos Linux e tem como principal objetivo inspecionar pacotes, manipular tráfego de rede e distribuir malware por meio de roteadores e dispositivos de borda. De acordo com a Cisco Talos , o DKnife é formado por sete componentes modulares projetados para realizar inspeção profunda de pacotes (DPI), interceptar comunicações criptografadas, sequestrar downloads legítimos e redirecionar atualizações de aplicativos para cargas maliciosas. A análise indica que os principais alvos são usuários que falam chinês, evidenciado por páginas de phishing para provedores de e-mail chineses, módulos voltados à exfiltração de dados de aplicativos populares como WeChat e referências diretas a domínios de mídia chineses no código. Segundo a pesquisadora Ashley Shen, o framework permite ataques contra PCs, dispositivos móveis e equipamentos de Internet das Coisas (IoT). Ele também é utilizado para distribuir e interagir com backdoors como ShadowPad e DarkNimbus, substituindo downloads binários legítimos e atualizações de aplicativos Android por versões maliciosas durante o trânsito pela rede. A descoberta do DKnife ocorreu durante o monitoramento de outra atividade maliciosa ligada à China, conhecida como Earth Minotaur, associada a ferramentas como o exploit kit MOONSHINE e o backdoor DarkNimbus. Esse mesmo backdoor também já foi atribuído a outro grupo hacker alinhado à China, identificado como TheWizards , ampliando a evidência de reutilização e compartilhamento de ferramentas entre diferentes operações. A análise da infraestrutura revelou conexões entre o DKnife e o WizardNet, um implante Windows utilizado pelo grupo TheWizards por meio de um framework AitM chamado Spellbinder, documentado anteriormente pela ESET. Essas ligações são relevantes porque o grupo TheWizards já foi associado a campanhas contra indivíduos e setores específicos em regiões como Camboja, Hong Kong, China continental, Filipinas e Emirados Árabes Unidos. Diferentemente de outras ferramentas similares, o DKnife foi projetado especificamente para ambientes Linux, explorando sua ampla adoção em roteadores, firewalls e dispositivos de borda. Seu núcleo, o módulo dknife.bin, funciona como o “sistema nervoso central” da operação, sendo responsável pela inspeção de pacotes, monitoramento em tempo real das atividades do usuário, sequestro de downloads binários e ataques de hijacking de DNS tanto em IPv4 quanto em IPv6. Entre as capacidades mais críticas do framework estão a interceptação e substituição de atualizações de aplicativos Android, incluindo apps de notícias, streaming de vídeo, edição de imagens, e-commerce, transporte por aplicativo, jogos e serviços de mensagens. O DKnife também consegue sequestrar downloads de software para Windows e entregar malware por meio de técnicas como DLL side-loading, além de interferir na comunicação de produtos de segurança e ferramentas de gerenciamento, como soluções antivírus chinesas. Outro destaque é o módulo sslmm.bin, que atua como um proxy reverso capaz de encerrar conexões TLS, descriptografar tráfego POP3 e IMAP e capturar credenciais de e-mail em texto claro. As credenciais coletadas são marcadas, encaminhadas a módulos internos e posteriormente exfiltradas para servidores de comando e controle (C2). Para os pesquisadores, o DKnife representa um exemplo claro da evolução dos ataques AitM modernos, que combinam comprometimento de infraestrutura de rede, espionagem em larga escala e entrega seletiva de malware. O uso de roteadores e dispositivos de borda como ponto de controle torna esse tipo de ameaça especialmente perigoso, pois permite observar e manipular o tráfego de múltiplos dispositivos simultaneamente, muitas vezes sem qualquer indício visível para as vítimas.

A plataforma OpenClaw, anteriormente conhecida como Moltbot e Clawdbot, anunciou uma parceria com o VirusTotal, serviço pertencente ao Google, para reforçar a segurança do ClawHub, seu marketplace de skills para agentes de inteligência artificial. A iniciativa surge em meio a crescentes alertas sobre a presença de skills maliciosas explorando falhas inerentes ao ecossistema de IA agentic. Segundo os fundadores Peter Steinberger, Jamieson O’Reilly e Bernardo Quintero, todas as skills publicadas no ClawHub passam agora por análise automática utilizando a inteligência de ameaças do VirusTotal , incluindo o recurso Code Insight, voltado à inspeção estática e comportamental de código. A medida adiciona uma nova camada de proteção para usuários e desenvolvedores da plataforma. O processo envolve a geração de um hash SHA-256 exclusivo para cada skill, que é comparado com a base global do VirusTotal. Caso não haja correspondência, o pacote é submetido à análise aprofundada via Code Insight. Skills classificadas como benignas são aprovadas automaticamente; aquelas consideradas suspeitas recebem alertas; e qualquer skill identificada como maliciosa é bloqueada para download. Além disso, todas as skills ativas passam por reescaneamento diário, permitindo detectar casos em que um componente antes legítimo se torna malicioso ao longo do tempo. Apesar do avanço, os mantenedores da OpenClaw reconhecem que a varredura não é uma solução definitiva. Segundo a empresa, cargas maliciosas sofisticadas especialmente aquelas que exploram prompt injection indireta ou instruções ocultas em linguagem natural ainda podem contornar mecanismos tradicionais de detecção. A parceria com o VirusTotal ocorre após a divulgação de múltiplas análises que identificaram centenas de skills maliciosas no ClawHub , muitas delas disfarçadas como ferramentas legítimas, mas projetadas para exfiltrar dados, implantar backdoors, instalar malware do tipo stealer ou executar comandos remotamente. Como resposta, a OpenClaw também implementou um mecanismo de denúncia para que usuários autenticados possam sinalizar comportamentos suspeitos. Pesquisadores alertam que agentes de IA com acesso ao sistema operacional representam um novo vetor de risco, pois podem atuar como canais furtivos de vazamento de dados, contornando controles tradicionais como DLP, proxies e monitoramento de endpoint. Além disso, modelos de linguagem podem funcionar como orquestradores de execução, onde o próprio prompt se torna a instrução maliciosa, dificultando a detecção por ferramentas convencionais. O crescimento acelerado da OpenClaw um assistente de IA open source capaz de automatizar fluxos, interagir com serviços online e operar diretamente em dispositivos e do Moltbook , uma rede social onde agentes autônomos interagem entre si, ampliou significativamente a superfície de ataque. Especialistas descrevem o cenário como um verdadeiro “cavalo de Troia agentic”, no qual integrações convenientes acabam introduzindo entradas não confiáveis em larga escala. Diversas falhas graves vieram à tona recentemente, incluindo armazenamento de credenciais em texto claro, uso inseguro de funções como eval, ausência de sandboxing por padrão, exposição de APIs em interfaces públicas, prompt injections zero-click e vulnerabilidades que permitiam execução remota de código. Análises indicam que mais de 7% das skills do ClawHub continham falhas críticas, expondo chaves de API e tokens de sessão. O risco é agravado pelo fato de a OpenClaw estar sendo adotada em ambientes corporativos sem aprovação formal de TI ou segurança, criando uma nova categoria de Shadow AI . Como alertam pesquisadores , a questão não é se esses agentes aparecerão nas organizações, mas se as empresas terão visibilidade e controle sobre eles. Diante da gravidade do cenário, autoridades regulatórias e empresas de segurança vêm alertando para a necessidade de modelos de ameaça específicos para IA agentic, controles de identidade robustos, sandboxing obrigatório e limites claros entre intenção do usuário e execução automática. Em ecossistemas onde agentes detêm credenciais para múltiplos sistemas, uma única skill maliciosa pode comprometer toda a cadeia digital do usuário.

A Comissão Europeia notificou oficialmente o TikTok de que a plataforma pode ter violado disposições da Lei de Serviços Digitais (Digital Services Act – DSA) relacionadas ao uso de funcionalidades de design consideradas viciantes. O alerta foi divulgado nesta quinta-feira e representa um avanço significativo no processo regulatório contra grandes plataformas digitais. As conclusões preliminares são resultado de uma investigação iniciada em fevereiro de 2024, que analisou recursos como rolagem infinita (infinite scroll), reprodução automática de vídeos (autoplay), notificações push e o sistema altamente personalizado de recomendação de conteúdo. Segundo a Comissão, esses elementos podem estimular o uso compulsivo da plataforma, especialmente entre crianças e adolescentes. Caso as conclusões sejam mantidas, o TikTok poderá ser multado em até 6% de seu faturamento global anual, uma das penalidades mais severas previstas no DSA. Em comunicado oficial, a Comissão afirmou que, no estágio atual da investigação, considera necessário que a empresa altere o design básico do serviço, incluindo a desativação gradual de funcionalidades viciantes, a implementação de pausas obrigatórias de uso (screen time breaks) inclusive durante a noite e ajustes no algoritmo de recomendação. De acordo com a Comissão Europeia , o TikTok não avaliou adequadamente os riscos que esses mecanismos representam ao bem-estar dos usuários, em especial dos menores de idade. O órgão regulador argumenta que o modelo da plataforma, baseado em recompensas constantes por meio de novos conteúdos, induz os usuários a um comportamento automático de consumo contínuo, reduzindo a percepção do tempo de uso. Outro ponto crítico levantado pela investigação é a ineficiência das ferramentas de controle de tempo de tela e dos controles parentais. Segundo a Comissão, esses recursos são facilmente ignorados, exigem pouco esforço para serem desativados e não criam fricção suficiente para reduzir o uso excessivo. No caso dos controles parentais, o regulador destaca que sua configuração demanda tempo e conhecimento técnico adicionais por parte dos responsáveis, o que limita sua efetividade. A investigação também analisou o chamado “efeito toca do coelho” (rabbit hole effect), no qual os sistemas de recomendação conduzem usuários especialmente menores a conteúdos potencialmente inadequados à sua idade, inclusive quando há declaração incorreta da faixa etária no cadastro. A decisão ainda não é definitiva. O TikTok terá agora a oportunidade de acessar o processo, analisar as evidências e apresentar uma defesa formal por escrito. Em nota, um porta-voz da empresa afirmou que as conclusões preliminares da Comissão apresentam uma visão “categoricamente falsa e sem mérito” da plataforma, e que a companhia utilizará todos os meios legais disponíveis para contestar o caso. O movimento da União Europeia ocorre em meio a um debate global sobre o impacto das redes sociais na saúde mental de crianças e adolescentes. Países como Austrália, Espanha e Reino Unido vêm adotando medidas para restringir ou proibir o uso de redes sociais por menores, ampliando a pressão regulatória sobre grandes empresas de tecnologia.

A Itália informou ter neutralizado uma série de ataques cibernéticos atribuídos a hackers ligados à Rússia que tiveram como alvo missões diplomáticas no exterior e sistemas relacionados aos Jogos Olímpicos de Inverno de 2026. A informação foi confirmada nesta quarta-feira pelo ministro das Relações Exteriores, Antonio Tajani. Segundo o chanceler, as tentativas de ataque atingiram diversas representações do Ministério das Relações Exteriores italiano no exterior, “começando por Washington”, além de infraestruturas ligadas ao evento esportivo, incluindo hotéis localizados na região alpina de Cortina d’Ampezzo, uma das sedes das competições. Detalhes técnicos sobre os incidentes não foram divulgados. De acordo com informações da France 24 , aproximadamente 120 alvos foram afetados, incluindo consulados italianos em cidades como Sydney, Toronto e Paris, além de hotéis que hospedam atletas de esportes de inverno. Apesar da escala, os ataques não causaram impactos significativos nas operações, segundo a emissora. A responsabilidade pelos ataques foi reivindicada pelo grupo hacker NoName057(16), que classificou a ofensiva como uma retaliação ao apoio da Itália à Ucrânia. Em publicação no Telegram, o grupo afirmou que a política pró-Ucrânia do governo italiano seria punida com ataques de negação de serviço distribuída (DDoS). O NoName057(16) surgiu pouco após a invasão em larga escala da Ucrânia pela Rússia, em 2022, e tem concentrado suas ações em países europeus que apoiam Kiev, como Polônia, República Tcheca, Lituânia e Itália. O grupo utiliza principalmente ataques DDoS tecnicamente simples, porém altamente disruptivos mobilizando voluntários e uma rede descentralizada de servidores. Os Jogos Olímpicos de Inverno de 2026 estão programados para ocorrer entre 6 e 22 de fevereiro de 2026, em Milão e na região de Cortina d’Ampezzo. A Rússia foi impedida de competir oficialmente nos Jogos devido à guerra na Ucrânia, embora um número limitado de atletas russos e bielorrussos tenha sido autorizado a participar como neutros, sem bandeiras ou hinos nacionais. Casos semelhantes já foram registrados em edições anteriores. Durante os Jogos Olímpicos de Inverno de 2018, na Coreia do Sul, um grupo hacker ligado ao Estado russo, conhecido como Sandworm (também chamado de APT44 ), comprometeu a infraestrutura de TI do evento com o malware Olympic Destroyer, em uma operação de falsa bandeira. Em 2016, outro grupo hacker associado ao Kremlin, o Fancy Bear , invadiu sistemas da Agência Mundial Antidoping, vazando dados médicos de atletas. Autoridades russas não comentaram publicamente, até o momento, as acusações feitas pela Itália.

A Microsoft definiu oficialmente o cronograma para a desativação e encerramento definitivo do Exchange Web Services (EWS) no Microsoft 365 e no Exchange Online, marcando o fim de uma das APIs mais antigas e utilizadas do ecossistema Exchange. De acordo com a empresa, o EWS será desativado por padrão a partir de 1º de outubro de 2026. Organizações que ainda dependem da tecnologia poderão manter o serviço ativo temporariamente ao configurar o parâmetro EWSEnabled = true até agosto de 2026. No entanto, a Microsoft deixou claro que o encerramento definitivo ocorrerá em 1º de abril de 2027, sem qualquer possibilidade de extensão. O EWS está oficialmente depreciado há anos, e sua aposentadoria foi anunciada pela Microsoft em 2023 . Em 2025, a empresa endureceu ainda mais a transição ao confirmar que determinados tipos de licença, como F1 e F2, não teriam mais permissão para utilizar a API. Criado originalmente no Exchange Server 2007, o EWS permite que aplicações acessem caixas de e-mail e repositórios de dados tanto no Exchange Online quanto no Exchange Server. Ao longo dos anos, a API se tornou amplamente adotada por integradores, soluções de terceiros e aplicações internas, incluindo versões clássicas do Outlook. Ao mesmo tempo, também passou a ser explorada por hackers, tornando-se um vetor frequente de abuso. Após o incidente de segurança envolvendo o grupo Midnight Blizzard, a Microsoft afirmou ter “elevado o nível de urgência” para aposentar definitivamente o EWS, reforçando preocupações relacionadas à superfície de ataque e à segurança da plataforma. A empresa destacou que a aposentadoria afeta apenas o Microsoft 365 e o Exchange Online. O Exchange Server on-premises não sofrerá alterações em relação ao suporte ao EWS. Para ambientes impactados, o cronograma significa que administradores que ainda não iniciaram ou concluíram a migração precisarão agir rapidamente. A recomendação oficial da Microsoft é migrar para o Microsoft Graph, embora a própria empresa reconheça que o serviço ainda está em “quase completa” paridade funcional com o EWS e que nem todas as aplicações internas da Microsoft concluíram a migração. Como forma de identificar dependências ocultas, a Microsoft também informou que poderá realizar “scream tests” temporários, desligando e religando o EWS de forma controlada para expor aplicações que ainda dependem da API. A empresa não detalhou, porém, como os administradores poderão diferenciar esses testes de falhas reais algo sensível em um cenário já marcado por interrupções recorrentes em serviços online. A Microsoft afirmou que mais informações serão divulgadas nas próximas semanas e foi categórica ao encerrar qualquer especulação sobre adiamentos: “Não haverá exceções após abril de 2027.”

A Metropolitan Transportation Authority (MTA), responsável pelo transporte público de Nova York, está testando novos modelos de catracas de metrô equipadas com câmeras e inteligência artificial (IA) para coletar dados de pessoas suspeitas de não pagar a tarifa. A iniciativa, ainda em fase experimental, já provoca forte reação de defensores da privacidade, que alertam para o risco de monitoramento constante de pedestres e usuários do transporte público. De acordo com representantes da Cubic , fabricante das catracas, o sistema ativa a gravação por cerca de cinco segundos sempre que identifica uma possível evasão de tarifa. A partir dessas imagens, algoritmos de IA geram uma descrição física do indivíduo, que é então encaminhada à MTA para análise. Segundo a empresa, o foco estaria na coleta de dados comportamentais e não na identificação direta de pessoas naquele momento. Em dezembro, a MTA publicou um pedido formal a fornecedores em busca de soluções que utilizem visão computacional avançada e inteligência artificial para detectar “comportamentos incomuns ou inseguros” no sistema de transporte. A iniciativa faz parte de um movimento mais amplo de ampliação de tecnologias de vigilância em espaços públicos e privados na cidade. Para moradores de Nova York, a medida se soma a uma crescente presença de sistemas de monitoramento . No início de janeiro, a rede de supermercados Wegmans passou a exibir avisos informando clientes sobre o uso de câmeras com reconhecimento facial em algumas lojas. Segundo a empresa, os dados biométricos são utilizados apenas para identificar indivíduos previamente sinalizados por má conduta, sem coleta de escaneamento de retina ou reconhecimento de voz. A companhia, no entanto, não informou por quanto tempo esses dados são armazenados. A legislação de Nova York exige que estabelecimentos informem claramente os clientes quando tecnologias de reconhecimento facial estão em uso. Ainda assim, segundo Michelle Dahl, diretora executiva do Surveillance Technology Oversight Project (S.T.O.P.), diversos grandes varejistas já utilizam esse tipo de tecnologia, incluindo T-Mobile, Madison Square Garden, Walmart, Home Depot, Fairway e Macy’s. Organizações de direitos civis alertam para um crescimento acelerado da vigilância biométrica tanto por empresas privadas quanto por órgãos públicos. Dahl afirma que muitos nova-iorquinos não percebem a dimensão dessa expansão. “As pessoas estão, em grande parte, caminhando passivamente para um estado de vigilância constante, e é hora de prestar atenção e reagir”, afirmou. Especialistas também destacam falhas conhecidas do reconhecimento facial, que apresenta menor precisão na identificação de minorias étnicas, especialmente pessoas negras. Esse fator levanta preocupações de que sistemas usados para detectar evasão de tarifa possam gerar falsos positivos e encaminhar indivíduos inocentes para abordagens policiais. A própria New York Police Department (NYPD) utiliza tecnologias biométricas há anos para monitoramento e investigação. Em novembro, o S.T.O.P. e a Amnesty International divulgaram documentos obtidos após uma disputa judicial de cinco anos, revelando que, até abril de 2020, a polícia nova-iorquina já havia investido mais de US$ 5 milhões em reconhecimento facial, além de gastos recorrentes anuais superiores a US$ 100 mil.

Um cidadão de Taiwan foi condenado a 30 anos de prisão nos Estados Unidos por atuar como administrador do Incognito Market, uma das maiores plataformas da dark web voltadas ao comércio ilegal de drogas. A sentença foi aplicada após a Justiça americana concluir que o site movimentou mais de US$ 105 milhões em vendas de entorpecentes ao longo de pouco mais de dois anos. Rui-Siang Lin, de 24 anos, se declarou culpado em dezembro de 2024 no Tribunal Federal do Distrito Sul de Nova York. Ele foi preso em maio de 2024 ao desembarcar no aeroporto JFK, em Nova York, durante uma escala em viagem para Singapura. Além da pena de prisão, Lin recebeu cinco anos de liberdade supervisionada e foi condenado a perder mais de US$ 105 milhões obtidos com as atividades criminosas. De acordo com documentos judiciais, Lin operou o Incognito Market entre janeiro de 2022 e março de 2024 sob o pseudônimo “Pharaoh”, supervisionando a venda de mais de 1.000 quilos de cocaína, 1.000 quilos de metanfetamina, centenas de quilos de outras drogas e pelo menos quatro quilos de suposto oxicodona, parte dela adulterada com fentanil. Promotores classificaram o Incognito Market como “um dos maiores mercados online de narcóticos do mundo”. Mesmo envolvido com o crime organizado digital, Lin vivia e trabalhava em Santa Lúcia, onde atuava como técnico auxiliar para o governo de Taiwan. Em redes sociais, ele chegou a se gabar de ter ministrado um treinamento de quatro dias para policiais locais sobre “cibercrime e criptomoedas”, enquanto comandava uma das maiores operações ilegais da dark web. Segundo o Department of Justice, o Incognito Market contava com cerca de 1.800 vendedores e mais de 400 mil contas de clientes, tendo facilitado aproximadamente 640 mil transações de drogas. Os vendedores pagavam uma taxa inicial para ingressar na plataforma e repassavam 5% de cada venda a Lin e seus cúmplices. Estima-se que Lin tenha obtido US$ 6 milhões em lucro pessoal. A investigação foi conduzida pelo FBI, que iniciou a apuração em 2022 após agentes infiltrados realizarem compras de drogas no site. Mandados de busca foram cumpridos em julho de 2022 e agosto de 2023. O Departamento de Justiça também associou o Incognito Market à morte de um jovem de 27 anos no estado do Arkansas, após ingestão de comprimidos vendidos como oxicodona, mas que continham fentanil. Em março de 2024, Lin encerrou abruptamente a plataforma e desviou pelo menos US$ 1 milhão de compradores. Ele também passou a extorquir vendedores e clientes, ameaçando divulgar históricos de uso e endereços de criptomoedas caso não recebesse pagamentos. Uma das mensagens registradas nos autos dizia explicitamente: “YES, THIS IS AN EXTORTION!!!”. Os investigadores conseguiram rastrear a administração do site até Lin após ele registrar um domínio usando uma carteira de criptomoedas vinculada ao seu nome. As contas estavam associadas a um número de telefone de Taiwan, endereço em Taipei e um e-mail pessoal. Além disso, Lin utilizou os mesmos dados ao solicitar um visto americano em 2023 e chegou a empregar sua carteira de motorista taiwanesa como prova de identidade em transações cripto. Durante a sentença, a juíza federal Colleen McMahon afirmou que o Incognito Market transformou Lin em um verdadeiro “rei do tráfico online”, classificando o caso como “o crime relacionado a drogas mais grave” que ela enfrentou em quase três décadas no Judiciário.

A operadora nacional de oleodutos da Romênia, Conpet, confirmou que foi alvo de um ataque cibernético que afetou parte de sua infraestrutura tecnológica e deixou seu site fora do ar no início desta semana. Segundo a empresa, no entanto, as operações de transporte de petróleo não foram impactadas. A Conpet é responsável pela operação de aproximadamente 3.800 quilômetros de oleodutos, que abastecem refinarias em todo o país com petróleo bruto e derivados, tanto de origem nacional quanto importada. Em comunicado oficial , a companhia afirmou que seus sistemas de tecnologia operacional (OT), incluindo os ambientes de SCADA e telecomunicações, permaneceram plenamente funcionais durante o incidente. De acordo com a empresa, o ataque não comprometeu a estabilidade operacional nem a capacidade de cumprir obrigações contratuais. Apesar disso, a Conpet não divulgou detalhes técnicos sobre o vetor de ataque, nem confirmou oficialmente qualquer vazamento de dados até o momento. Mesmo sem confirmação pública, o grupo de ransomware Qilin incluiu a Conpet em seu site de vazamentos na dark web, alegando ter exfiltrado quase 1 terabyte de dados. Entre os materiais supostamente roubados estariam documentos internos, registros financeiros e cópias de passaportes, com imagens já divulgadas como prova do ataque. A Conpet informou que suas equipes técnicas atuaram imediatamente para conter o incidente e que está colaborando com as autoridades nacionais de cibersegurança da Romênia na investigação e na recuperação dos sistemas afetados. A empresa também registrou uma queixa criminal. Até a última atualização, o site institucional da Conpet seguia indisponível. O grupo Qilin, que opera no modelo de ransomware-as-a-service (RaaS) e é ativo desde 2022, consolidou-se como um dos mais destrutivos ao longo de 2025. O grupo já reivindicou ataques contra hospitais, órgãos governamentais e empresas privadas, incluindo municípios dos Estados Unidos, a multinacional japonesa Asahi e uma das maiores redes de jornais norte-americanas. Também há registros de ataques atribuídos ao grupo contra governos da Malásia e de Palau. O incidente se soma a uma sequência de ataques de ransomware registrados recentemente na Romênia. Em dezembro, a agência nacional de gestão de recursos hídricos do país sofreu um ataque que bloqueou cerca de 1.000 computadores, após hackers utilizarem o BitLocker em uma tentativa de extorsão. No mesmo mês, o Oltenia Energy Complex , maior produtor de energia a carvão do país, também foi atingido por ransomware, com impactos temporários em sua infraestrutura de TI.