Especialistas em segurança cibernética estão pressionando a Cybersecurity and Infrastructure Security Agency (CISA) a estabelecer padrões mínimos e obrigatórios para proteger sistemas de tecnologia operacional (OT) utilizados por agências federais civis dos Estados Unidos. A proposta foi apresentada pela Operational Technology Cybersecurity Coalition (OTCC) em um white paper divulgado na terça-feira. O grupo defende a criação de uma nova Binding Operational Directive (BOD), instrumento que permite à CISA impor requisitos de segurança às agências federais, especificamente voltada para ambientes OT. Tecnologias operacionais são utilizadas para monitorar e controlar processos físicos e estão presentes em sistemas de energia, água, climatização, controle de acesso e automação predial. Segundo a OTCC, ataques recentes contra centenas de sistemas de água em pelo menos 12 estados americanos demonstram que esses ambientes se tornaram alvos relevantes tanto para grupos de cibercrime quanto para agentes ligados a Estados. Em vários desses incidentes, os dispositivos afetados apresentavam problemas básicos de segurança: estavam expostos diretamente à internet, utilizavam senhas padrão ou não possuíam autenticação e não estavam segmentados das demais áreas da rede. O risco também está presente na infraestrutura federal. Agências civis dos EUA utilizam mais de 8 mil prédios próprios ou alugados, incluindo laboratórios, hospitais, instalações de pesquisa e pontos de entrada no país. Esses locais dependem de sistemas OT para climatização, energia, abastecimento de água, controle de acesso e automação. A OTCC citou uma análise recente de um órgão de fiscalização do governo que identificou falhas no inventário desses ativos. Das 22 agências civis avaliadas, apenas sete haviam cumprido integralmente as exigências da Casa Branca para catalogar dispositivos OT e de Internet das Coisas (IoT) conectados às redes. O prazo para concluir os inventários terminou em setembro de 2024. Para Tatyana Bolton, diretora-executiva da OTCC, o resultado confirma um problema recorrente: as agências não conseguem proteger adequadamente ativos que sequer conseguem identificar. Segundo ela, orientações voluntárias não foram suficientes para eliminar essa lacuna, enquanto uma diretiva vinculante poderia criar requisitos claros e permitir que a CISA acompanhasse seu cumprimento. Atualmente, grande parte das agências federais civis administra seus próprios ambientes OT, o que limita a visibilidade centralizada da CISA sobre a postura de segurança desses sistemas. A coalizão também argumenta que o avanço da inteligência artificial reduziu as barreiras para ataques mais sofisticados, aumentando a exposição das tecnologias operacionais. A CISA já adotou diretivas obrigatórias em situações nas quais medidas voluntárias não produziram os resultados esperados. Para a OTCC, uma nova BOD permitiria estabelecer um padrão uniforme para as agências civis federais e medir de forma consistente o nível de conformidade. Embora essas diretivas não sejam obrigatórias para empresas privadas ou governos locais, o grupo avalia que os requisitos federais também funcionariam como referência de boas práticas para outros operadores de infraestrutura. A CISA não comentou o documento. Michael Garcia, diretor de políticas da OTCC, afirmou que a coalizão manteve contato com a agência durante a elaboração do relatório e compartilhou a versão final antes de sua publicação. O relatório de oito páginas propõe uma linha de base de prevenção e contenção baseada em inventário e visibilidade dos ativos OT, segmentação de redes, controles obrigatórios para acesso remoto, configurações padronizadas, preparação para incidentes e mecanismos testados de backup e recuperação. A OTCC também recomenda que cada agência designe um executivo ou escritório responsável pela segurança de OT. Essa estrutura ficaria encarregada de administrar o inventário dos ativos, estabelecer configurações de referência e preparar os ambientes para possíveis incidentes, incluindo planos de backup, recuperação e avaliações de risco. Segundo Garcia, a tecnologia operacional frequentemente fica em uma “zona cinzenta” entre as equipes do Chief Information Officer (CIO) e os responsáveis pela infraestrutura física dos prédios. Sem uma definição clara de responsabilidade, controles essenciais podem acabar sem um responsável direto. Entre as medidas consideradas prioritárias estão ações relativamente básicas, como eliminar senhas padrão, segmentar redes e controlar adequadamente o acesso remoto. Dave Williams, especialista em segurança OT da empresa Elisity, destacou que a definição de responsabilidade é fundamental para implementar as demais recomendações. Em muitas instalações, sistemas como climatização, leitores de crachá e energia são administrados pelas equipes prediais, enquanto a infraestrutura de rede pertence à área de TI. Para Williams, estabelecer formalmente quem responde pelos riscos de segurança permite definir antecipadamente como prioridades e limitações de recursos serão tratadas. Uma diretiva obrigatória poderia forçar cada agência a atribuir essa responsabilidade de forma explícita, em vez de depender apenas de novas orientações voluntárias.

O Departamento de Estado dos Estados Unidos está oferecendo uma recompensa de até US$ 10 milhões por informações que levem à localização de Zhang Yu, cidadão chinês acusado de participar da campanha hacker Hafnium, responsável pelo comprometimento de milhares de computadores em diferentes países. Segundo autoridades americanas, Zhang atua como diretor da Shanghai Firetech Information Science and Technology e teria trabalhado em nome do governo chinês em operações destinadas a invadir sistemas e roubar grandes volumes de documentos e e-mails. Zhang é acusado de atuar ao lado de Xu Zewei em ataques que teriam resultado no roubo de pesquisas relacionadas à COVID-19 conduzidas por universidades, imunologistas e virologistas nos Estados Unidos. O Departamento de Estado afirma que as operações também tiveram como alvos pelo menos uma universidade e um escritório de advocacia. As autoridades americanas acusam Zhang de violar a Computer Fraud and Abuse Act (CFAA), principal legislação federal dos EUA utilizada em processos relacionados a acesso não autorizado a sistemas computacionais. Enquanto Zhang permanece foragido, Xu foi preso por autoridades italianas em julho de 2025, durante uma viagem a Milão. Ele foi posteriormente extraditado para os Estados Unidos em abril. Uma acusação criminal com nove indiciamentos, divulgada pelo Departamento de Justiça dos EUA no ano passado, atribuiu a Zhang e Xu participação em invasões realizadas entre fevereiro de 2020 e junho de 2021. Entre essas operações está a campanha Hafnium, descrita pelos promotores americanos como uma ação indiscriminada que comprometeu milhares de computadores em todo o mundo, incluindo sistemas localizados nos Estados Unidos. De acordo com a acusação, os dois homens teriam realizado os ataques sob orientação de serviços de inteligência chineses, especificamente o Ministério da Segurança do Estado (MSS) e o Shanghai State Security Bureau (SSSB). Os promotores afirmam que os suspeitos reportavam os resultados das operações a oficiais supervisores do SSSB. Em um dos episódios descritos pelas autoridades, Xu teria confirmado o comprometimento da rede de uma universidade de pesquisa localizada no Distrito Sul do Texas. Brett Leatherman, diretor assistente da divisão cibernética do FBI, afirmou no ano passado que a campanha Hafnium teve como alvo mais de 60 mil entidades nos Estados Unidos e conseguiu comprometer mais de 12,7 mil delas com o objetivo de obter informações sensíveis. A recompensa de US$ 10 milhões amplia os esforços americanos para localizar Zhang enquanto o processo contra os envolvidos nas operações continua nos Estados Unidos.

Ataques cibernéticos, sabotagens e ameaças à infraestrutura crítica associados à Rússia geram prejuízos estimados entre 2 bilhões e 2,5 bilhões de libras (US$ 2,6 bilhões a US$ 3,3 bilhões) por ano ao Reino Unido. Apesar do impacto econômico, o governo britânico ainda não possui mecanismos oficiais para calcular os custos dessas atividades. A estimativa foi apresentada no relatório The Putin Tax (O Imposto de Putin), publicado em 7 de outubro pelo parlamentar trabalhista Graeme Downie e pelo pesquisador Dominic Reed. O documento aponta que os valores representam uma estimativa mínima e que os prejuízos reais podem ser maiores. Os autores reconhecem limitações metodológicas nos cálculos, mas destacam que a principal preocupação é a ausência de avaliações oficiais. Segundo o relatório, essa lacuna dificulta a comparação entre os prejuízos provocados por atividades hostis e os investimentos necessários para proteger empresas, serviços públicos e infraestruturas estratégicas. Para identificar essa deficiência, Downie encaminhou questionamentos parlamentares a diferentes departamentos governamentais. As respostas indicaram que os ministérios não possuíam estimativas consolidadas sobre o impacto econômico de incidentes associados ao Kremlin. Entre os exemplos estão dois ataques de ransomware contra organizações britânicas: um direcionado à Advanced, fornecedora de software do Serviço Nacional de Saúde (NHS), e outro contra a Royal Mail, responsável pelos serviços postais do país. Os ataques foram associados a um grupo criminoso que, segundo o relatório, operaria com consentimento tácito do Kremlin e, em determinadas circunstâncias, manteria conexões com a inteligência russa. Entretanto, não foram realizadas avaliações governamentais específicas sobre os custos desses incidentes. O documento também menciona o ataque cibernético de agosto de 2025 contra a Jaguar Land Rover, cujo impacto econômico foi estimado em aproximadamente US$ 2,5 bilhões. Apesar de sua inclusão na análise, o governo britânico não atribuiu formalmente o incidente a hackers vinculados à Rússia. Outro episódio citado ocorreu em 2024, quando um incêndio criminoso atingiu um armazém em Londres. Segundo as autoridades, a ação foi ordenada pelo Grupo Wagner, organização paramilitar russa. Como os prejuízos foram calculados A maior parcela da estimativa apresentada no relatório considera que a Rússia seria responsável por aproximadamente 10% dos 14,7 bilhões de libras (US$ 19,3 bilhões) que o cibercrime custa anualmente às empresas britânicas. Essa proporção resultaria em aproximadamente 1,47 bilhão de libras em prejuízos anuais, embora os autores reconheçam que o percentual utilizado não decorre de uma atribuição precisa dos ataques. Outros componentes do cálculo incluem possíveis perdas relacionadas a ameaças contra cabos submarinos de comunicação e outras infraestruturas críticas. Esses valores também foram obtidos por modelos de estimativa, e não por registros públicos completos de incidentes. A pesquisa ressalta que a ausência de dados consolidados impede uma avaliação precisa das consequências financeiras de operações cibernéticas, sabotagens e outras atividades atribuídas a Estados estrangeiros. Falta de transparência dificulta investimentos em segurança A preocupação apresentada no relatório também foi levantada pelo general Sir Jim Hockenhull, ex-chefe da Inteligência de Defesa britânica, durante entrevista ao Recorded Future News. Segundo Hockenhull, o Reino Unido enfrenta dificuldades para demonstrar à população a necessidade de ampliar investimentos em segurança nacional porque parte significativa das informações utilizadas para justificar essas medidas permanece classificada. O ex-chefe de inteligência argumentou que manter as evidências restritas a autoridades e dirigentes políticos significa solicitar confiança pública sem apresentar informações suficientes para fundamentar as decisões. Ele também defendeu uma atuação coordenada entre governo e sociedade para explicar os riscos associados às ameaças externas. Na avaliação do militar, alertas genéricos sobre possíveis conflitos não são suficientes para justificar investimentos que competem com áreas como saúde e educação. Relatório recomenda avaliações econômicas anuais Entre as principais recomendações, Downie propõe que o governo britânico publique avaliações anuais sobre os impactos econômicos de atividades hostis conduzidas por Estados estrangeiros. O documento também sugere que o Centro Nacional de Segurança Cibernética (NCSC) inclua estimativas financeiras em seus relatórios de atribuição de ataques. Outra proposta prevê que o Ministério da Defesa desenvolva uma metodologia para calcular os custos de sabotagens e outras operações físicas hostis. Os autores ainda recomendam uma campanha nacional de conscientização sobre ameaças patrocinadas por Estados e resiliência cibernética, buscando ampliar a compreensão pública dos riscos. Para Downie, o principal desafio deixou de ser demonstrar a existência dessas atividades e passou a ser estabelecer mecanismos capazes de mensurar seus impactos econômicos. Governo britânico destaca medidas contra atividades russas Em resposta ao relatório, um porta-voz do governo britânico classificou os ataques híbridos atribuídos à Rússia como inaceitáveis e afirmou que o país já adotou medidas para combater essas operações. Entre as iniciativas mencionadas estão a expulsão de agentes de inteligência russos, sanções contra a GRU, serviço de inteligência militar da Rússia, e ações contra redes financeiras ilícitas. O governo também destacou esforços para interromper atividades de grupos criminosos que atuariam como intermediários de interesses russos. Por fim, o representante reafirmou o

O presidente da Coreia do Sul, Lee Jae Myung, defendeu o desenvolvimento de ferramentas de segurança baseadas em inteligência artificial capazes de detectar e bloquear ataques cibernéticos antes que eles atinjam organizações e infraestruturas críticas do país. A declaração foi feita durante uma reunião com o gabinete, após uma sequência de incidentes envolvendo vazamentos de informações pessoais em instituições financeiras e públicas. Lee afirmou que há indícios de utilização de inteligência artificial nesses episódios, situação que estaria aumentando a preocupação da população. Entre os casos recentes estão o incidente envolvendo a varejista Coupang e ataques contra bancos sul-coreanos que resultaram na exposição de dados de clientes. O presidente pediu que as autoridades identifiquem rapidamente as circunstâncias dos incidentes e mobilizem pessoal e recursos para minimizar possíveis danos. Ao mesmo tempo, defendeu uma mudança na postura de segurança digital do país, passando de uma abordagem predominantemente reativa para mecanismos capazes de antecipar atividades maliciosas. Segundo Lee, o governo precisa desenvolver capacidades que permitam “detectar ataques antecipadamente e bloqueá-los de forma preventiva”. Para isso, os ministérios responsáveis deverão revisar os sistemas de segurança de toda a infraestrutura considerada essencial para o país, além de avaliar ambientes do setor privado e implementar medidas adicionais quando necessário. Outra prioridade apresentada pelo presidente é acelerar o desenvolvimento e a adoção de tecnologias de IA especificamente voltadas à cibersegurança. A proposta surge em um momento em que ferramentas de inteligência artificial também podem ser utilizadas por invasores para automatizar determinadas etapas de ataques e ampliar a escala de operações maliciosas. Lee afirmou que a Coreia do Sul precisa promover uma “renovação completa do paradigma de segurança” para adaptá-lo à era da inteligência artificial. O processo deverá envolver colaboração entre governo e empresas para modificar tecnologias, sistemas e práticas relacionadas à segurança. Apesar da ambição das declarações, transformar a proposta em ferramentas capazes de impedir todos os ataques cibernéticos representa um desafio técnico significativo. O escopo apresentado pelo presidente envolve desde infraestruturas nacionais críticas até empresas privadas, exigindo que ministérios, órgãos públicos e companhias de tecnologia convertam as diretrizes em políticas e mecanismos concretos de defesa. Enquanto a Coreia do Sul discute uma estratégia de cibersegurança baseada em IA, a Austrália também debate os impactos da tecnologia. Jason Kwon, diretor de estratégia da OpenAI, participou de uma audiência parlamentar sobre o acesso de agentes da empresa a um site governamental de registros médicos. Kwon reconheceu que a empresa poderia ter adotado uma abordagem melhor do que enviar um e-mail para o endereço destinado a denúncias de abuso da agência governamental responsável, mas defendeu as medidas adotadas pela companhia para aprender com o episódio envolvendo a Hugging Face. O Parlamento australiano também discute possíveis mudanças nas regras de direitos autorais relacionadas ao treinamento de modelos de IA. Entre as questões está como remunerar criadores cujas obras são utilizadas no treinamento desses sistemas, ao mesmo tempo em que o governo avalia os possíveis impactos regulatórios sobre investimentos em datacenters e a disponibilidade de modelos avançados de IA dentro do país.

O criador do Ruby on Rails, David Heinemeier Hansson (DHH), provocou um debate entre desenvolvedores após publicar um experimento no qual agentes de inteligência artificial reescreveram e otimizaram o aplicativo de chat Campfire em Rust, Go e Elixir. Os resultados foram comparados com a implementação original desenvolvida em Ruby on Rails. O teste foi divulgado semanas depois de DHH defender, durante a Rails World 2026, que os avanços da IA reduziram drasticamente a necessidade de desenvolvedores escreverem código manualmente. Segundo DHH, cada reimplementação levou apenas algumas horas. Ele não revelou quais serviços ou modelos de IA foram utilizados, mas afirmou que o processo foi facilitado pelo tamanho relativamente compacto do código original do Campfire, escrito principalmente em Ruby. Os números publicados chamaram atenção. No teste para servir uma página de sala do aplicativo, a implementação em Rust alcançou 36.260 requisições por segundo. Go registrou 3.860, Elixir chegou a 722 e Ruby on Rails ficou em 241 requisições por segundo. Rust também terminou à frente nos outros quatro workloads avaliados, incluindo operações como pesquisar e publicar mensagens. A publicação e o gráfico compartilhados por DHH ultrapassaram 900 mil visualizações. Para o criador do Rails, os resultados indicariam que reescrever aplicações em Rust — especialmente com agentes de IA realizando grande parte do trabalho — pode proporcionar ganhos expressivos de desempenho. DHH reconheceu, porém, que velocidade de execução não é o único critério para escolher uma linguagem. Rust, por exemplo, pode apresentar tempos de compilação elevados e uma curva de aprendizado mais difícil. O próprio Rails surgiu em 2003, enquanto DHH desenvolvia o Basecamp, com a proposta de aproveitar Ruby para simplificar o desenvolvimento e aumentar a produtividade, mesmo sacrificando parte do desempenho. A comparação, entretanto, rapidamente recebeu críticas de desenvolvedores que questionaram a metodologia utilizada. Parte da comunidade apontou que a implementação em Rust teria recebido muito mais trabalho de otimização após a geração inicial do código, enquanto as versões em Go e Elixir teriam permanecido próximas das primeiras respostas produzidas pelos agentes. A engenheira do Google Jaana Dogan questionou publicamente os resultados, sugerindo que os números deveriam imediatamente levantar dúvidas sobre o que realmente estava sendo medido. A reação da comunidade Elixir foi ainda mais prática. Desenvolvedores revisaram e reescreveram partes da implementação usada no experimento e conseguiram tornar seu desempenho comparável ao de Rust. Em alguns workloads, a versão otimizada em Elixir chegou a superar Rust, mesmo após otimizações adicionais feitas por terceiros no código Rust. Defensores de Go levantaram críticas semelhantes. O argumento é que o benchmark não estaria comparando apenas as características das linguagens, mas também diferentes níveis de esforço aplicados a cada implementação. Em outras palavras, parte da vantagem observada poderia refletir quanto cada versão foi otimizada, e não exclusivamente o desempenho de Rust. DHH respondeu que agentes avançados deveriam ser capazes de encontrar as otimizações necessárias por conta própria. Para ele, se os agentes não conseguem identificar os mecanismos necessários para tornar uma implementação em Elixir mais rápida, isso também seria relevante na avaliação de um cenário em que a IA assume parcela crescente da programação. A controvérsia não invalida o argumento de que agentes de IA podem acelerar significativamente processos de reescrita e otimização de software. O experimento, porém, também evidencia uma limitação importante: código produzido por IA e benchmarks gerados a partir dele ainda dependem de metodologia consistente, revisão humana e condições equivalentes para que comparações de desempenho sejam confiáveis.

O grupo de ransomware BYOD afirma ter comprometido a Trump Mobile e publicado informações pessoais de 3.615 clientes da operadora. O conjunto de dados supostamente roubado inclui nomes, endereços de e-mail, números de telefone, endereços residenciais e detalhes de pedidos. O BYOD é uma operação recente de ransomware-as-a-service (RaaS) e a Trump Mobile é apenas a terceira organização publicada em seu site de vazamentos. Segundo mensagens divulgadas pelos próprios criminosos, a empresa teria sido avisada sobre a invasão antes da publicação dos dados. Nem a Trump Organization nem a Liberty Mobile deram esclarecimento. Os hackers disseram ao International Cyber Digest que o acesso inicial teria ocorrido após um funcionário da Liberty Mobile ser infectado por um infostealer, malware projetado para roubar credenciais e outras informações. A partir desse comprometimento, o grupo afirma ter conseguido acessar a Trump Mobile por meio da operadora virtual (MVNO). O BYOD também alega continuar com acesso aos sistemas da Trump Mobile e afirma que nenhuma das duas empresas utilizava autenticação multifator (MFA). Essas informações, no entanto, são declarações dos próprios invasores e não foram confirmadas pelas empresas envolvidas. Segundo a Straight Arrow News, que noticiou inicialmente o incidente e verificou informações de alguns clientes, o material publicado não contém dados do presidente dos Estados Unidos, Donald Trump, nem de integrantes de sua família. O vazamento, porém, inclui informações pessoais atribuídas a Eric Brunnett, vice-presidente e diretor de informação da Trump Organization. De acordo com seu perfil no LinkedIn, Brunnett é responsável pelas áreas de tecnologia da informação e segurança da informação da organização. A reportagem também identificou outro problema envolvendo a Trump Mobile. Um cliente contatado pela Straight Arrow News afirmou ter pago US$ 100 no ano passado como depósito de pré-venda do T1, smartphone anunciado como principal dispositivo da empresa, mas disse que nunca recebeu o aparelho dourado. O caso pode ainda estar relacionado a uma publicação anterior. Uma semana antes da divulgação feita pelo BYOD, outro grupo criminoso, chamado EndZone, também alegou ter invadido a Trump Mobile e publicou um conjunto de dados roubados. Segundo o pesquisador de segurança Dominic Alvieri, os dois episódios aparentemente estão relacionados à mesma invasão original. Os incidentes se somam a um problema de segurança identificado anteriormente no site da Trump Mobile. Em maio, um pesquisador conhecido como “Louis” afirmou ter encontrado uma vulnerabilidade, posteriormente corrigida, que permitia acessar informações de clientes por meio de uma simples requisição POST. Até o momento, as alegações de acesso persistente aos sistemas, ausência de MFA e detalhes sobre a cadeia de comprometimento permanecem baseadas principalmente nas declarações dos invasores, já que as empresas citadas não responderam aos questionamentos da reportagem.

O FBI e o Serviço Secreto dos Estados Unidos (USSS) alertaram que criminosos estão usando credenciais associadas à campanha FortiBleed para comprometer dispositivos Fortinet e, em alguns casos, impedir que as próprias organizações acessem seus firewalls. Em um alerta conjunto, as agências citaram dados verificados pela SOCRadar que apontam mais de 86.644 dispositivos comprometidos em 194 países. Segundo o documento, algumas vítimas podem perder o acesso aos equipamentos Fortinet depois que os invasores excluem contas legítimas ou alteram suas senhas. Durante a invasão inicial, os hackers também criam novas contas que não existiam anteriormente nos dispositivos. Em determinados casos, contas existentes são removidas para dificultar a recuperação do ambiente e manter a persistência enquanto os invasores tentam realizar movimentação lateral pela rede. A campanha tem como alvo firewalls FortiGate e gateways SSL VPN expostos à internet. Os criminosos utilizam credenciais obtidas em vazamentos anteriores e registros coletados por malwares infostealers para executar ataques de credential stuffing e password spraying. Depois de obter acesso aos equipamentos, os invasores extraem hashes de senhas e tentam quebrá-los offline utilizando clusters acelerados por GPUs, ampliando a possibilidade de reutilização das credenciais em outros sistemas e etapas do ataque. Diante da atividade, FBI e USSS recomendam restringir o acesso às interfaces de gerenciamento expostas à internet, encerrar sessões administrativas e VPN ativas, redefinir senhas e habilitar autenticação multifator resistente a phishing. O alerta também relaciona a FortiBleed a operações de ransomware. Segundo as autoridades, initial access brokers — criminosos especializados em obter e comercializar acesso inicial a redes corporativas — forneceram ambientes comprometidos para afiliados de grupos de ransomware. As evidências disponíveis apontam para o uso dessas credenciais por afiliados ligados aos grupos INC/Lynx e Payload. Em julho, a SOCRadar informou ter identificado pelo menos 12 ataques de ransomware confirmados decorrentes da campanha FortiBleed. FBI e Serviço Secreto pediram que organizações afetadas comuniquem os incidentes às autoridades, embora tenham ressaltado que o fornecimento dessas informações não é obrigatório em resposta ao alerta. As agências afirmam que os relatos podem ajudar na identificação de indicadores de comprometimento e também recomendam que vítimas não realizem pagamentos de resgate.

Amir Barati, cidadão iraniano e turco de 40 anos acusado pelos Estados Unidos de participar de uma ampla campanha de invasões contra universidades e empresas, foi extraditado de Montenegro. Segundo promotores norte-americanos, a operação resultou no roubo de pelo menos 31 terabytes de dados acadêmicos e propriedade intelectual. Barati foi preso em 25 de junho pela polícia de Montenegro após a emissão de um mandado de prisão pelo FBI. Ele estava de férias em Kotor, município turístico localizado na costa do país, quando foi detido. Nesta semana, um tribunal montenegrino emitiu a decisão final autorizando sua extradição. Em agosto, o Departamento de Justiça dos Estados Unidos (DOJ) incluiu Barati em uma acusação com 14 imputações envolvendo 17 pessoas. Promotores afirmam que a campanha era conduzida por meio de uma empresa iraniana conhecida como Mabna Institute e realizada em nome da Guarda Revolucionária Islâmica do Irã (IRGC). Barati é apontado como uma figura importante na operação que teria comprometido contas de e-mail de universidades e outras instituições de pesquisa ao redor do mundo. Os invasores são acusados de roubar periódicos acadêmicos, teses, dissertações, livros eletrônicos e outros documentos relacionados a dezenas de áreas de conhecimento. Autoridades norte-americanas estimaram em US$ 3,4 bilhões os danos atribuídos às atividades do grupo. Segundo os promotores, Barati acompanhava o andamento das campanhas de spear phishing, compartilhava credenciais de contas comprometidas com outros integrantes, elaborava listas de alvos, realizava reconhecimento de redes e preparava mensagens de phishing. O DOJ afirma que a operação comprometeu 144 universidades e 42 empresas dos Estados Unidos, além de 178 universidades e pelo menos 11 empresas de outros países. Entre 2013 e 2017, a campanha teria conseguido atingir aproximadamente 8 mil contas de e-mail pertencentes a professores. As credenciais roubadas eram posteriormente utilizadas para acessar as contas e os recursos acadêmicos disponíveis às vítimas. De acordo com o Departamento de Justiça, os documentos obtidos foram fornecidos ao governo iraniano e também comercializados por meio de dois sites para universidades no Irã. Uma dessas plataformas permitia que clientes iranianos utilizassem contas comprometidas de professores para acessar sistemas de bibliotecas digitais de diversas universidades norte-americanas. As instituições afetadas teriam desembolsado aproximadamente US$ 20 milhões para investigar os incidentes e realizar trabalhos de remediação. Barati responde a múltiplas acusações relacionadas a conspiração para invasão de computadores, fraude eletrônica, fraude computacional e roubo de identidade. O veículo Iran International também atribuiu a Barati um histórico anterior de atividades hackers no Irã, incluindo a criação de grupos como Iran Black Hats Team e Digital Boys Underground Team, que teriam sido acusados de ataques contra Microsoft, MIT e outras organizações. Segundo o veículo, Barati foi preso pelo Ministério da Inteligência do Irã em 2010 e teria sido coagido a trabalhar para o órgão durante vários anos. Posteriormente, deixou o país, mudou de nome em 2021 e tornou-se cidadão turco.

O MI5, serviço de inteligência e segurança doméstica do Reino Unido, alertou que mais de 100 acadêmicos ligados ao país participaram de projetos de pesquisa financiados por uma organização que, segundo a agência, atua em nome do Ministério da Segurança do Estado da China (MSS). Em um “Security Service Espionage Alert” emitido em 30 de setembro de 2026, o MI5 afirmou que o principal objetivo do China General Technology Research Institute (CGTRI) é financiar pesquisas capazes de ampliar diretamente as capacidades técnicas do MSS para operações de espionagem. Também conhecido como China Academy of General Technology (CAGT), o CGTRI é considerado pelo MI5 uma organização de fachada vinculada ao serviço de inteligência chinês. A entidade financia pesquisas acadêmicas na China em áreas como inteligência artificial, cibersegurança, sistemas de comunicação clandestina e esteganografia — técnica utilizada para ocultar informações dentro de outros arquivos ou meios digitais. Segundo o alerta, mais de 100 acadêmicos ligados ao Reino Unido contribuíram para projetos financiados pelo MSS por meio do CGTRI. O MI5 ressalta, porém, que em alguns casos os pesquisadores podem não ter conhecimento de que o instituto está fornecendo recursos financeiros aos projetos chineses dos quais participam. A agência britânica afirma que essas atividades contribuem para capacidades de espionagem do MSS e representam uma ameaça à segurança nacional do Reino Unido. Universidades e outras instituições acadêmicas britânicas foram orientadas a revisar imediatamente colaborações em andamento ou planejadas envolvendo o CGTRI. O MI5 também recomenda rastrear a origem dos recursos financeiros em projetos desenvolvidos com instituições chinesas para verificar se o instituto participa direta ou indiretamente do financiamento. O alerta acrescenta que instituições, funcionários e pesquisadores que continuarem colaborando com determinadas atividades podem enfrentar processos com base no National Security Act 2023 caso forneçam assistência material a um serviço de inteligência estrangeiro em operações relacionadas ao Reino Unido. A Embaixada da China no Reino Unido rejeitou as acusações, classificando-as como “fabricadas”. Segundo um porta-voz, as colaborações entre universidades britânicas e chinesas são voluntárias, seguem as leis e regulamentos aplicáveis e oferecem benefícios para ambos os países. Pequim também pediu que as autoridades britânicas não prejudiquem intercâmbios educacionais e a cooperação científica entre as duas nações. O alerta surge após outras acusações envolvendo a influência chinesa no ambiente acadêmico britânico. Em agosto de 2025, um relatório do think tank U.K.-China Transparency (UKCT) afirmou que estudantes chineses em universidades do Reino Unido estariam sendo pressionados a monitorar colegas com o objetivo de restringir discussões sobre assuntos considerados sensíveis pelo governo chinês. A embaixada chinesa também rejeitou essas alegações. O UKCT afirma que o CGTRI possui sobreposição identificável de funcionários com a University of International Relations da China, instituição descrita pelo think tank como estreitamente ligada ao MSS. A organização também aponta que o instituto atua em áreas como cibersegurança, inteligência de sinais e ferramentas baseadas em IA para objetivos estratégicos nacionais. Segundo o UKCT, algumas dessas especialidades podem contribuir para capacidades utilizadas em operações cibernéticas. O think tank relaciona esse tipo de conhecimento a ataques anteriormente atribuídos por autoridades britânicas a órgãos do governo chinês contra empresas, universidades, serviços públicos e infraestrutura do Reino Unido.

Agentes de inteligência artificial da OpenAI teriam acessado e coletado dados de mais de 50 sites de organizações públicas e privadas durante um período de seis meses, segundo uma investigação divulgada pela Asymmetric Security. A atividade teria ido além de pesquisas convencionais na web e incluído técnicas semelhantes às utilizadas por hackers para reconhecimento e obtenção de acesso. A Asymmetric Security, startup de forense digital fundada por profissionais com passagens por CrowdStrike, RAND, Palo Alto Networks e Stanford, afirma ter iniciado a investigação após relatos envolvendo agentes da OpenAI e incidentes contra o governo australiano e o Departamento de Educação dos Estados Unidos. Segundo os pesquisadores, foram identificadas atividades direcionadas a 55 sites entre março e 20 de setembro. Entre os alvos estavam o Crime Data Explorer do FBI, os Centros de Controle e Prevenção de Doenças dos Estados Unidos (CDC), a Agência Internacional de Energia (IEA) e a Mayo Clinic. A maior parte das informações coletadas seria pública. No entanto, a Asymmetric afirma que os registros analisados mostram comportamentos que ultrapassaram simples consultas, incluindo tentativas de localizar arquivos de configuração expostos, criar contas, encaminhar solicitações por serviços de terceiros e recuperar resultados por canais não previstos. Os pesquisadores também disseram ter encontrado indícios de técnicas destinadas a apagar registros da atividade. Segundo a empresa, isso dificulta determinar apenas com as evidências públicas disponíveis se os agentes conseguiram acessar informações sensíveis durante essas operações. A investigação afirma ainda que os agentes conseguiram acessar ambientes de staging, utilizados para desenvolvimento e testes, e adotaram técnicas de reconhecimento semelhantes às empregadas por invasores. De acordo com a Asymmetric, alguns desses métodos permitiram obter acesso mais amplo à web apesar das limitações impostas pelo ambiente sandbox no qual o software operava. Os agentes teriam criado contas em plataformas de navegação, utilizado e-mails descartáveis e recorrido a serviços de varredura para receber mensagens de registro e verificação. Essas ferramentas também teriam sido empregadas para liberar funcionalidades adicionais necessárias às tarefas executadas. Parte da atividade aparentava estar relacionada à pesquisa de dados públicos de saúde. Os pesquisadores encontraram indícios de buscas por estatísticas de saúde e medicamentos do Australian Institute of Health and Welfare, além de dados comerciais da Conferência das Nações Unidas sobre Comércio e Desenvolvimento (UNCTAD). Segundo o relatório, o software também utilizou o Urlquery, serviço normalmente empregado para analisar sites e identificar possíveis ameaças, para criar caixas de entrada descartáveis e posteriormente obter dados. Pippa Thompson, cofundadora da Asymmetric, disse ao Financial Times que as técnicas observadas apresentam semelhanças com métodos utilizados por hackers humanos. Ela afirmou que existe a possibilidade de os agentes terem utilizado determinadas ferramentas deliberadamente para reduzir os rastros de suas atividades, mas essa interpretação não foi confirmada de forma independente. A OpenAI informou ao Financial Times que está investigando o caso e ressaltou que grande parte das atividades identificadas envolvia tarefas rotineiras de pesquisa baseadas em informações disponíveis publicamente. Até o momento, especialistas externos não confirmaram de maneira independente as conclusões da Asymmetric. A própria empresa afirmou ter realizado sua análise exclusivamente a partir de dados públicos, sem detalhar integralmente como chegou a todas as conclusões apresentadas. O relatório surge após outros episódios envolvendo agentes autônomos. Segundo o texto, a OpenAI pediu desculpas ao governo australiano por um incidente envolvendo o programa de saúde Medicare, no qual teriam sido acessadas informações não públicas. Em outro caso, a OpenAI reconheceu em julho que seus modelos estiveram envolvidos em um ataque ocorrido em junho contra a plataforma de inteligência artificial Hugging Face. Segundo a empresa, um agente autônomo realizou um ataque “end-to-end”, episódio que só foi confirmado pela OpenAI depois de a própria Hugging Face tornar o incidente público.

Um suposto integrante do grupo de extorsão digital ShinyHunters foi detido na Jordânia e estaria cooperando com o FBI para identificar outros membros da organização. O suspeito, conhecido pelos pseudônimos “Rey” e “ReyXBF”, foi identificado como Saif al-Din Khader. Segundo a Reuters, que citou três pessoas familiarizadas com o caso, Khader foi detido em 29 de setembro de 2026. Desde então, ele estaria colaborando com o FBI e outras autoridades nas investigações sobre o grupo. Uma das fontes afirmou que sua cooperação é considerada importante para os esforços em andamento para localizar e prender outros hackers. Rey já era conhecido por sua atuação em diferentes comunidades do cibercrime. Em novembro de 2025, o jornalista de segurança Brian Krebs o apontou como um dos três administradores do Scattered LAPSUS$ Hunters (SLH ou SLSH), grupo considerado uma combinação de integrantes ou atividades associadas a Scattered Spider, LAPSUS$ e ShinyHunters. Antes disso, Rey teria administrado o site de vazamentos do ransomware Hellcat, que surgiu no final de 2024. No mesmo ano, também assumiu a administração de uma das versões mais recentes do BreachForums, conhecido fórum utilizado para negociação e divulgação de dados roubados. Khader chegou a afirmar a Krebs que cooperava com autoridades desde pelo menos junho de 2025. A suposta detenção ocorre poucos dias depois da prisão, em Amsterdã, de um homem de 24 anos investigado por envolvimento nas operações do ShinyHunters. Embora as autoridades não tenham divulgado oficialmente sua identidade, reportagens independentes apontaram o suspeito como Pepijn van der Stap, hacker reformado que trabalhava como líder de segurança ofensiva na empresa holandesa Neo Security. Um porta-voz do ShinyHunters posteriormente negou qualquer ligação com ele. Após essa prisão, o diretor do FBI, Kash Patel, afirmou que investigadores estavam trabalhando com parceiros para desenvolver novas pistas e indicou que outras detenções poderiam ocorrer. Nas últimas semanas, o ShinyHunters voltou aos holofotes após assumir o controle do site na dark web do grupo Cl0p, supostamente explorando uma vulnerabilidade não corrigida no Grav CMS. O grupo também alegou ter comprometido o portal “apply.fbijobs[.]gov”, ligado ao FBI, e roubado aproximadamente 3 TB de dados sensíveis. No caso envolvendo o FBI, o ShinyHunters afirmou não estar buscando pagamento. Segundo o grupo, a ação teria como objetivo pressionar a agência a corrigir o que considera acusações falsas e contestar alegações sobre suas conexões com o The Com, uma comunidade descentralizada de cibercrime associada a engenharia social, phishing, SIM swapping, extorsão, sextortion, swatting, sequestros e episódios de violência física. Brett Leatherman, diretor assistente da divisão cibernética do FBI, afirmou que o suspeito preso na Holanda e seus supostos comparsas teriam comprometido mais de 140 organizações desde 2025 e obtido pelo menos US$ 70 milhões em pagamentos de extorsão. Segundo ele, os ataques frequentemente exploram fornecedores terceirizados e plataformas em nuvem para roubar informações sensíveis e posteriormente pressionar as vítimas com ameaças de publicação dos dados. Leatherman descreveu van der Stap como um suposto líder do grupo e pediu que outros integrantes cooperem com as autoridades. O FBI sustenta que prisões e apreensões de infraestrutura estão permitindo ampliar a identificação dos envolvidos nas operações. Uma análise das empresas de cibersegurança Sekoia e Beazley Security aponta que as origens do ShinyHunters podem ser relacionadas a grupos anteriores, como TheDarkOverlord e GnosticPlayers, especializados em roubo de dados e extorsão. A marca ShinyHunters apareceu publicamente por volta de abril ou maio de 2020. Segundo os pesquisadores Enzo Saez e Robert “Bobby” Venal, seis anos depois o ShinyHunters funciona menos como um grupo tradicional e mais como uma marca e um modelo operacional capaz de sobreviver à prisão de integrantes, indiciamentos e derrubadas de fóruns. Essa estrutura seria sustentada por uma divisão de tarefas relativamente modular: operadores especializados em engenharia social obtêm acesso inicial, outros integrantes auxiliam no recrutamento e amplificação das operações, enquanto a monetização ocorre sob uma identidade compartilhada. Essa característica ajuda a explicar por que o ShinyHunters permaneceu ativo mesmo diante de sucessivas ações policiais.

O grupo hacker Warlock, associado por pesquisadores a atividades ligadas à China, continua explorando vulnerabilidades do Microsoft SharePoint em ataques contra organizações de países de língua portuguesa e espanhola. A campanha utiliza falhas antigas e possivelmente recentes para obter acesso às redes, desativar ferramentas de segurança e distribuir ransomware. A atividade foi identificada pelas equipes de Threat Hunter da Symantec e Carbon Black e atingiu organizações de infraestrutura crítica, governo e educação. Nos últimos dois meses, o grupo atacou pelo menos quatro entidades: uma empresa de abastecimento de água, uma operadora de telecomunicações, um órgão governamental regional e uma universidade. As vítimas estão distribuídas pela Europa, África e América Latina. Segundo os pesquisadores, o foco recente em países de língua portuguesa e espanhola pode refletir tanto uma busca oportunista por servidores SharePoint vulneráveis expostos à internet quanto uma estratégia deliberada de seleção de alvos. Também rastreado como Gold Salem, Longlegs e Storm-2603, o Warlock ganhou destaque em meados de 2025 após ser associado à exploração zero-day das vulnerabilidades conhecidas como ToolShell, que afetam instalações locais do SharePoint Server e foram utilizadas como porta de entrada para ataques de ransomware. Em outras operações, o grupo foi relacionado ao comprometimento da SmarterTools por meio de uma instalação não corrigida do SmarterMail. Os invasores também recorreram a ferramentas legítimas, como o Velociraptor, para comando e controle (C2), além da técnica Bring Your Own Vulnerable Driver (BYOVD), na qual um driver vulnerável é introduzido no sistema para interferir nas soluções de segurança. A Symantec também identificou sobreposições entre o Warlock e atividades anteriormente rastreadas como CL-CRI-1040, CamoFei e ChamelGang. Em um ataque contra uma operadora de infraestrutura crítica, os hackers distribuíram uma ferramenta destinada a desativar softwares de segurança para pelo menos 40 máquinas em aproximadamente duas horas. Na sequência, o ransomware Warlock foi implantado em pelo menos 33 sistemas. Para ampliar rapidamente a distribuição, os invasores armazenaram o payload no compartilhamento SYSVOL do domínio. Como esse diretório é replicado entre controladores de domínio, o próprio mecanismo de replicação do ambiente Windows ajudou a levar os arquivos maliciosos para outras máquinas. Os ataques observados exploram múltiplas vulnerabilidades em instalações locais do Microsoft SharePoint Server. Após obter acesso, o grupo instala web shells compatíveis com diferentes versões da plataforma e tenta coletar as chaves de máquina ASP.NET utilizadas pela farm do SharePoint. Essas chaves podem ser abusadas para produzir payloads com assinaturas consideradas válidas pela aplicação, permitindo a execução remota de código dentro do application pool do SharePoint e abrindo caminho para novas etapas da invasão. A cadeia de ataque também inclui DLL sideloading para carregar código malicioso na memória e o download de payloads adicionais por serviços legítimos de armazenamento e compartilhamento de arquivos, incluindo catbox[.]moe e wasabisys[.]com, numa tentativa de reduzir a visibilidade da atividade maliciosa. Outra técnica identificada envolve o driver legítimo, porém vulnerável, K7RKScan.sys, afetado pela CVE-2025-1055. O Warlock explora o componente em ataques BYOVD para desativar softwares de segurança. O mesmo driver já havia sido explorado anteriormente por operadores do ransomware DragonForce. Os invasores ainda utilizam ferramentas nativas ou legítimas do ambiente, em uma estratégia conhecida como living-off-the-land (LotL), para reconhecimento e execução de comandos. Entre os recursos explorados está a função de túnel integrada ao Microsoft Visual Studio Code, utilizada para estabelecer conexões remotas com sistemas comprometidos. Em uma atividade registrada em 22 de julho de 2026, o grupo explorou vulnerabilidades do SharePoint Server para instalar um web shell, realizar reconhecimento, obter execução de código no application pool, distribuir novos payloads e avançar pela rede. Posteriormente, os invasores estabeleceram túneis pelo VS Code, encerraram softwares de segurança e implantaram o ransomware. Para Symantec e Carbon Black, a continuidade das operações mais de um ano depois de o Warlock ganhar destaque demonstra que ToolShell e outras vulnerabilidades relacionadas ao SharePoint continuam sendo vetores viáveis de acesso inicial, principalmente em servidores que permanecem sem correções ou medidas adequadas de mitigação.