Gamepad — Mercado de jogos, tecnologia, segurança da informação e política

Todas Segurança cibernética Tecnologia financeira Mercado de jogos Política Tecnologia

O Novo México está pressionando a Meta e pediu a um juiz que aplique até US$ 40 bilhões em penalidades pelo escândalo da Cambridge Analytica. Um júri já deu razão ao estado, concluindo que a Meta enganou usuários sobre como seus dados foram coletados e usados.

A procuradoria do estado argumenta que a multa precisa ser grande o suficiente para ter impacto real em uma empresa do tamanho da Meta, dizendo que o tribunal deve falar a única língua que a Meta entende: dinheiro. A Meta rebate e pede que a penalidade seja limitada a US$ 3,45 bilhões, alegando que o Novo México não provou que residentes foram enganados. A decisão deve sair ainda este mês e pode criar um precedente importante para a responsabilização sobre privacidade de dados.

Novo México pede até US$ 40 bilhões da Meta no caso de privacidade da Cambridge Analytica

#meta #big-tech #lawsuit #data-privacy #accountability #cambridge-analytica #new-mexico

Ver detalhe →

A Fortinet confirmou que uma vulnerabilidade zero-day crítica no FortiMail está sendo explorada em ataques reais, e a corrida contra o tempo já começou. Catalogada como CVE-2026-104286, com pontuação CVSS 9.8, a falha combina path traversal com neutralização incorreta de byte nulo, permitindo que atacantes não autenticados escrevam arquivos arbitrários via requisições HTTP ou HTTPS manipuladas.

A agência de segurança cibernética dos EUA adicionou o caso ao catálogo de vulnerabilidades exploradas conhecidas e deu até 4 de outubro de 2026 para agências federais agirem. As versões afetadas incluem FortiMail 8.0.0 a 8.0.1, 7.6.0 a 7.6.6, 7.4.0 a 7.4.8 e 7.2.0 a 7.2.9; correções estão previstas para 8.0.2, 7.6.7 e 7.4.9.

Enquanto o patch não chega, a recomendação é desativar o IBE, bloquear o acesso à internet na interface de gerenciamento ou restringi-la a redes privadas confiáveis. A empresa também divulgou indicadores de ataque para ajudar equipes a verificar invasões. Para reforçar a privacidade online no meio disso tudo, o ProtonVPN é uma opção prática de navegação criptografada.

Zero-day crítico no FortiMail é explorado em ataques: aplique mitigação agora

#cybersecurity #infosec #vulnerability #zero-day #fortinet #fortimail #cve-2026-104286

Ver detalhe →

Uma falha crítica de autenticação no plugin JSON API Auth para WordPress, registrada como CVE-2026-97637, expõe um cookie de sessão logged_in de administrador por meio de uma resposta de API em cache. A vulnerabilidade afeta todas as versões até a 3.1.2 quando o plugin pai PI-Media/json-api está ativo, e um atacante não autenticado consegue obter esse cookie com uma simples requisição GET.

A causa raiz é uma camada de cache que indexa respostas apenas por URI e query string, ignorando método HTTP e corpo POST. Assim, o endpoint generate_auth_cookie entrega uma sessão administrativa em cache para qualquer pessoa que o acesse. Pior: a checagem de HTTPS pode ser contornada adicionando insecure=cool à requisição, transformando um erro de plugin em um caminho completo para assumir o site.

Se você usa WordPress com esses plugins, atualize imediatamente, limpe respostas em cache e audite sessões de administrador. É um lembrete de que cache é poderoso, mas vira arma quando dados de autenticação ficam no lugar errado.

Falha crítica em plugin WordPress permite roubar sessão de administrador sem senha

#cybersecurity #infosec #vulnerability #authentication-bypass #wordpress #cve

Ver detalhe →

O Google acabou de lançar uma arma poderosa na luta contra o spyware. O Android 17 traz seis novos recursos de Proteção Avançada, com destaque para o Registro de Intrusão, que mantém registros de segurança e de rede criptografados de ponta a ponta fora do aparelho, nos servidores do Google, onde nem o próprio Google diz conseguir lê-los. Isso significa que um ataque direcionado pode ser investigado mesmo se o invasor apagar seus rastros no celular.

O Security Lab da Anistia Internacional chama isso de potencial divisor de águas para a responsabilização do spyware, e é fácil entender o motivo. Os registros ficam disponíveis por 12 meses, cobrem atividades de apps e de rede, e o usuário pode descriptografá-los e compartilhá-los com especialistas de confiança. Some a isso a Proteção USB que bloqueia conexões de dados com o telefone bloqueado, regras mais rígidas para serviços de acessibilidade arriscados, WebGPU desativado no Chrome e bloqueio automático após tentativas de autenticação frustradas, e temos uma grande evolução para quem leva privacidade a sério.

Cada passo importa em um mundo de vigilância constante. O Android 17 dá a usuários comuns, jornalistas e ativistas ferramentas forenses antes reservadas a especialistas. Manter-se privado na internet começa com defesa em camadas, e uma VPN confiável é o próximo passo inteligente para deixar seu tráfego fora de alcance. Acompanhe para mais avanços em segurança digital.

Android 17 vira o jogo contra o spyware com registros forenses à prova de adulteração

#cybersecurity #privacy #data-protection #spyware #google #android #mobile-security

Ver detalhe →

As empresas estão entregando as chaves do reino para agentes de IA, e quase ninguém está pegando essas chaves de volta. Um novo relatório da Delinea revela que agentes de IA mantêm o acesso aos sistemas corporativos muito depois de concluírem suas tarefas, alcançando silenciosamente registros de clientes, dados de funcionários, informações financeiras, logs de segurança e código-fonte até que alguém revogue as permissões.

Os números são impressionantes. 99,7% dos líderes de TI e segurança dizem que suas organizações têm uma política formal sobre quais dados as ferramentas de IA podem acessar, mas também suspeitam que uma ferramenta de IA acessou dados sensíveis além do necessário no último ano. 76% dos funcionários admitem ter ignorado aprovações para usar ferramentas de IA em sistemas de trabalho, e 42% dos líderes afirmam que não existe forma automática de encerrar o acesso da IA quando uma sessão termina.

As equipes de segurança estão no escuro: apenas 36% conseguem sempre rastrear um evento de acesso de IA envolvendo dados sensíveis até a pessoa que o autorizou. A lição é clara: política no papel não significa nada se você não consegue aplicá-la no momento em que o agente age. Para quem quer reforçar a própria privacidade, uma VPN robusta deixou de ser opcional.

Agentes de IA continuam acessando dados da empresa muito depois de terminar as tarefas

#ai #cybersecurity #infosec #data-privacy #ai-agents #access-control #delinea

Ver detalhe →

A Omnissa, empresa que nasceu da separação da VMware, lançou em beta o Elara, uma autoridade de governança de IA que promete conectar sinais entre os silos de dados corporativos. Em vez de obrigar times a adotar uma única stack, o Elara fica acima das ferramentas existentes e dá a líderes de TI e segurança um contexto mais amplo sobre o uso de apps, modelos e agentes de IA.

O cenário apresentado é forte: se a equipe de segurança precisa aplicar uma atualização urgente de sistema operacional, o Elara pode consultar vários sistemas, identificar uma paralisação de inventário no ServiceNow e mostrar o alcance da mudança antes da aprovação. Isso transforma uma decisão puramente técnica em um trade-off de negócios.

Analistas alertam que o desafio está na política corporativa e no acesso aos dados. O Elara só enxerga o que os sistemas registram, e um ponto único de controle entre silos pode virar um ponto único de falha. Ainda assim, o beta pode reacender a discussão sobre derrubar barreiras de dados nas empresas.

Beta do Elara, da Omnissa, promete uma nova forma de enxergar os silos de dados corporativos

#cybersecurity #infosec #enterprise-ai #ai-governance #data-governance #omnissa #elara

Ver detalhe →

Um condado da Flórida acaba de fazer uma descoberta assustadora: depois de decidir encerrar o uso das câmeras da Flock, o Condado de St. Lucie encontrou 11 dispositivos não autorizados e sem dono conhecido. As autoridades achavam que tinham 52 câmeras, mas 14 unidades extras apareceram, e apenas três foram reivindicadas depois pelo escritório do xerife. Isso deixa 11 câmeras de vigilância coletando dados em espaços públicos sem documentação e sem responsabilidade.

Moradores estão com razão indignados. As câmeras não reivindicadas foram marcadas para remoção e estão temporariamente cobertas com sacos plásticos para impedir nova coleta de dados, mas o dano à confiança já foi feito. Os leitores de placas da Flock enfrentam reação crescente por riscos à privacidade, e este caso mostra exatamente por quê: tecnologia de vigilância não pode ser instalada em segredo e tratada como normal.

Até que cada câmera seja identificada, a população de St. Lucie merece respostas.

Condado da Flórida encontra 11 câmeras de vigilância Flock não autorizadas que ninguém assume

#cybersecurity #privacy #surveillance #civil-liberties #flock #florida

Ver detalhe →

A polícia espanhola e parceiros internacionais prenderam um adolescente de 16 anos suspeito de comandar o grupo de ransomware KillSec, acusado de roubar dados de centenas de organizações e ameaçar vazá-los caso as vítimas não pagassem.

Os agentes apreenderam o site de vazamentos do grupo na dark web, desativaram cinco servidores e garantiram pelo menos 110 terabytes de dados. As investigações ligam o KillSec a cerca de 1.000 ataques suspeitos no mundo, com aproximadamente 500 confirmados como bem-sucedidos.

A operação mostra como grupos de ransomware usam falhas em nuvem, credenciais roubadas e até IA para ampliar a extorsão. Para quem defende sistemas, é um lembrete de que brechas básicas ainda alimentam o crime global.

Suspeito de 16 anos, suposto líder do ransomware KillSec, é preso em operação global

#hacking #cybersecurity #infosec #ransomware #data-breach #cybercrime #killsec #europol

Ver detalhe →

Uma nova backdoor de WordPress apelidada de SC está transformando a limpeza de sites em um pesadelo. Pesquisadores de segurança afirmam que ela se reconstrói a partir de pelo menos oito locais, incluindo arquivos, banco de dados e memória compartilhada.

O malware usa comando e controle via blockchain Ethereum, se esconde da tela de plugins e pode criar contas de administrador ocultas. Ele também se espalha por temas, drop-ins, plugins falsos e tarefas cron, então apagar todos os arquivos pode não ser suficiente.

O recado para donos de sites é direto: infecções modernas no WordPress podem agir como um sistema resiliente, não como um único arquivo malicioso. Atualize rápido, audite tudo e trate cada camada como comprometida.

Nova backdoor de WordPress que se autorreconstrói desafia qualquer tentativa de limpeza

#cybersecurity #infosec #wordpress #backdoor #malware #blockchain

Ver detalhe →

O Cisco Catalyst SD-WAN Manager está sob ataque de novo, e dessa vez é grave. A CVE-2026-76504, uma falha crítica de bypass de autenticação com nota 9.8 no CVSS, permite que um atacante remoto e não autenticado passe direto pelo login e entre no console de gerenciamento com privilégios de administrador. O problema está no tratamento incorreto de codificação de URI em requisições HTTP, então uma única chamada maliciosa pode sequestrar a API que controla toda uma rede corporativa.

A Cisco confirmou que a falha já foi explorada ativamente em setembro de 2026, o quinto zero-day de SD-WAN da empresa só neste ano. A agência de cibersegurança dos Estados Unidos (CISA) adicionou a vulnerabilidade ao seu catálogo de falhas conhecidas em exploração e determinou que agências federais corrijam tudo até 3 de outubro de 2026, além de fazer uma avaliação completa de comprometimento. As versões corrigidas vão da 20.9 à 26.2, mas quem roda builds antigas precisa migrar, porque não existe paliativo.

A lição é dura e repetida: um painel único que gerencia, configura e monitora redes gigantes é alvo dos sonhos para criminosos, e 2026 mostrou que eles sabem disso. Atualize agora, restrinja a exposição à internet, audite os arquivos serviceproxy-access.log e vmanage-server.log em busca de entradas suspeitas de j_security_check e trate sua borda de rede como território hostil.

Zero-day no Cisco SD-WAN é explorado ativamente e CISA obriga agências federais a corrigir até 3 de outubro

#cybersec #network-security #cisco #cisa #zero-day #sd-wan #vulnerabilidad

Ver detalhe →

Um novo estudo da Northeastern University, feito em parceria com a Consumer Reports, testou 21 veículos e 30 aplicativos de montadoras e descobriu que muitos enviam seus dados silenciosamente para gigantes de publicidade, rastreamento e analytics. De 21 carros, 19 contataram ao menos um terceiro por Wi-Fi, e 13 alcançaram domínios do Google.

O Tesla Model 3 liderou com folga: contatou 34 domínios únicos de anúncios e analytics por Wi-Fi, enquanto apps como myChevrolet, myCadillac e HondaLink compartilharam VINs, e-mails e até localização precisa com Google, Meta, Adobe, Microsoft e Yahoo. E o pior: seu VIN não pode ser redefinido como um ID de anúncio, então dá para cruzar seu carro com seu comportamento e histórico de compras na web.

A conclusão é direta. Seu carro é um rastreador sobre rodas, e os aplicativos dobram a exposição. Retome o controle com ferramentas de privacidade que realmente te respeitam.

Seu carro está te espionando: estudo revela veículos vazando dados para Google, Meta e Adobe

#cybersecurity #big-tech #privacy #surveillance #tracking #data-collection #connected-cars

Ver detalhe →

Um agente de IA foi solto sobre uma aplicação comum e encontrou, sem esforço, 8 de 10 vulnerabilidades. Depois, o mesmo agente foi apontado para o código idêntico protegido pelo novo Sentinel Envelope Plus da Thales, e não achou absolutamente nada, mesmo consumindo 970 vezes mais tokens e criando suas próprias ferramentas de análise.

A verdadeira virada está na escala. A engenharia reversa assistida por IA está derrubando o tempo e a especialização necessários para caçar zero-days dentro de softwares compilados, colocando implantações on-premises, embarcadas e de borda diretamente na mira. O Sentinel Envelope Plus reage blindando as partes mais sensíveis de uma aplicação com múltiplas camadas de proteção contra descompilação, adulteração e inspeção em tempo de execução, tudo sem mexer em uma única linha do código-fonte nem exigir um ambiente de build especial.

Para quem entrega sistemas críticos, esse tempo extra vale ouro. Ele amplia a janela para detectar, corrigir e proteger os clientes pelos ciclos normais de lançamento, em vez de entrar em pânico, e mantém algoritmos proprietários e lógica de negócio fora de alcance. Quando os atacantes automatizados ficam mais rápidos, a defesa mais inteligente é tornar o trabalho deles caro, lento e inútil.

Thales ergue um muro contra o hacking assistido por IA, e os números são impressionantes

#ai #cybersec #threat-intelligence #zero-day #reverse-engineering #software-security

Ver detalhe →