Gamepad — Mercado de jogos, tecnologia, segurança da informação e política

Todas Segurança cibernética Tecnologia financeira Mercado de jogos Política Tecnologia

Pesquisadores de segurança da XBOW usaram um modelo OpenAI disponível publicamente para encadear três falhas desconhecidas do Google Chrome em um exploit completo que executa código no Windows quando o usuário apenas carrega uma página web. Todo o ataque foi construído em apenas seis dias, com cerca de US$ 40 mil em custos de computação de IA.

O Google confirmou e corrigiu as três falhas, e pagou à XBOW sua maior recompensa de US$ 250 mil por um exploit completo do Chrome. A cadeia quebrou as duas sandboxes do Chrome, passando do motor JavaScript V8 para um decodificador de imagens WebP animadas e, por fim, para o Crashpad, alcançando execução de código fora do navegador.

Antes das correções, estimava-se que 1 bilhão de usuários do Chrome no Windows estavam em risco, embora nenhum ataque tenha sido observado. A lição é dura: o que antes levava meses para uma equipe agora leva dias, e defensores devem atualizar o Chrome para a versão 152.0.7977.82 ou superior e reiniciar o navegador para se proteger.

Agentes de IA criaram um exploit completo do Chrome em seis dias e levaram US$ 250 mil de recompensa

#ai #cybersec #openai #cybersecurity #privacy #exploit #google #chrome

Ver detalhe →

Pesquisadores de segurança revelaram o Hirudo, um novo trojan bancário para Android que não se limita a sobrepor telas falsas. Ele substitui apps bancários legítimos por versões modificadas capazes de cegar as próprias verificações de segurança do aplicativo, mirando usuários na Indonésia, China, Índia, México, Marrocos e Tailândia.

Distribuído por apps de compras, vídeos adultos e entretenimento, o Hirudo exibe uma falsa atualização dentro do app e então obtém acesso a serviços de acessibilidade e notificações. Com isso, consegue roubar credenciais, interceptar códigos SMS, capturar tela e câmera e permitir controle remoto ao vivo.

Pesquisadores alertam que o trojan retransmite solicitações do Play Integrity para um servidor controlado pelos atacantes e usa uma keybox de atestação vazada publicamente. Ou seja, uma resposta válida de integridade não garante que o app é seguro. Evite lojas fora das oficiais, revise permissões e remova apps suspeitos.

Trojan bancário Hirudo troca apps de banco por clones modificados para roubar credenciais e SMS

#cybersecurity #cyberattack #android #malware #mobile-security #banking-trojan #financial-fraud

Ver detalhe →

O GitHub acaba de turbinar a detecção de segredos com um novo classificador de IA que caça credenciais deixadas por engano no código. O sistema combina expressões regulares com um modelo ModernBERT ajustado para decidir se uma string suspeita é um segredo real ou apenas um falso positivo barulhento.

O resultado é enorme: o tempo mediano de varredura pós-push caiu 86 por cento, os custos de serving do modelo despencaram mais de 98 por cento, e o pipeline entregou 13 por cento mais precisão e 19 por cento mais recall que a antiga configuração com LLM. O GitHub ainda estendeu a detecção genérica de segredos para a proteção de push, bloqueando vazamentos antes que eles cheguem ao repositório.

Novo scanner de segredos com IA do GitHub detecta credenciais vazadas mais rápido e mais barato

#ai #cybersecurity #credentials #github #devsecops #secret-scanning #code-security

Ver detalhe →

Um engenheiro da OpenAI foi preso depois que um dispositivo de gravação escondido foi encontrado dentro de uma sala de reuniões executiva no escritório da empresa em São Francisco. O aparelho, envolto em papel higiênico e conectado na parte de trás de uma televisão, foi descoberto pela equipe no fim de setembro e já gravava havia dias.

Documentos judiciais descrevem como o esquema mirava salas onde a liderança discutia temas confidenciais, como pesquisas proprietárias, planos de produtos e compromissos com o governo. A OpenAI afirma que usou seus próprios modelos de IA para analisar o dispositivo e rastreá-lo até um funcionário específico, encaminhando o caso ao FBI.

O episódio é um alerta sobre ameaças internas nos laboratórios de IA mais poderosos do mundo, onde um único funcionário desonesto pode alcançar as conversas mais sensíveis do prédio. É um lembrete de que as maiores brechas de segurança costumam ser humanas, e não técnicas.

Engenheiro da OpenAI é preso após esconder dispositivo de gravação em sala de reuniões executiva

#ai #openai #cybersecurity #privacy #espionage #insider-threat

Ver detalhe →

A correção de falhas é uma das tarefas mais antigas da segurança cibernética, mas continua sendo uma das mais difíceis de acertar. Uma nova entrevista do Help Net Security explica por que pressão do negócio, sistemas críticos de receita e patches que quebram tudo ainda impedem que as correções sejam aplicadas, mesmo quando as equipes sabem exatamente o que precisa ser feito.

A conversa vai além do velho conselho de apenas corrigir mais rápido. A vantagem real está em avaliar o risco para o negócio, acompanhar a diferença entre exposição e armamento de exploits e usar IA para melhorar todo o fluxo de remediação. Para as equipes de segurança, isso significa sair do alerta e partir para a ação, ficando à frente dos atacantes.

A correção de falhas ainda falha em escala: por que o risco de negócio, não a velocidade, decide o que será corrigido

#cybersecurity #infosec #risk-management #patching #enterprise-security #vulnerability-management

Ver detalhe →

Uma pesquisa bombástica da Trellix com 600 CISOs revela que, em 95% das empresas, um agente de IA ou sistema autônomo esteve ligado a um incidente interno nos últimos 12 meses. Esses agentes fazem login, alcançam sistemas sensíveis e agem com as permissões de uma pessoa em velocidade de máquina, apagando a linha entre o insider confiável e o agente malicioso.

Os números são impressionantes: 78% dos líderes de segurança já classificam agentes de IA e identidades de máquina como risco interno, e 63% admitem que não têm visibilidade sobre como os funcionários realmente usam ferramentas de IA. São cerca de sete horas para detectar um incidente e mais oito para responder, enquanto 68% dizem que suas políticas mal abordam o risco de IA.

O veredito é inequívoco. Os CISOs precisam governar agentes de IA como as identidades privilegiadas que eles realmente são, pois 79% esperam um ataque assistido por IA contra usuários ou sistemas confiáveis nos próximos 12 meses. As organizações que construírem um SOC agêntico e reagirem na velocidade da ameaça serão as que resistirão.

Agentes de IA são a nova ameaça interna em 95% das empresas, e os CISOs pagam a conta

#governance #cybersecurity #ai-agents #access-control #ciso #insider-threat

Ver detalhe →

A Mozilla acabou de mirar diretamente no duopólio dos navegadores das big techs. A empresa por trás do Firefox apresentou o Firefox Enterprise, um navegador corporativo combinado com um console de gerenciamento que as organizações podem rodar na própria infraestrutura, com suas próprias chaves, telemetria e políticas mantidas dentro de limites controlados.

Construído sobre a engine independente Gecko, o único grande núcleo de navegador desenvolvido fora do Google e da Apple, o produto promete soberania digital de verdade. As equipes de TI ganham modo de bloqueio, prevenção nativa de perda de dados, integrações com SIEM, acesso controlado por usuário e dispositivo sem depender de VPNs tradicionais, além do poder de permitir, restringir ou desativar totalmente o uso de IA.

O lançamento começa pela França, Alemanha, Áustria e Suíça, mirando organizações que lidam com conformidade em GDPR, DORA, NIS2, ISO27001 e SOC2. É um desafio direto à ideia de que escolha e controle reais podem vir de uma engine de navegador nas mãos do mesmo punhado de gigantes. Para quem leva privacidade e acesso seguro a sério, reforçar essa base com uma VPN confiável é o próximo passo natural.

Firefox desafia as big techs: Mozilla lança navegador corporativo com engine independente

#digital-sovereignty #cybersecurity #privacy #vpn #firefox #mozilla #enterprise-browser

Ver detalhe →

Uma vulnerabilidade crítica de execução remota de código foi divulgada no ONLYOFFICE Document Server em versões anteriores à 10.0.0. A falha permite que um atacante autenticado com um JWT válido compatível com Inbox execute comandos arbitrários do sistema operacional como a conta de serviço ds.

De acordo com o comunicado, a API Document Builder processa incorretamente o XML de conversor controlado pelo usuário enviado pelo terceiro argumento opcional de builder.SaveFile(). Ao injetar um elemento m_sFileTo duplicado, o atacante pode sobrescrever o caminho de saída gerado pelo servidor, modificar o runtime.json e alterar o executável do Document Builder para rodar comandos maliciosos.

Se você usa o ONLYOFFICE Document Server, atualize para a versão 10.0.0 ou superior imediatamente. Restrinja o uso de JWT a fontes confiáveis, sanitize entradas XML e monitore sinais de exploração. É um problema de alta severidade com exploração remota, então trate a correção como urgente.

Falha crítica no ONLYOFFICE Document Server permite execução total de comandos no sistema

#cybersecurity #vulnerability #patch #cve #remote-code-execution #onlyoffice

Ver detalhe →

Uma nova vulnerabilidade de alta severidade, rastreada como CVE-2026-108473, foi divulgada em vários dispositivos de casa inteligente TP-Link Kasa, com pontuação 8.7 no CVSS 4.0. A falha está no protocolo local de gerenciamento do dispositivo, onde um atacante não autenticado na mesma rede consegue enviar instruções de gerenciamento sem a devida autorização e alterar silenciosamente o estado ou as configurações do aparelho.

O aviso indica que a exploração remota não é possível, então o ataque exige uma posição na rede adjacente, mas o impacto continua sério para quem usa esses dispositivos em casa ou em pequenos escritórios. Em certas condições que envolvem a interação entre o usuário, o aplicativo móvel e o serviço de nuvem do dispositivo, a proteção insuficiente das comunicações ligadas à conta também pode expor informações e comprometer a conta na nuvem.

A correção é direta, mas urgente. Atualize o firmware para a versão mais recente, reforce o protocolo local de gerenciamento, restrinja o acesso às configurações do dispositivo e monitore tentativas de acesso não autorizado. Se a sua casa inteligente vive em uma rede compartilhada ou não confiável, adicione criptografia forte e uma VPN confiável como a ProtonVPN para blindar seu tráfego e sua privacidade.

Falha grave de autenticação expõe dispositivos inteligentes TP-Link Kasa

#cybersecurity #privacy #vulnerability #cve #iot #smart-home #tp-link #kasa

Ver detalhe →

A OpenAI afirma ter encontrado um dispositivo de gravação sofisticado escondido dentro de sua sede em São Francisco, plantado ao lado de uma sala de conferências executiva onde discussões confidenciais sobre o roteiro de produtos, pesquisa e relações governamentais acontecem com frequência. Em vez de recorrer primeiro a especialistas externos, a empresa usou seus próprios modelos de IA para analisar o equipamento e rastrear sua origem, chegando até um funcionário específico.

Promotores federais acusaram um engenheiro de 35 anos de tentar gravar secretamente conversas privadas entre funcionários da OpenAI. Investigadores também encontraram, em uma conta ligada à esposa do suspeito, comandos enviados a um chatbot perguntando como construir um gravador de áudio contínuo e como criptografar seu cartão SD. Um segundo dispositivo de gravação foi achado depois dentro de uma mochila que ele teria deixado no escritório.

O caso é um lembrete duro de que até as empresas de IA mais avançadas estão expostas a espionagem de velha guarda. Ele também expõe um problema crescente de controle de acesso e ameaças internas em toda a indústria de tecnologia, onde a segurança física e a digital valem apenas o que valem as pessoas com credenciais.

OpenAI usou sua própria IA para desmascarar um dispositivo de gravação escondido em seus escritórios

#ai #openai #security #cybersecurity #tech #privacy #espionage #insider-threat

Ver detalhe →

A OpenAI encontrou um dispositivo de gravação escondido dentro do próprio escritório, e o funcionário responsável foi preso. Segundo a empresa, o caso foi encaminhado ao FBI, que realizou a prisão enquanto a investigação segue em andamento.

Em publicação, a empresa afirmou que usou seus próprios modelos de inteligência artificial para analisar o dispositivo e identificar sua origem. O funcionário havia instalado o equipamento poucos dias antes da descoberta, e até agora não há indícios de acesso indevido a pesos dos modelos, código-fonte ou dados de clientes.

A OpenAI diz que seus protocolos de segurança foram desenhados para enfrentar ameaças internas, crimes cibernéticos e ações de Estados nacionais, e que o episódio mostra como a IA pode ajudar a identificar ataques sofisticados. O caso é um lembrete de que os maiores riscos de segurança podem vir de dentro de casa.

OpenAI encontra dispositivo de gravação escondido no escritório e funcionário é preso

#ai #openai #cybersecurity #tech #infosec #data-privacy #fbi

Ver detalhe →

A Mozilla apresentou o Firefox Enterprise, uma plataforma paga que coloca a administração corporativa do navegador nas mãos das equipes de TI. A ferramenta permite definir políticas de segurança, gerenciar extensões e estabelecer permissões conforme a identidade do funcionário e as condições do dispositivo, mantendo políticas, chaves e dados de telemetria dentro do ambiente controlado pela própria organização.

O controle de dados é o coração da novidade: os administradores podem criar regras por site para uploads, downloads, copiar e colar, além de decidir quais ferramentas de IA os funcionários podem usar. Para empresas preocupadas com vazamentos, IA fora de controle e exigências de conformidade, é uma camada de defesa séria que se conecta aos sistemas de monitoramento de segurança já existentes.

O Firefox e o Firefox ESR continuam gratuitos, enquanto o Enterprise estreia primeiro na França, Alemanha, Áustria e Suíça antes de chegar a novos mercados. A Mozilla vende a ideia como uma alternativa europeia a Google e Apple, construída sobre o próprio motor Gecko, e mostra que a disputa pelo navegador é, no fundo, uma disputa pelo controle dos dados.

Mozilla lança Firefox Enterprise pago com controle de dados e IA

#ai #cybersecurity #privacy #firefox #mozilla #enterprise

Ver detalhe →