Gamepad — Mercado de jogos, tecnologia, segurança da informação e política

Mais de 600 milhões de dispositivos com Alexa já foram vendidos no mundo, e essa presença gigantesca alimenta um dos maiores debates de privacidade das casas conectadas. A Amazon afirma que seus assistentes não gravam cada palavra: eles aguardam padrões acústicos que correspondam à palavra de ativação e só então passam para a escuta ativa. O detalhe é que essa prontidão constante é justamente o que faz o sistema funcionar, e também o motivo pelo qual reguladores e defensores da privacidade seguem cobrando mais transparência.

Quem quer mais controle pode silenciar o microfone, configurar a exclusão automática de gravações de voz ou apagar todo o histórico. Mas esses ajustes cobrem apenas a nuvem da Amazon, e dispositivos inteligentes de terceiros ainda podem reter seus próprios dados. A lição é clara: conveniência é poderosa, mas proteção de dados transparente também precisa ser.

A Alexa está sempre ouvindo, mas a verdadeira história de privacidade é o que a Amazon salva

#cybersecurity #privacy #data-protection #smart-home #amazon-alexa

Ver detalhe →

As smart TVs não estão apenas exibindo anúncios. Elas usam reconhecimento automático de conteúdo para capturar telas, identificar o que você assiste em apps, consoles e streaming boxes e transformar seus hábitos em perfis detalhados. Esses dados podem ser vendidos para corretores e usados para mirar anúncios muito além da tela da TV.

A boa notícia é que dá para reagir. O guia explica como desativar o ACR em Sony, Samsung, LG, Vizio, Roku, Fire TV e Android ou Google TV, além de proteções extras como tirar a TV da internet, desligar microfones e bloquear o tráfego de saída no roteador. Confira as configurações depois de atualizações de software, porque algumas TVs reativam o rastreamento sem avisar. Uma VPN focada em privacidade como a ProtonVPN ajuda a reduzir o rastreamento em outros contextos, mas não impede o ACR sozinha.

Sua smart TV está rastreando o que você assiste: veja como desligar isso

#cybersecurity #privacy #smart-tv #data-tracking #acr #consumer-tech

Ver detalhe →

O Vanus 0.8.0 até 0.9.0 está sendo distribuído com um token de administrador embutido no código, e esse único deslize entrega controle total de cluster-admin para atacantes remotos não autenticados. A falha, registrada como CVE-2026-111998, recebe nota 9.8 crítica no CVSS 3.1 e não exige mais do que enviar um Bearer token fixo para a porta do gateway gRPC.

Depois de entrar, o atacante pode gerenciar namespaces, eventbuses, usuários, tokens e role bindings, além de ler e publicar eventos em toda a implantação. Sem quebra de senha, sem cadeia de exploração, sem interação do usuário, apenas uma credencial padrão fazendo exatamente o que credenciais padrão sempre fazem.

A correção é direta e urgente: remover ou trocar as credenciais padrão, atualizar o Vanus para uma versão corrigida, restringir o acesso à porta do proxy do gateway e monitorar tentativas de acesso não autorizado. Se o Vanus roda na sua stack de produção, esse é um problema de hoje, não de amanhã.

Vanus traz token de administrador embutido e entrega takeover de cluster crítico 9.8

#cybersec #critical #vulnerability #cve #vanus #default-credentials #cluster-admin

Ver detalhe →

A ConnectWise desligou o serviço Cloud Backup e desativou sete identidades de aplicação depois que agentes de ameaça desconhecidos obtiveram acesso não autorizado a essas identidades e entraram direto nos tenants de Microsoft 365 dos clientes. O bloqueio foi aplicado em 17 de outubro de 2026, com a revogação dos certificados das conexões afetadas para todos os usuários, e a empresa também colocou o SaaS Security e o Cloud Management offline enquanto a investigação avança.

O ataque é perigoso justamente porque ignora a porta mais óbvia. Em vez de roubar a senha de cada cliente, um invasor que detém uma credencial de aplicação roubada pode se autenticar como o próprio aplicativo, solicitar tokens ao Microsoft Entra ID com base nas permissões que aquele app já tem e alcançar caixas de correio, documentos do SharePoint, mensagens do Teams e informações de diretório. Como as ferramentas da ConnectWise operam com permissões amplas para backup e gestão, esse ponto de apoio pode ser escalado para papéis de Administrador Global, novos client secrets em aplicações confiáveis e até novos apps com permissões próprias, criando persistência que sobrevive à revogação da credencial original.

Pesquisadores da Huntress relatam que os logins maliciosos do endereço original foram vistos pela última vez em 15 de outubro às 08:45 UTC, com atividade manual direcionada até cerca de 14:20 UTC, e têm alta confiança de que o agente também mirou os apps de Cloud Management para Exchange Online, Teams e SharePoint, com abuso do app do Teams confirmado em pelo menos um tenant. Os backups agendados não estão rodando, os arquivos e a restauração seguem inacessíveis, e a ConnectWise garante que os arquivos armazenados permanecem criptografados e isolados, sem evidência de violação. Se uma única identidade de aplicação consegue abrir milhares de tenants de uma vez, higiene de identidade deixou de ser item de conformidade para virar o perímetro de segurança inteiro.

ConnectWise desliga o Cloud Backup após invasores sequestrarem tenants do Microsoft 365

#cybersecurity #ransomware #data-breach #cloud-security #microsoft365 #identity-security #connectwise

Ver detalhe →

O Street View do Google Maps esconde muito mais do que você imagina. Bases militares, prédios do governo, casas de celebridades e até residências comuns podem ser desfocadas permanentemente, muitas vezes a pedido de governos, defensores da privacidade ou dos próprios moradores. Em países como Alemanha e Holanda, desfocar o imóvel é um direito legal, e a ferramenta virou uma forma poderosa de reduzir sua pegada digital.

Mas há um porém: depois que um local é desfocado, o Google não desfaz mais. Essa proteção permanente pode blindar sua privacidade, mas também pode sair pela culatra. Especialistas em segurança alertam que uma casa desfocada pode parecer um alvo tentador para ladrões. O processo é simples: abra o Street View, reporte um problema, verifique sua solicitação e aguarde a análise do Google. Lembre-se de que o desfoque vale só para o Google Maps, não para o Apple Maps ou outros serviços.

Para quem leva privacidade online a sério, é um lembrete de que sua exposição digital pode ser controlada se você souber onde procurar. Combine com ferramentas de privacidade como o ProtonVPN para manter seus dados protegidos.

Google Maps pode apagar sua casa do Street View para sempre: entenda por que e como

#google-maps #data-privacy #privacy #protonvpn #street-view #digital-footprint

Ver detalhe →

Um pacote npm malicioso chamado imgdecode está escondendo um carregador de shellcode dentro de um addon nativo compilado para Windows, transformando uma simples chamada require em uma via de entrega de payloads remotos. Pesquisadores ligam o pacote à campanha de cadeia de suprimentos MALFEX, que publica código malicioso no npm desde 2023.

O carregador baixa shellcode criptografado do GitHub, descriptografa o conteúdo e injeta o resultado em um novo processo dllhost.exe. O operador vem substituindo pacotes removidos em poucos dias, publicando runhelper, imgbundle e imgdecode conforme as remoções aconteciam. O pacote teve centenas de downloads e seguia disponível no momento da reportagem.

O caso é um alerta direto sobre addons nativos e cadeias de dependências. Desenvolvedores devem auditar pacotes, revisar lockfiles, monitorar módulos nativos inesperados e tratar o comportamento em tempo de instalação e execução como parte da superfície de ataque.

Pacote npm malicioso imgdecode esconde carregador de shellcode em addon nativo do Windows

#cybersec #infosec #malware #windows #supply-chain #npm #shellcode

Ver detalhe →

Uma credencial comprometida ligada ao ConnectWise Cloud Backup, antigo SkyKick, foi usada para entrar em 173 tenants do Microsoft 365 de parceiros e clientes em uma única varredura automatizada no dia 15 de outubro. Pesquisadores da Huntress rastrearam a atividade até um endereço IP que percorreu os tenants em ordem de GUID, com segundos de diferença entre cada um, assinatura clássica de um script rodando a partir de uma lista de alvos.

O estrago real nasce do próprio modelo de confiança. Um aplicativo de backup precisa de acesso amplo e permanente a caixas de correio, OneDrive, SharePoint, Teams e dados de diretório em todos os tenants onde é consentido, então quem tem a credencial herda todo esse alcance. Os investigadores também encontraram outro aplicativo de gestão da ConnectWise para Teams se promovendo a Administrador Global e inserindo novos segredos em duas outras aplicações privilegiadas, ampliando silenciosamente o raio de destruição para além da conta do fornecedor.

A ConnectWise desativou o acesso do aplicativo Cloud Backup até segunda ordem e afirma não ter encontrado evidências de que os dados de backup dos parceiros tenham sido comprometidos. Revogar sessões de usuário não corta tokens já emitidos, que seguem válidos por até 90 minutos, então as equipes de segurança precisam revisar os logs de login de entidades de serviço, caçar acessos vindos de fora das faixas esperadas do Azure e rotacionar credenciais rápido. Se a sua operação depende de manter dados na nuvem blindados, proteger o próprio tráfego com uma VPN reforçada é uma primeira camada óbvia.

Uma única credencial roubada da ConnectWise abriu a porta para 173 tenants do Microsoft 365

#cybersecurity #threat-intelligence #data-breach #cloud-security #microsoft-365 #connectwise

Ver detalhe →

Pesquisadores de segurança estão alertando para uma vulnerabilidade crítica no Mage OSS que pode permitir a criação de sessões com um provedor OAuth desconhecido, na prática contornando a autenticação. Registrada como CVE-2026-111823, a falha tem pontuação CVSS 9.8 e exploração remota, o que exige prioridade máxima de quem usa versões afetadas.

A correção está disponível no commit 76c4f46 do Mage OSS e versões posteriores. Administradores devem atualizar imediatamente, garantir a configuração correta dos provedores OAuth conhecidos e monitorar os logs de criação de sessão em busca de atividade suspeita.

Falha crítica no Mage OSS permite burlar OAuth e sequestrar sessões

#cybersecurity #vulnerability #cve #oauth #security-patch #mage-oss

Ver detalhe →

A Meta acaba de confirmar uma falha preocupante nos seus óculos inteligentes Ray-Ban: os dispositivos captaram áudio e geraram transcrições mesmo quando os donos jamais disseram o comando de ativação, Hey Meta. As gravações apareceram dentro do app Meta AI depois de uma atualização recente de firmware, e os relatos explodiram no Reddit.

Um usuário afirma que o LED branco de captura até acendeu durante algumas dessas gravações indesejadas, tudo isso com o recurso de mãos livres supostamente desligado. A Meta garante que o problema foi corrigido e que dá para revisar e excluir os registros de voz nas configurações do app, mas o dano à confiança já está feito.

É o capítulo mais recente de uma longa lista de escândalos de privacidade envolvendo os óculos com câmera, de pessoas filmando estranhos sem consentimento a funcionários terceirizados analisando cenas íntimas. Com órgãos reguladores e entidades de defesa do consumidor se aproximando, a pergunta é direta: quanta vigilância você aceita carregar no rosto, e quem decide isso? Seus dados merecem proteção de verdade, e ferramentas como a ProtonVPN são um primeiro passo para retomar o controle.

Meta admite que os óculos Ray-Ban gravaram conversas privadas sem comando

#ai #meta #cybersecurity #big-tech #privacy #smart-glasses #surveillance

Ver detalhe →

Acaba de aparecer um dos ataques de supply chain mais inquietantes do ano, e ele não precisou de uma única falha para funcionar. Entre maio e julho de 2026, invasores reescreveram silenciosamente dois arquivos de texto nos próprios servidores de atualização da AOMEI por períodos de apenas cinco a dez minutos, e qualquer cópia do programa de backup para Windows que checasse por atualização nessa janela baixava um backdoor e o executava automaticamente. Sem malware no download, sem falha explorada, sem clique necessário, apenas um programa obedecendo à própria infraestrutura do fabricante.

Pesquisadores do Google Threat Intelligence, da Mandiant e do ManageEngine rastrearam a campanha em 11 países, incluindo o Brasil, os Estados Unidos, a Índia e Portugal, atingindo sistemas de serviços de TI, telecomunicações e ensino superior. Uma vez dentro, o payload posicionou uma cópia assinada do Radmin, instalou o implante SHINYROAD, criou uma tarefa agendada para rodar a cada três horas e depois empurrou o framework de comando e controle Adaptix disfarçado de ferramenta de PDF. A AOMEI afirma que seus servidores foram corrigidos, mas essa correção não remove nada das máquinas que já engoliram o payload.

A lição é dura e direta: confiar numa atualização só porque ela vem do fabricante não significa mais nada se esse fabricante não assina e verifica seus próprios arquivos. Reforce suas defesas, verifique o que o seu software baixa e restrinja a rede para que um fornecedor comprometido não entre direto no seu núcleo.

Servidores de atualização do AOMEI Backupper foram sequestrados por minutos e distribuíram um backdoor para PCs Windows no mundo todo

#cybersecurity #privacy #backdoor #malware #windows #supply-chain #aomei

Ver detalhe →

$Prepare-se, porque essa notícia de segurança mexe com qualquer pessoa que usa navegador: pesquisadores da Xbow USA gastaram apenas US$ 40 mil em tempo de computação de IA e seis dias de trabalho para montar uma cadeia completa de exploração contra o Google Chrome, capaz de, em tese, dar controle sobre cerca de 1 bilhão de máquinas Windows. Eles começaram dentro do sandbox do motor JavaScript V8, escaparam dele, furaram o sandbox de processos do sistema operacional e ainda conseguiram abrir um aplicativo Windows a partir de uma página web maliciosa. O detalhe mais impressionante é a ferramenta usada. Em vez de um modelo especializado em segurança, a equipe apontou o GPT-5.6 Sol, da OpenAI, para o código-fonte do Chrome, usando a IA para caçar pontos fracos, testar hipóteses e escrever provas de conceito, enquanto os humanos definiam a estratégia e conferiam o resultado. O Google já corrigiu as falhas, e o trabalho rendeu US$ 250 mil de recompensa, a primeira paga sob as novas regras de 2026. A lição não é que a IA substituiu pesquisadores de segurança, mas que modelos públicos derrubaram o custo de encontrar falhas graves. Ou seja, quem defende precisa correr na mesma velocidade. Atualize o Chrome agora, reforce a configuração do navegador e trate sua navegação diária como um ambiente hostil. Para colocar uma camada de privacidade na sua rotina, o Proton VPN criptografa seu tráfego e mantém sua conexão longe de mãos erradas. E se você quer entender o que esses modelos de fronteira fazem nos seus próprios projetos, o Abacus.AI entrega acesso prático a LLMs e ferramentas de IA modernas.$

Gastaram US$ 40 mil em computação de IA para abrir o Chrome e poderiam ter sequestrado 1 bilhão de PCs Windows

#ai #cybersec #privacy #google #windows #zero-day #chrome #bug-bounty

Ver detalhe →

O MapQuest acaba de virar uma ferramenta inesperada para quem se preocupa com privacidade. O app agora permite ativar uma camada que mostra no mapa câmeras de vigilância externas e leitores de placas conhecidos na sua região, incluindo as câmeras da Flock e equipamentos de Motorola Solutions, Genetec, Axis, Axon, Verkada, Rekor e outras.

A novidade chegou com um vídeo provocador ao som de Somebody's Watching Me, de Rockwell, e serve como um lembrete incômodo de como a vigilância se espalhou. Talvez você não consiga evitar cada câmera no trajeto, mas enxergá-las no mapa é uma forma poderosa de mostrar aos vizinhos exatamente o que está observando em silêncio.

É um raro caso de tecnologia devolvendo poder às pessoas comuns. Quanto mais claramente vemos onde estão os olhos, mais conseguimos reagir a um mundo que rastreia todo mundo o tempo todo. Vale a pena conferir enquanto está no ar.

MapQuest agora mostra onde estão as câmeras de vigilância e leitores de placas no seu bairro

#cybersec #tech #privacy #surveillance #mapquest #vigilancia

Ver detalhe →