A Fakturownia, uma das principais plataformas de faturamento online da Polônia, sofreu um ataque cibernético que pode ter exposto dados de usuários, clientes e parceiros comerciais. O serviço é utilizado por mais de 600 mil empresas, e a companhia ainda investiga quantas foram afetadas. Segundo a Fakturownia, um invasor ainda não identificado explorou uma vulnerabilidade em seus sistemas e conseguiu acesso não autorizado aos servidores da empresa. Entre as informações potencialmente comprometidas estão dados de contas de usuários e empresas, hashes de senhas, informações bancárias, tokens de autenticação e integração, além de dados pertencentes a clientes e parceiros comerciais. O invasor também pode ter acessado faturas emitidas pela plataforma antes de 2023. A empresa informou que dados de cartões de pagamento não foram afetados. Informações armazenadas por meio das integrações da plataforma também teriam permanecido protegidas. O incidente ganhou maior atenção porque a Fakturownia possui integração com o Krajowy System e-Faktur (KSeF), sistema nacional de faturamento eletrônico administrado pelas autoridades fiscais da Polônia e cuja utilização é obrigatória para muitas empresas. O Ministério das Finanças da Polônia informou que uma análise não identificou comprometimento da segurança do KSeF nem vazamento de informações armazenadas pelo sistema. A Fakturownia também afirmou que os certificados digitais utilizados para acessar o KSeF permaneceram seguros. O acesso não autorizado foi detectado na segunda-feira. Após identificar a invasão, a empresa bloqueou o atacante, iniciou a troca de senhas e chaves de aplicações e colocou novos servidores em operação. A investigação está sendo realizada com o apoio de especialistas externos em cibersegurança. A Fakturownia também comunicou o incidente às autoridades polonesas responsáveis por segurança cibernética e proteção de dados. O ministro de Assuntos Digitais da Polônia, Krzysztof Gawkowski, afirmou que as autoridades trabalham para determinar as circunstâncias do ataque e identificar os responsáveis. A publicação polonesa especializada em cibersegurança Zaufana Trzecia Strona informou ter sido procurada por um invasor que utiliza o nome “Fingerprint”. Ele teria apresentado materiais que supostamente demonstram acesso à infraestrutura da Fakturownia, incluindo capturas de tela de diretórios de aplicações, informações de clientes e dumps de bancos de dados. Fingerprint afirma ter roubado 6 terabytes de faturas. Entretanto, o volume alegado, a autenticidade dos materiais apresentados e a dimensão completa do possível vazamento ainda não foram verificados de forma independente. O mesmo nome também foi associado a ataques recentes contra as empresas polonesas de software para saúde MyDr e Medyc. Em agosto, autoridades de cibersegurança da Polônia disseram que o incidente envolvendo a MyDr permitiu acesso não autorizado a dados históricos potencialmente relacionados a cerca de 18,8 milhões de pessoas e mais de 12 mil unidades médicas. As autoridades também investigam separadamente a invasão envolvendo o Medyc, software desenvolvido pela Qbusoft e utilizado por prestadores de serviços de saúde. Gawkowski afirmou que a sequência de incidentes indica a necessidade de maior investimento e esforços do setor privado para reforçar a segurança cibernética. No caso da Fakturownia, a investigação continua para determinar o número de vítimas e a extensão efetiva dos dados comprometidos.

Montadoras estão compartilhando dados pessoais coletados por carros conectados com empresas de publicidade, análise de dados, big techs e data brokers, segundo uma pesquisa conduzida por acadêmicos da Northeastern University e pela organização Consumer Reports. Dos 21 grandes fabricantes analisados, 19 coletam e disseminam amplamente informações de seus clientes. O estudo detalha como os dados podem sair dos veículos, passar pelos aplicativos instalados pelos proprietários e chegar a empresas terceirizadas. Embora os riscos à privacidade associados aos carros conectados já sejam conhecidos, os pesquisadores afirmam ter encontrado novas evidências sobre o fluxo dessas informações dentro do ecossistema de publicidade digital. Dos 30 aplicativos de veículos conectados examinados, 28 compartilharam dados com pelo menos uma empresa terceirizada de publicidade ou analytics. Sete enviaram ao menos uma informação pessoalmente identificável, como nome, endereço de e-mail ou localização precisa do proprietário, para empresas externas. Os pesquisadores destacaram ainda quatro aplicativos da General Motors — myCadillac, myChevrolet, myBuick e myGMC — além de aplicativos da Honda, Nissan e Lincoln. Segundo o estudo, eles compartilharam números de identificação do veículo (VIN) associados a dados de localização ou endereços de e-mail. Essa combinação é particularmente relevante porque o VIN identifica individualmente um veículo. Associado a outras informações pessoais, ele pode permitir que data brokers relacionem padrões de deslocamento a pessoas específicas e comercializem esses dados. A General Motors já havia enfrentado medidas regulatórias relacionadas ao tratamento de informações de motoristas. Em maio, o procurador-geral da Califórnia, Rob Bonta, a California Privacy Protection Agency (CPPA) e quatro promotores locais aplicaram mais de US$ 12 milhões em multas à empresa e determinaram que ela interrompesse por cinco anos o compartilhamento de dados de motoristas com agências de crédito e data brokers. Segundo a Consumer Reports, as informações coletadas também chegaram a empresas de publicidade e analytics e a grandes companhias de tecnologia, incluindo Alphabet, controladora do Google, Amazon, Microsoft, Meta, Reddit e Pinterest. O relatório destaca que algumas dessas empresas ocupam mais de uma posição nesse ecossistema: fornecem tecnologias utilizadas na coleta ou processamento de dados e, ao mesmo tempo, operam plataformas de publicidade usadas para direcionar anúncios a grupos específicos de consumidores. Entre as montadoras mencionadas, a Honda foi a única que respondeu ao pedido de comentário citado na reportagem. A empresa afirmou que coleta dados relacionados aos clientes por diferentes meios, inclusive durante a utilização de veículos equipados com recursos conectados. Após ser informada sobre os resultados da pesquisa, a Honda orientou um fornecedor de analytics e rastreamento digital a apagar os dados de localização que haviam sido coletados. A montadora também informou que não continuará compartilhando essas informações com terceiros. Outro problema identificado está relacionado aos próprios aplicativos. Algumas montadoras disseram à Consumer Reports que links incorporados aos apps direcionam usuários para páginas externas, onde empresas terceirizadas podem instalar cookies e pixels de rastreamento. Com isso, informações podem ser coletadas durante a navegação sem que o motorista tenha conhecimento claro do processo. Fabricantes também afirmaram que algumas das empresas que recebem os dados estão contratualmente impedidas de utilizá-los ou vendê-los de maneira independente. As montadoras argumentam ainda que determinados compartilhamentos dependem do consentimento dos usuários. A Consumer Reports, porém, questiona a efetividade desse modelo, afirmando que motoristas podem não compreender exatamente quais permissões estão concedendo. Segundo a organização, algumas empresas também alertam que determinados recursos do veículo podem deixar de funcionar caso o consumidor opte por não participar da coleta ou compartilhamento.

Grupos de hackers ligados ao governo chinês estão sendo associados a novas campanhas de espionagem contra especialistas em inteligência artificial e organizações governamentais na Ásia. Dois relatórios publicados por Proofpoint e Cisco Talos detalham operações que combinaram spear phishing, roubo de credenciais e o uso do backdoor Antino para obter e manter acesso às vítimas. Em uma das campanhas, identificada pela Proofpoint, os invasores se passaram por economistas conhecidos e por uma ex-integrante da liderança do Escritório de Política Científica e Tecnológica da Casa Branca para abordar especialistas em IA ligados a universidades, think tanks e escritórios de advocacia. Os ataques começaram em 8 de julho. Inicialmente, os hackers personificaram Lynne Edwards Parker, ex-integrante do governo dos Estados Unidos, e posteriormente passaram a utilizar a identidade de Heidi Crebo-Rediker, especialista em política econômica e relações internacionais. As mensagens apresentavam oportunidades aparentemente legítimas relacionadas à inteligência artificial. Entre as iscas estavam um convite para participar de um falso “AI Policy Advisory Committee” e uma suposta colaboração em um relatório do Senado sobre controles de exportação envolvendo IA. Segundo a Proofpoint, a abordagem começava com mensagens aparentemente inofensivas, sem conteúdo malicioso imediato. O objetivo era estabelecer uma conversa e conseguir uma resposta da vítima antes de avançar para a próxima etapa do ataque. Após a interação, os hackers enviavam links que utilizavam uma cadeia de redirecionamentos e levavam a uma página falsa de autenticação do OneDrive. O site era utilizado para capturar credenciais de login das vítimas. A Proofpoint informou que o mesmo grupo já havia sido observado anteriormente atacando profissionais de think tanks dos Estados Unidos e do Japão, empresas do setor de defesa e universidades. Os operadores também registraram domínios que imitavam organizações legítimas, incluindo a Heritage Foundation, a Japan-Taiwan Exchange Association e o gabinete do ministro da Defesa do Japão. Em paralelo, a Cisco Talos revelou outra operação atribuída a hackers apoiados pelo Estado chinês. A campanha atingiu ou teve como alvo organizações governamentais e ambientes relacionados à segurança em Taiwan, Índia, Filipinas, Camboja, Paquistão, Tailândia, Mianmar e Síria. Os investigadores identificaram 16 organizações afetadas ou visadas entre setembro de 2025 e julho de 2026. Ao todo, aproximadamente 350 endpoints foram comprometidos nos oito países analisados. Um dos principais componentes da operação foi o Antino, um backdoor utilizado para reconhecimento do ambiente, transferência de arquivos e manutenção do acesso aos sistemas comprometidos. De acordo com os pesquisadores, a campanha tinha como principal objetivo a coleta de inteligência. O acesso inicial também dependia principalmente de phishing. Os invasores distribuíam mensagens acompanhadas de documentos-isca para induzir os alvos a responder aos contatos, acessar links ou baixar arquivos maliciosos. A Cisco Talos identificou inicialmente a atividade em março de 2026, durante a investigação de uma campanha de spear phishing contra integrantes da comunidade acadêmica, think tanks e organizações da sociedade civil envolvidas em políticas públicas em Taiwan. A análise posterior mostrou que a operação era mais ampla e alcançava outros países asiáticos. Segundo a Cisco, a campanha começou nas Filipinas e continuou em diferentes ondas, incluindo uma ofensiva em junho contra organizações na Índia. As iscas incluíam notícias relacionadas ao governo Trump, convites que imitavam eventos reais e documentos legislativos. A Talos também identificou sobreposições com uma campanha anteriormente documentada pela Symantec, na qual hackers ligados ao governo chinês também utilizaram o backdoor Antino.

O número de vulnerabilidades divulgadas mensalmente mais que dobrou entre janeiro e agosto de 2026, atingindo um novo pico de 10.740 registros em agosto, segundo o Google Threat Intelligence Group (GTIG). O crescimento ocorre em um cenário no qual ferramentas de inteligência artificial estão acelerando tanto a descoberta quanto a exploração de falhas. Em janeiro, foram registradas 5.045 divulgações. Em julho e agosto, o volume mensal já havia ultrapassado a marca de 10 mil. Segundo os pesquisadores, a IA está alterando não apenas a velocidade com que vulnerabilidades são identificadas e exploradas, mas também os tipos de falhas encontradas e seus perfis de risco. Entre janeiro e agosto, a quantidade de vulnerabilidades distintas divulgadas e exploradas já superou todo o ano de 2025. Foram contabilizadas 141 vulnerabilidades exploradas em 2026, contra 127 durante o ano passado. Apesar do aumento, o GTIG afirma que a expansão da exploração de vulnerabilidades em 2026 não está sendo impulsionada principalmente por uma avalanche de novos zero-days. O fator predominante seria a rápida transformação de falhas de alto risco já conhecidas em exploits utilizados em ataques reais. Zero-days são vulnerabilidades exploradas antes que o fornecedor tenha conhecimento ou disponibilize uma correção. Já os chamados n-days são falhas conhecidas publicamente e para as quais normalmente já existem patches ou informações técnicas disponíveis. Segundo o Google, hackers estão aprimorando o uso de IA para analisar atualizações e desenvolver formas de explorar vulnerabilidades críticas. Kelli Vanderlee, analista sênior do GTIG, avalia que a descoberta e exploração de falhas assistidas por IA devem continuar crescendo no curto e médio prazo. Uma das hipóteses dos pesquisadores é que modelos de linguagem e outras ferramentas de IA estejam tornando mais simples automatizar a comparação entre versões de produtos, patches, avisos de segurança e códigos de prova de conceito (PoC). Com isso, invasores podem transformar rapidamente vulnerabilidades n-day em ferramentas utilizáveis em ataques, em vez de concentrar esforços na descoberta de novos zero-days. Um exemplo citado pelo Google é a CVE-2026-1731, vulnerabilidade em software da BeyondTrust destacada por autoridades federais de cibersegurança dos Estados Unidos em fevereiro. A falha foi descoberta de forma autônoma pelo agente de pesquisa Hacktron AI. Após a divulgação, o GTIG identificou hackers explorando a vulnerabilidade em campanhas direcionadas de acesso inicial para contornar perímetros corporativos. Em apenas quatro dias, um cluster de ameaças já estava explorando a falha. Dentro de sete dias, outros cinco clusters foram observados utilizando a mesma vulnerabilidade. Os invasores realizaram diferentes atividades após o comprometimento, incluindo elevação de privilégios, exfiltração de dados e instalação de payloads adicionais, como SNOWLIGHT, SPARKRAT e mineradores de criptomoedas. Para o GTIG, o caso demonstra que agentes autônomos de pesquisa, quando direcionados a superfícies de ataque críticas, têm capacidade significativa para descobrir vulnerabilidades de alta severidade. Atualmente, essas ferramentas estariam sendo utilizadas principalmente para identificar falhas classificadas como de risco médio e alto. O relatório também aponta que grande parte das vulnerabilidades divulgadas neste ano está concentrada em um pequeno grupo de fornecedores, incluindo a fabricante de firmware para roteadores Totolink e a Oracle. Equipamentos de perímetro e serviços corporativos expostos continuam entre os principais alvos. Cerca de 14% das vulnerabilidades exploradas entre janeiro e agosto afetavam dispositivos de edge e appliances de segurança. Os números acompanham uma tendência observada pela CISA. Mais de 67 mil novos CVEs foram publicados em 2026, e especialistas projetam que o total possa chegar a 96 mil até o fim do ano. Dados citados pela agência também mostram que as submissões anuais de CVEs ao programa National Vulnerability Database (NVD), do NIST, cresceram 263% entre 2020 e 2025. Nos três primeiros meses de 2026, o volume foi cerca de um terço superior ao registrado no mesmo período de 2025.

O Departamento do Tesouro dos Estados Unidos anunciou sanções contra 10 pessoas acusadas de participar de um esquema que utiliza malware para fazer caixas eletrônicos liberarem todo o dinheiro disponível. Autoridades norte-americanas associam a operação financeira ao grupo criminoso venezuelano Tren de Aragua. O Escritório de Controle de Ativos Estrangeiros (OFAC) incluiu nas sanções vários cidadãos venezuelanos e empresas sob seu controle, apontados como integrantes de uma estrutura usada para lavar recursos obtidos em ataques contra dezenas de caixas eletrônicos. Segundo autoridades dos EUA, pelo menos 1.500 ataques desse tipo já foram identificados, causando prejuízos de US$ 40,7 milhões. O Tesouro afirma que o chamado “ATM jackpotting” se tornou uma importante fonte de receita para o Tren de Aragua. Os valores roubados teriam sido transferidos para integrantes do grupo responsáveis por ocultar a origem do dinheiro, incluindo operações com criptomoedas e empresas controladas pelos envolvidos no México e em outros países. O Departamento de Justiça dos EUA afirma haver ligações diretas e indiretas entre o malware Ploutus, utilizado nos ataques aos caixas eletrônicos, e o Tren de Aragua. No entanto, especialistas independentes não encontraram evidências técnicas que estabeleçam uma ligação entre o Ploutus, o grupo venezuelano e Anibal Alexander Canelon Aguirre, apontado pelo FBI como desenvolvedor do malware. A empresa de análise de blockchain Chainalysis identificou que recursos provenientes dos ataques circularam pelos mesmos canais utilizados para movimentar dinheiro do tráfico de drogas. Segundo a empresa, carteiras associadas ao Tren de Aragua tiveram exposição a estruturas de lavagem utilizadas por cartéis colombianos e mexicanos. A análise também identificou o uso de uma infraestrutura financeira compartilhada por diferentes organizações criminosas na América Latina, incluindo transações com stablecoins. As sanções fazem parte de uma série de medidas adotadas pelo governo norte-americano contra o esquema. Pelo menos 98 pessoas já foram indiciadas por suposta participação nas operações envolvendo o malware, e cinco homens se declararam culpados de acusações relacionadas no mês passado. Vídeos e fotografias divulgados por promotores e pelo Departamento do Tesouro mostram suspeitos abrindo a parte superior de caixas eletrônicos, conectando laptops aos equipamentos e instalando o malware. Uma vez comprometido o sistema, o código malicioso força o terminal a liberar o dinheiro armazenado. O FBI aponta Aguirre como desenvolvedor do Ploutus e o incluiu em sua lista de mais procurados. Ele é acusado de organizar equipes responsáveis por atacar caixas eletrônicos nos Estados Unidos, principalmente equipamentos instalados em áreas remotas. O Tesouro afirma ainda possuir fotografias de Aguirre junto a valores provenientes de crimes de ATM jackpotting. Variantes do Ploutus são acompanhadas por pesquisadores e órgãos governamentais há quase uma década. Pesquisadores do Google já classificaram a família como uma das formas mais avançadas de malware direcionado a caixas eletrônicos observadas em suas análises.

Lançamento reforça a estratégia da empresa de aplicar IA à triagem, investigação e tomada de decisão em cibersegurança, mantendo o analista no centro do processo. Belo Horizonte, 2 de outubro de 2026 – A iT.eam, empresa brasileira-holandesa especializada em cibersegurança e gestão de ativos empresariais, apresentou oficialmente o SAW AI, sua nova plataforma de inteligência artificial para apoiar equipes de segurança no gerenciamento de casos, tickets e detecções. O produto foi lançado durante evento realizado pela iT.eam, em Belo Horizonte, no dia 1º de outubro, e marca uma nova etapa na estratégia da empresa de desenvolver tecnologia a partir da experiência acumulada em operações reais de segurança. Desenvolvido com base em mais de oito anos de operação de SOC, o SAW AI combina inteligência artificial, contexto operacional e uma base de conhecimento construída a partir de investigações realizadas em empresas de diferentes indústrias. A plataforma apoia analistas na organização de informações, sumarização de alertas, definição de planos de ação, documentação e levantamento de perguntas relevantes para a investigação. A proposta é reduzir o esforço manual envolvido na triagem e dar mais clareza para decisões operacionais, de empresas com operações maduras de segurança a times enxutos ou organizações sem uma equipe dedicada. Sem depender de uma stack específica, o SAW AI busca compreender comportamento e intenção a partir de fontes já disponíveis no ambiente do cliente, ajudando o analista a interpretar o alerta dentro de um contexto específico. Entre os recursos da plataforma está o SAW Advisor, agente decisor, do SAW AI. A funcionalidade analisa o contexto do caso e apresenta recomendações explicadas para apoiar classificação, priorização e próximos passos da investigação, sempre com os dados que sustentam cada indicação. A decisão, no entanto, permanece humana: o SAW Advisor orienta, mas quem valida, decide e atua continua sendo o analista. “O SAW AI foi construído para apoiar o profissional de segurança quando ele mais precisa de contexto e conhecimento”, afirma Thomaz Russi, CEO. “Ele atua como um analista sênior na empresa: reduz a carga repetitiva, organiza informações e leva conhecimento operacional para a análise, sem tirar o analista do centro da decisão.” Outro diferencial é o chat de IA integrado, que permite ao analista realizar consultas dentro da própria plataforma, sem precisar externalizar informações sensíveis do ambiente em ferramentas de IA externas. O SAW AI também oferece liberdade na escolha de LLMs, permitindo que o cliente utilize modelos diferentes conforme o agente e o tipo de análise. A iT.eam também mantém um time de pesquisa dedicado à avaliação contínua de modelos de linguagem, com o objetivo de testar alternativas, acompanhar a evolução do mercado e recomendar os modelos mais adequados para cada uso. Essa abordagem permite manter a solução atualizada e otimizada conforme o avanço das tecnologias de IA. Com o lançamento, a iT.eam reforça seu posicionamento de que a inteligência artificial deve apoiar, e não substituir, as equipes de segurança. O SAW AI chega ao mercado para ampliar a capacidade de análise, melhorar a consistência da triagem e ajudar organizações a responder com mais velocidade a cenários de risco. Sobre a iT.eam A iT.eam é uma empresa brasileira-holandesa especializada em cibersegurança e gestão de ativos empresariais. Com atuação no Brasil e na Europa, a companhia apoia organizações em ambientes complexos por meio de serviços e soluções voltadas à segurança, operações, monitoramento, gestão de riscos e eficiência operacional.

Uma operação policial internacional desarticulou parte da infraestrutura do grupo de ransomware KillSec e resultou na prisão de três suspeitos, incluindo um adolescente de 16 anos apontado pelas autoridades como possível líder da organização. O site usado pelo grupo para divulgar dados roubados também foi apreendido. O menor foi preso em Alicante, na Espanha, por autoridades da Catalunha em conjunto com a unidade de cibercrime da Guarda Civil espanhola. Segundo a Reuters, ele é cidadão romeno. A operação incluiu buscas em oito residências localizadas na Grécia, Romênia, Reino Unido e Espanha. Os investigadores também apreenderam cinco servidores que teriam sido utilizados para administrar as atividades do KillSec e armazenar informações obtidas das vítimas. Outras duas pessoas foram presas. No Reino Unido, a polícia deteve o cidadão holandês Fouad Eltibrizi, acusado de utilizar o pseudônimo “Archduke” na internet. Ele foi indiciado em 16 de setembro por um grande júri federal dos Estados Unidos no Distrito de Porto Rico por conspiração relacionada a acesso não autorizado a computadores. Eltibrizi aguarda extradição para os Estados Unidos. O KillSec surgiu em 2024 e teria realizado aproximadamente mil ataques desde então, dos quais pelo menos metade teria sido bem-sucedida, segundo as autoridades. O grupo explorava vulnerabilidades, principalmente em ambientes de armazenamento em nuvem, para comprometer sistemas e extrair informações confidenciais. Após o roubo, as organizações afetadas eram publicadas no site de vazamentos do grupo e pressionadas a pagar para evitar a divulgação dos dados. Os ataques atingiram setores como saúde, governo e serviços financeiros. A polícia de Hamburgo, onde a operação foi coordenada, informou que autoridades de vários países começaram a investigar o KillSec no início de 2025, após uma série de ataques. A investigação identificou pelo menos quatro suspeitos associados ao grupo e continua buscando outros possíveis integrantes. Um dos investigados, apontado como desenvolvedor, completou 18 anos em agosto. O Centro Europeu de Cibercrime da Europol apoiou a ação com informações sobre o grupo e suporte técnico. Bitdefender e Group-IB também participaram da investigação, juntamente com forças policiais da Suíça, Reino Unido, Estados Unidos, Romênia, Espanha, Grécia, Países Baixos, Finlândia e Bélgica. De acordo com a empresa de segurança Halcyon, o KillSec operava uma das plataformas de ransomware-as-a-service mais acessíveis financeiramente do ecossistema cibercriminoso. Seu painel de controle, disponível pela rede Tor, oferecia recursos de comunicação e ferramentas personalizadas de ransomware, permitindo que criminosos com conhecimento técnico limitado também conduzissem ataques.

Operadores especializados da Cyber Action Team (CAT), unidade de resposta rápida do FBI, participaram de operações conjuntas com a Guarda Costeira dos Estados Unidos (USCG) a bordo de dois navios comerciais de bandeira estrangeira após indícios de comprometimento de suas redes. As inspeções ocorreram em agosto, no Golfo da América, com o objetivo de verificar a integridade dos sistemas de tecnologia da informação (TI) e tecnologia operacional (OT) das embarcações. Segundo o FBI, havia indicações de que as redes dos dois navios haviam sido comprometidas, embora não tenham sido divulgados detalhes sobre a origem, o método de ataque ou os sistemas afetados. A Cyber Action Team funciona como uma equipe especializada de resposta rápida do FBI, com capacidade para mobilizar especialistas em poucas horas para investigar grandes ameaças cibernéticas e incidentes envolvendo serviços críticos. Durante as operações, as equipes comerciais responsáveis pelos navios e profissionais em terra colaboraram com as autoridades norte-americanas na investigação e mitigação das ameaças identificadas. Até o momento, não há relatos de interrupções operacionais, instabilidade das embarcações, riscos físicos para as tripulações ou impactos ambientais relacionados aos incidentes. O FBI e a Guarda Costeira destacaram a cooperação das equipes responsáveis pelas embarcações e afirmaram que continuam incentivando organizações do setor marítimo a solicitar assistência das autoridades diante de suspeitas de incidentes cibernéticos.

A CISA incluiu a vulnerabilidade crítica CVE-2026-76504, que afeta o Cisco Catalyst SD-WAN Manager, em seu catálogo de falhas conhecidas exploradas (KEV) após a Cisco confirmar ataques utilizando a vulnerabilidade. A falha permite que um invasor remoto e não autenticado contorne os mecanismos de login e acesse a API do sistema com privilégios administrativos. Com pontuação CVSS de 9,8, a vulnerabilidade está relacionada ao tratamento incorreto da codificação de URI em requisições HTTP pelo componente responsável pelas sessões de autenticação do SD-WAN Manager. Um invasor capaz de enviar uma requisição especialmente preparada à API pode contornar a regra de autenticação e obter acesso como usuário admin. O impacto é significativo porque, por padrão, o usuário administrativo possui a função netadmin, que permite executar todas as operações disponíveis no dispositivo. A exploração não exige credenciais: basta que o invasor consiga alcançar a API do Manager, tornando instalações expostas diretamente à internet particularmente vulneráveis. A Cisco informou que seu Product Security Incident Response Team (PSIRT) tomou conhecimento da exploração ativa da CVE-2026-76504 em setembro de 2026. A vulnerabilidade foi identificada enquanto o Technical Assistance Center (TAC) investigava um chamado de suporte. Até o momento, a empresa não informou quando os ataques começaram, quantas organizações foram comprometidas, quem está explorando a vulnerabilidade ou quais ações foram realizadas após a obtenção do acesso administrativo. Após a confirmação dos ataques, a CISA adicionou a CVE-2026-76504 ao Known Exploited Vulnerabilities Catalog. Órgãos civis do Poder Executivo Federal dos Estados Unidos (FCEB) têm até 3 de outubro de 2026 para aplicar as correções exigidas. Não existe workaround para eliminar a vulnerabilidade, e a Cisco recomenda a atualização para versões corrigidas. Para a linha 20.9, a primeira versão corrigida é a 20.9.10.1; para 20.12, a 20.12.8.2; para 20.15, a 20.15.6.1; para 20.18, a 20.18.4.1; para 26.1, a 26.1.2.1; e para 26.2, a 26.2.1. Instalações anteriores à versão 20.9 devem migrar para uma versão suportada e corrigida. Clientes do Cisco SD-WAN Cloud, gerenciado pela própria Cisco, já estão protegidos a partir da versão 20.15.605 e não precisam tomar medidas adicionais relacionadas à atualização. A CVE-2026-76504 é independente de outras vulnerabilidades do Cisco SD-WAN corrigidas anteriormente em 2026, incluindo CVE-2026-20182, CVE-2026-20245 e CVE-2026-20262. As versões que corrigiram essas falhas são anteriores às necessárias para solucionar o novo problema, portanto ambientes atualizados apenas para os patches de maio ou junho ainda precisam receber a nova atualização. Enquanto a correção não puder ser aplicada em ambientes on-premises, a Cisco recomenda impedir o acesso ao Manager a partir de redes não confiáveis, incluindo a internet. Quando a conectividade externa for indispensável, somente hosts conhecidos e autorizados devem receber acesso, e os componentes de controle devem permanecer protegidos por firewall. A documentação de hardening da empresa também recomenda que interfaces administrativas, incluindo as portas 443, 22 e 830, não sejam expostas diretamente à internet. Além da atualização, a Cisco divulgou indicadores que podem ajudar administradores a procurar sinais de exploração. A análise deve incluir o arquivo /var/log/nms/containers/service-proxy/serviceproxy-access.log, buscando acessos relacionados a j_security_check originados de endereços IP desconhecidos ou não autorizados. Também deve ser verificado o arquivo /var/log/nms/vmanage-server.log, principalmente chamadas a j_security_check associadas a usuários cujos nomes começam com viptela-reserved-, prefixo utilizado por contas reservadas de serviços do sistema. A técnica observada envolve a codificação de caracteres do caminho de autenticação. Em um dos exemplos apresentados pela Cisco, /j_security_check aparece como /%6a_security_check, em que %6a representa a letra “j”. Entretanto, qualquer caractere da requisição pode ser codificado, portanto a busca não deve se limitar a esse exemplo. A Cisco alerta que entradas semelhantes também podem surgir durante operações legítimas. Dessa forma, cada ocorrência precisa ser comparada com o comportamento normal do ambiente antes de ser considerada evidência de comprometimento. Clientes que suspeitem de exploração podem abrir um chamado Severity 3 com o Cisco TAC, incluindo CVE-2026-76504 no título. Antes disso, a empresa recomenda executar o comando request admin-tech no Manager para gerar o arquivo que poderá ser analisado pela equipe de suporte. O alerta não esclarece se a simples instalação da atualização é suficiente para remover um invasor que já tenha comprometido o sistema. Por isso, organizações potencialmente afetadas devem combinar a aplicação do patch com a investigação dos indicadores disponibilizados pela Cisco. A CVE-2026-76504 amplia uma sequência de problemas de segurança explorados no Cisco SD-WAN. Até 30 de setembro, oito vulnerabilidades relacionadas à plataforma e divulgadas em 2026 já haviam sido adicionadas ao catálogo KEV da CISA.

Pesquisadores de segurança identificaram uma campanha envolvendo 101 pacotes maliciosos publicados no npm que manipulam contas do WhatsApp de desenvolvedores para adicioná-las a grupos e canais sem autorização. Batizada de PhantomSub, a operação já acumula cerca de 490 mil downloads. Segundo pesquisadores da OX Security, os pacotes abusam do Baileys, projeto open source usado para interagir programaticamente com o WhatsApp, para realizar inscrições automaticamente após a vítima conectar sua conta ou sessão autenticada. Dos aproximadamente 490 mil downloads registrados pelos pacotes associados à campanha, 116 mil ocorreram apenas nos últimos 30 dias. Entre os nomes identificados estão ourin-baileys, @nexustechpro/baileys, neuralwhatsapp, cloud-baileys, my-auto-follow, eliteprotech-baileys, chromestaff-baileys e diversas outras variações que fazem referência ao Baileys. Os primeiros sinais desse tipo de atividade apareceram em agosto de 2026, quando a SafeDep identificou forks do Baileys no npm capazes de fazer a conta do WhatsApp usada pelo desenvolvedor seguir silenciosamente canais controlados pelos autores dos pacotes. Algumas versões também inseriam URLs de publicidade do responsável pelo pacote em imagens e vídeos enviados pelo bot. Em setembro, pesquisadores da Xygeni divulgaram outro caso envolvendo o pacote @dappaoffc/baileys-mod. A biblioteca inscrevia automaticamente a sessão autenticada do bot do desenvolvedor em canais de newsletter controlados pelos operadores. A investigação da OX Security encontrou três variantes da campanha PhantomSub. A primeira, presente em 19 pacotes, busca IDs de canais remotamente no GitHub durante a execução. A segunda, identificada em 60 pacotes, mantém esses IDs diretamente no código-fonte em texto claro. Já a terceira, encontrada em 14 pacotes, incorpora os identificadores de maneira codificada e ofuscada. Um dos grupos do WhatsApp analisados pelos pesquisadores aparentemente opera na Indonésia e anuncia contas relacionadas a jogos e aplicativos, incluindo Mobile Legends: Bang Bang e TikTok. As publicações também exibem um número associado a uma conta comercial indonésia do WhatsApp chamada “Dan”. Outros canais identificados incluem Neural, com 798 seguidores; MONTE – BMG, com cerca de mil; CORTANA TECH, com 1,3 mil; e Fyxzpedia.ID – Utama, com aproximadamente 4,8 mil seguidores. O canal Neural, por exemplo, promove a comercialização de recursos para jogos por meio do marketplace JualanRSS. Segundo a OX Security, muitos desses canais estão relacionados à venda de bots, scripts, serviços de desenvolvimento de bots, APKs “premium” e serviços de impulsionamento em redes sociais. Nesse modelo, o número de seguidores funciona como uma espécie de prova social para promover os produtos e serviços oferecidos. A análise também encontrou sinais de infraestrutura compartilhada entre diferentes pacotes. IDs de canais, listas remotas e contas do GitHub se repetem em bibliotecas publicadas sob nomes e responsáveis distintos. Para os pesquisadores, essa sobreposição indica que diferentes pacotes podem alimentar os mesmos canais beneficiários com novos seguidores. O risco é especialmente relevante porque a atividade ocorre dentro da cadeia de suprimentos de software. Um desenvolvedor pode instalar uma biblioteca aparentemente relacionada a um projeto legítimo e, ao autenticar sua conta do WhatsApp, permitir que código malicioso execute ações que não fazem parte da funcionalidade esperada. A recomendação para quem utilizou esses pacotes é verificar se a conta foi adicionada ou inscrita em grupos e canais desconhecidos e bloqueá-los. Organizações também podem criar regras de detecção para impedir o uso dos pacotes maliciosos identificados e evitar bibliotecas que exijam a conexão de contas pessoais do WhatsApp sem uma justificativa clara.

A polícia da Holanda confirmou a prisão de um homem de 24 anos, de Amsterdã, suspeito de envolvimento com o grupo hacker ShinyHunters. Segundo as autoridades, o suspeito deverá comparecer ao Tribunal Distrital de Roterdã em 29 de setembro de 2026. A Politie Landelijke Opsporing en Interventies confirmou inicialmente apenas que a prisão ocorreu no âmbito de uma investigação sobre o ShinyHunters. Posteriormente, a Polícia Nacional da Holanda e o FBI informaram que o homem é suspeito de ser “um dos supostos líderes” do grupo. Embora as autoridades não tenham divulgado oficialmente sua identidade, o jornalista de segurança Brian Krebs e o site DataBreaches.Net identificaram o preso como Pepijn van der Stap, conhecido pelo pseudônimo Umbreon. Segundo o DataBreaches.Net, ele foi detido em 15 de setembro. Van der Stap já havia sido preso em 2023 por envolvimento em uma série de roubos de dados e extorsões. Na época, também chamou atenção o fato de trabalhar na empresa de cibersegurança Hadrian e atuar como voluntário no Dutch Institute for Vulnerability Disclosure (DIVD). Em entrevista concedida ao DataBreaches.Net em junho de 2023, ele afirmou que, apesar de estar realizando mais atividades legítimas e reduzindo sua participação em ações ilegais, vivia sob forte paranoia de ser descoberto pelas autoridades. Mais recentemente, seu perfil no LinkedIn indicava que trabalhava como líder de segurança ofensiva na empresa holandesa Neo Security. Na descrição profissional, van der Stap reconhecia que sua trajetória “não foi uma linha reta” e dizia ter conhecido a segurança “dos dois lados do terminal”, experiência que, segundo ele, teria mostrado que o conhecimento deveria ser usado para construir e proteger, e não para destruir. O ShinyHunters, porém, negou qualquer ligação com van der Stap. Em resposta ao The Hacker News, representantes do grupo afirmaram que o suspeito “não tem associação” com eles e acusaram a polícia holandesa de buscar publicidade após o ataque contra a operadora Odido. As autoridades holandesas também esclareceram que a prisão não está relacionada ao incidente envolvendo a Odido. Separadamente da investigação sobre o ShinyHunters, o suspeito é acusado de tentar incitar dois assassinatos. O FBI afirmou que continua trabalhando com parceiros internacionais para desenvolver novas linhas de investigação a partir da prisão. Segundo Brett Leatherman, diretor assistente da agência, o suspeito e seus supostos comparsas teriam comprometido mais de 140 organizações desde 2025 e obtido pelo menos US$ 70 milhões em pagamentos de extorsão. De acordo com o FBI, os ataques frequentemente envolvem fornecedores terceirizados conectados a plataformas em nuvem. Os invasores roubariam informações confidenciais e posteriormente pressionariam as vítimas com ameaças de publicação dos dados. A prisão ocorre enquanto o ShinyHunters também reivindica um ataque contra o site de candidaturas a empregos do FBI, apply.fbijobs.gov. O grupo afirma ter extraído terabytes de informações confidenciais dos sistemas. Representantes do ShinyHunters disseram à 404 Media que a operação contra o FBI teria sido uma “campanha de marketing” destinada a proteger seus negócios e combater o que classificam como desinformação. O grupo também negou que o ataque tenha sido motivado financeiramente ou tivesse como objetivo extorquir a agência, alegando que os dados não serão publicados, vendidos ou utilizados contra terceiros. Inicialmente, o ShinyHunters afirmou ter explorado uma nova vulnerabilidade zero-day no Oracle PeopleSoft para obter acesso não autorizado aos sistemas. Análises posteriores, porém, indicam que os invasores podem ter utilizado uma técnica de codificação de URL para contornar regras de Web Application Firewall (WAF) implementadas para mitigar a CVE-2026-35273. A investigação permanece em andamento, e o FBI afirma que a prisão poderá gerar novas pistas sobre a estrutura e as operações atribuídas ao ShinyHunters.

O grupo hacker russo Star Blizzard está utilizando falsos convites para eventos para induzir vítimas a instalar o backdoor CosmicPulse em computadores Windows. Segundo a Microsoft, mais de 100 organizações foram afetadas pelas campanhas desde janeiro de 2026, principalmente nos Estados Unidos e Reino Unido, com foco em pessoas e entidades ligadas à Ucrânia. A Microsoft identificou pelo menos 13 campanhas de maior escala neste ano, cada uma envolvendo dezenas ou centenas de mensagens, além das operações de phishing direcionado tradicionalmente associadas ao grupo. Pelo menos um computador foi infectado, mas o número total de organizações efetivamente comprometidas não foi divulgado. Agências de segurança dos Estados Unidos, Reino Unido, Austrália, Canadá e Nova Zelândia afirmaram em dezembro de 2023 que o Star Blizzard atua quase certamente subordinado ao Center 18 do Serviço Federal de Segurança da Rússia (FSB). O grupo possui histórico de roubo de credenciais de e-mail por meio de campanhas nas quais se passa por contatos conhecidos das vítimas. Convites falsos para conferências e eventos já eram utilizados pelo Star Blizzard em 2023. Uma característica recorrente da operação é estabelecer uma conversa inicial com a vítima antes de enviar o conteúdo malicioso, reduzindo a aparência de uma tentativa convencional de phishing. Desde março de 2026, os operadores passaram a enviar mensagens por contas hospedadas em sites WordPress e cPanel. A Microsoft avalia com alta confiança que essas contas foram comprometidas especificamente para apoiar as campanhas. Anteriormente, o grupo utilizava principalmente serviços gratuitos de e-mail, incluindo Proton e contas pessoais da Microsoft. Também houve uma mudança importante na cadeia de infecção. Em 2025, o Star Blizzard utilizava páginas CAPTCHA falsas para convencer as próprias vítimas a executar comandos, técnica conhecida como ClickFix. Em 2026, o grupo passou a empregar um método que a Microsoft denominou RedFlick, baseado no abuso de tarefas agendadas do Windows para instalar o CosmicPulse. As mensagens fraudulentas apresentam organizações conhecidas como supostas responsáveis pelos eventos, incluindo Chatham House e Atlantic Council. Muitos e-mails são construídos para parecer que foram enviados por alguém pertencente à própria organização da vítima. Normalmente, a primeira mensagem não contém anexos. Caso a vítima responda, os invasores enviam um arquivo RAR ou ZIP protegido por senha, com a senha apresentada em uma imagem. Dentro do arquivo, a cadeia de ataque utiliza um atalho LNK disfarçado de documento PDF. As primeiras campanhas observadas, em janeiro e fevereiro, se passaram por autoridades ucranianas e enviaram falsos avisos sobre auditorias fiscais e multas para usuários do serviço de e-mail Ukr.net. Posteriormente, os hackers utilizaram temas como interrupção do fornecimento de água para hotéis em Kyiv e notificações de pagamento destinadas a funcionários de uma organização financeira internacional. Uma campanha observada em março adotou uma abordagem diferente. Pessoas que responderam a um falso convite relacionado ao Atlantic Council receberam um link para o DarkSword, um kit de exploração para iPhones, em vez da cadeia destinada a instalar o backdoor no Windows. A Proofpoint também identificou mensagens relacionadas ao Atlantic Council em março e registrou um aumento significativo no volume de e-mails do grupo. A Trellix encontrou quatro dessas mensagens enviadas em 26 de março, embora tenha classificado como média a confiança de que elas levavam ao DarkSword, pois as páginas de exploração já estavam offline e o código do exploit não pôde ser recuperado. No Windows, a Microsoft identificou diferentes versões da cadeia de infecção. Em todas elas, um arquivo LNK apresentado como PDF inicia o ataque, enquanto um pacote Windows Installer (MSI) é responsável pela criação das tarefas agendadas. Ao abrir o atalho, comandos são executados silenciosamente para obter o instalador de um servidor remoto. Na variante observada em janeiro, um script oculto utilizava SSH para realizar o download. Em julho, o LNK passou a baixar um PDF contendo um comando oculto que tentava buscar o instalador. Em uma versão identificada em abril, o MSI criava três tarefas agendadas com nomes escolhidos para se parecerem com componentes legítimos do Windows: Internet Quality Test Connection, Network Configuration Manager e System Health Monitor. A primeira envia o nome do computador e do usuário para a infraestrutura de comando e controle (C2) e pode executar código adicional remotamente. A segunda configura o WebDAV, recurso do Windows que permite acessar um endereço web como se fosse uma pasta. A terceira utiliza o control.exe, processo do Painel de Controle, para executar a próxima etapa hospedada no servidor dos invasores. O estágio seguinte envolve um downloader disfarçado de item do Painel de Controle. Esse componente instala o CosmicPulse, um backdoor desenvolvido em Python. O downloader havia sido identificado em relatórios anteriores pelos nomes NOROBOT e BAITSWITCH. As técnicas apresentam sobreposição com uma campanha de junho documentada pelo Digital Security Lab Ukraine contra organizações da sociedade civil ucraniana. Nessa operação, os atacantes utilizaram falsos convites para a Ukraine Recovery Conference. O laboratório não atribuiu a campanha a um grupo específico e não conseguiu recuperar o payload final. Dois indicadores aparecem tanto na análise da Microsoft quanto no relatório de junho: o endereço IP 103.160.59[.]97 e o domínio secure-dns-hub[.]com. A presença dos mesmos indicadores, entretanto, não é suficiente isoladamente para concluir que ambas as operações foram conduzidas pelos mesmos responsáveis. O domínio secure-dns-hub[.]com ainda estava sendo utilizado quando a Microsoft publicou seu relatório em 29 de setembro. A empresa também disponibilizou indicadores e consultas de threat hunting voltados especialmente para governos, ONGs e think tanks envolvidos com políticas ou iniciativas relacionadas à Ucrânia. Entre os sinais que podem ser procurados estão as três tarefas agendadas utilizadas pelo RedFlick e as detecções do Microsoft Defender Trojan:Script/RedFlick e Backdoor:Python/CosmicPulse. A Microsoft também recomenda verificar cuidadosamente os endereços dos remetentes, pois nas mensagens identificadas o nome da organização legítima costuma aparecer antes do símbolo @, e não no domínio do e-mail. As organizações podem ainda restringir conexões SSH de saída quando elas não forem necessárias, habilitar regras de redução da superfície de ataque contra executáveis raros ou não confiáveis e scripts ofuscados, além de adotar métodos de autenticação resistentes a phishing. O Star Blizzard continua realizando operações de roubo de senhas com o Evilginx, ferramenta capaz de capturar também cookies de sessão e contornar determinadas implementações de autenticação de dois fatores. Para dispositivos Apple potencialmente expostos ao DarkSword, a Trellix recomenda atualizar para o iOS 26.3 ou posterior, versão que corrige as seis vulnerabilidades exploradas pelo kit, além de utilizar o Lockdown Mode quando a atualização ainda não for possível.