Gamepad — Mercado de jogos, tecnologia, segurança da informação e política

Todas Segurança cibernética Tecnologia financeira Mercado de jogos Política Tecnologia

O assistente de programação da Anthropic tem um hábito caro: quando o desenvolvedor aprova um comando com 'Sim, e não pergunte novamente', o Claude Code salva o comando exato, senha, token e tudo, em um arquivo de projeto em texto puro. Pesquisadores da Apiiro encontraram 1.122 cópias públicas do .claude/settings.local.json no GitHub com pelo menos 1.379 segredos em formatos válidos, de chaves AWS a senhas de banco e logins SSH.

O estrago não acaba com a exclusão. Versões antigas continuam no histórico do git e nos forks, e o Claude Code nunca adiciona o arquivo ao .gitignore do projeto. Em 539 repositórios, commits com Claude como coautor alteraram o arquivo, o que sugere que o agente muitas vezes o comita sozinho.

A correção é direta: rotacione todas as credenciais primeiro, depois limpe. Pare de rastrear o arquivo, adicione ao .gitignore e use variáveis de um gerenciador de segredos em vez de digitar senhas nos comandos. Tratar a conveniência da IA como fronteira de segurança é uma conta que alguém vai pagar depois.

Claude Code está vazando senhas e chaves de API em 1.122 repositórios públicos do GitHub

#cybersec #privacy #claude-code #data-leak #github #api-keys

Ver detalhe →

Relatório do The Hacker News expõe uma crise de segurança que já está em curso: ferramentas de IA estão encontrando vulnerabilidades em uma escala que os processos de divulgação não foram feitos para absorver. Um programa já registrou mais de 40 mil achados, sendo 42% críticos ou altos, e o primeiro lote público de correções começa a sair agora.

Em vez de focar só no holofote, a estratégia aposta em correções silenciosas para versões antigas ainda em uso, arquivos de patch públicos, avisos mais claros e entrega mais rápida para quem defende os sistemas. O recado é direto: a fronteira da IA avança depressa, mas a batalha real acontece na ponta do consumo, onde sistemas desatualizados e ciclos de atualização lentos deixam todo mundo exposto.

Alerta de segurança cibernética: a IA encontra falhas mais rápido do que os patches conseguem acompanhar

#cybersec #open-source #threat-intelligence #ai-security #patching #supply-chain #vulnerability-disclosure

Ver detalhe →

O Arkea, gigante francês dos serviços financeiros, confirmou que um ataque cibernético sofisticado vindo do exterior drenou cerca de 133 milhões de dólares de seus sistemas, com os fundos roubados rapidamente convertidos em criptomoedas por meio de plataformas especializadas de negociação.

O Ministério Público de Paris abriu uma investigação formal após o banco registrar denúncia, e a invasão aconteceu menos de uma semana depois de a gigante cripto Binance ser alvo de uma ação semelhante. O Arkea garante que as contas dos clientes não foram afetadas e que o prejuízo não ameaça a saúde financeira do grupo, mas a dimensão do desvio é impossível de ignorar.

A fraude foi revelada pelo analista de blockchain ZachXBT, um lembrete de como o crime digital transnacional se move rápido e de por que segurança à prova de falhas nunca pode ser detalhe secundário para quem guarda dinheiro.

Banco francês perde US$ 133 milhões em ataque hacker convertido em cripto

#cybersec #hacking #cybersecurity #crypto #bank-fraud #arkea

Ver detalhe →

O NIST publicou Small Business Cybersecurity: Non-Employer Firms, um guia feito sob medida para os cerca de 82% dos pequenos negócios dos Estados Unidos que funcionam sem nenhum funcionário remunerado além do dono. São aproximadamente 28,5 milhões de freelancers, profissionais autônomos e prestadores de serviço que agora precisam se defender de ransomware, phishing e invasão de contas sem ter um departamento de TI.

O material corta o jargão sem piedade. O dono do negócio é orientado a listar cada dispositivo, conta, software e serviço dos quais depende, e depois ativar autenticação multifator em tudo que oferece o recurso, priorizando métodos resistentes a phishing e passkeys. Frases-senha únicas de pelo menos 15 caracteres, atualizações em dia, contas padrão para o trabalho do dia a dia e backups protegidos e realmente testados completam o básico.

O guia também encara riscos que não existiam há poucos anos. Antes de colar informações sensíveis em uma ferramenta de IA, o dono deve verificar como o fornecedor armazena e compartilha esses dados e se eles são usados para treinamento, além de revisar qualquer conteúdo gerado por IA antes de publicar ou de tomar decisões com base nele. Se um prestador de segurança for contratado, o escopo do serviço precisa estar em um acordo formal, porque a responsabilidade continua sendo do negócio. A mensagem é direta e útil: pequeno não significa seguro, mas pode significar preparado.

NIST acaba de entregar um manual gratuito de segurança cibernética para freelancers e negócios solo

#cybersec #privacy #mfa #small-business #nist #solopreneur

Ver detalhe →

Aquelas portas USB gratuitas espalhadas pelos aeroportos viraram a lenda urbana favorita da internet, e pesquisadores de segurança finalmente colocaram as coisas no lugar. A ameaça é tecnicamente real: o padrão USB transporta dados e energia pelo mesmo cabo, e provas de conceito como o carregador malicioso Mactans, apresentado em 2013, mostraram que uma porta adulterada poderia, em teoria, instalar malware ou roubar dados do celular conectado. Órgãos como o FBI e a TSA já alertaram os viajantes em alto e bom som, e a FCC chegou a publicar um aviso sobre juice-jacking para depois retirá-lo quando especialistas contestaram a dimensão do problema.

Agora o dado que realmente importa: não existem relatos confiáveis de um único ataque bem-sucedido desse tipo no mundo real. O pânico é exagerado, mas o risco não é zero, e a defesa custa quase nada. Recuse todo pedido de confiança que o celular exibir, leve seu próprio carregador de tomada ou bateria portátil e, se precisar mesmo usar uma porta desconhecida, aposte em um bloqueador de dados USB. O Amazon Prime ajuda a garantir o seu antes da próxima viagem, e combinar isso com uma VPN decente fecha as outras brechas da sua conexão.

A lição maior é a de sempre: redes e portas públicas são espaços compartilhados feitos para conveniência, não para a sua privacidade. Atualize o sistema, ative autenticação em dois fatores, evite logins sensíveis no Wi-Fi do aeroporto e viaje como quem entende de verdade a superfície de ataque, não como quem só leu uma manchete assustadora.

Portas USB de aeroporto: o juice-jacking existe, mas o pânico em torno dele não

#travel #cybersec #security #privacy #usb

Ver detalhe →

A Binance anunciou que cobriu 90% das perdas após um ataque hacker que drenou mais de US$ 6 bilhões em criptomoedas. A exchange usou recursos próprios, fundo de emergência e seguro para garantir que nenhum cliente sofra prejuízo financeiro.

Os 10% restantes envolvem criptomoedas com menor liquidez, mais difíceis de comprar em grandes volumes, mas a Binance afirma que continuará adquirindo os ativos até repor o valor total. A resposta rápida reforça a importância de uma segurança cibernética robusta no setor cripto.

Binance cobre 90% das perdas após ataque hacker de US$ 6 bilhões

#cybersec #security #crypto #blockchain #hack #binance

Ver detalhe →

Pesquisadores da firma de segurança Parameter acabam de revelar um cenário assustador: um link compartilhado do ChatGPT, daqueles que a gente envia e abre sem pensar duas vezes, podia executar código malicioso dentro da sua sessão autenticada e ler conversas que você nunca compartilhou com ninguém.

A cadeia de ataque é genial e aterrorizante na mesma medida. Um frame de preview isolado, um gráfico interativo que carregava a biblioteca MathLive na página principal e um listener de mensagens que aceitava dados de teclado de qualquer remetente foram empilhados até que HTML não confiável conseguisse criar um frame tratado pelo navegador como parte do chatgpt.com. Dali em diante, o código chamava as próprias APIs autenticadas do ChatGPT e saía com o conteúdo de chats privados.

A OpenAI reproduziu o ataque, elevou a severidade de P2 para P1 e liberou a correção em duas versões do frontend em oito dias, pagando cinco mil dólares pela divulgação. Do seu lado, não há nada para instalar. Ainda assim, o caso é um lembrete alto de que conveniência e confiança são os alvos mais frágeis da pilha, e que privacidade em camadas, com uma VPN séria, deveria ser padrão em qualquer setup.

Um único link compartilhado do ChatGPT bastava para sequestrar conversas privadas, e a falha foi classificada como crítica

#ai #cybersec #openai #chatgpt #privacy #vulnerability #bug-bounty

Ver detalhe →

Pesquisadores da Cofense revelaram uma campanha de phishing que usa o hype em torno das prévias exclusivas de IA da Anthropic como isca. Os e-mails imitam convites do GoTo Webinar, usam encurtadores e telas de CAPTCHA para driblar ferramentas de segurança e levam a páginas falsas de login do Google e da Microsoft para roubar credenciais.

O golpe mostra que o medo de ficar de fora das novidades de IA virou um campo fértil para engenharia social. Vale desconfiar de remetentes, domínios e URLs de login, além de reforçar com as equipes que até páginas visualmente perfeitas podem esconder uma operação criminosa.

Prévias falsas da Anthropic estão atraindo funcionários para entregar logins do Google e da Microsoft

#ai #cybersec #anthropic #security #phishing #social-engineering #credential-theft

Ver detalhe →

O assistente Bixby, da Samsung, carrega uma vulnerabilidade de alta severidade registrada como CVE-2026-21157, com pontuação CVSS 4.0 de 8.3. Segundo o informe, a validação de entrada inadequada em versões anteriores à 4.0.85.6 permite que atacantes locais com privilégios lancem atividades arbitrárias no aparelho.

Na prática, um atacante com acesso local e privilégios elevados poderia abusar do assistente para disparar ações que jamais deveria alcançar. A Samsung já publicou o boletim de segurança e liberou a correção, então quem continua em uma versão antiga está exposto por escolha, não por acaso.

A solução é direta: atualize o Bixby para a versão 4.0.85.6 ou superior o quanto antes. Falhas de privilégio local como essa são justamente o tipo de brecha silenciosa que fica perigosa quando combinada com outros exploits, então corrigir cedo é a decisão mais inteligente.

Samsung Bixby tem falha de segurança grave e seu celular precisa da correção agora

#cybersec #privacy #vulnerability #cve #android #samsung #bixby

Ver detalhe →

Um ator de ameaça suspeito de ligação com a China transformou a IA em multiplicador de força para espionagem cibernética, encadeando as falhas PHP2Shell e Fragnesia para comprometer 25 servidores nos EUA, Japão, Taiwan e Coreia do Sul. A operação alcançou três sistemas dentro de um ambiente afiliado ao governo dos EUA e depois avançou sobre o Active Directory para extração de credenciais e enumeração de usuários.

Pesquisadores da Dream recuperaram código de exploit personalizado e evidências de ferramentas assistidas por IA, incluindo Claude Code, FOFA e uma plataforma ofensiva com modelos DeepSeek e Kimi. O caso mostra como a IA pode encurtar o caminho entre a descoberta de uma vulnerabilidade e o comprometimento total do domínio, e por que interfaces de gerenciamento de firewall expostas são um risco urgente.

Ataque PHP2Shell assistido por IA compromete 25 servidores e viola rede ligada ao governo dos EUA

#ai #cybersec #hacking #china #cyberattack #vulnerability #government

Ver detalhe →

Pesquisadores da TrendAI revelaram algo que parece ficção científica, mas já é realidade: uma plataforma open-source de testes de invasão chamada CyberStrikeAI foi usada para orquestrar 44 agentes autônomos de IA ao longo de todo o ciclo de ataque, da reconhecimento e descoberta de vulnerabilidades à exploração, comando e controle, persistência, exfiltração de dados e até relatórios automatizados.

Ao menos 19 organizações foram sondadas em poucos dias, sendo pelo menos 16 no Japão. A plataforma gerou páginas de login falsas localizadas em japonês e produziu relatórios padronizados de evidências, um sinal claro de que se tratava de um fluxo estruturado e repetível, não do trabalho improvisado de um único operador.

Dois outros conjuntos de intrusões mostram como a IA está sendo acoplada à experiência humana: em um deles, um LLM acelerou o planejamento e o desenvolvimento de ferramentas enquanto os atacantes buscavam capacidade de inferência barata; no outro, a IA teve papel apenas de apoio na criação de scripts contra dispositivos de borda da Cisco, Citrix, F5 e Yamaha. O relatório de defesa digital da Microsoft de 2026 aponta que o tempo mediano entre a descoberta de uma falha e sua armaização caiu para bem menos de 24 horas. A conclusão é direta: a força de trabalho dos atacantes ficou maior, mais rápida e incansável, o que torna obrigatório blindar infraestruturas expostas e proteger a própria privacidade.

44 agentes de IA conduziram uma campanha de hacking completa contra o Japão, e isso muda tudo na defesa cibernética

#ai #cybersec #hacking #privacy #threat-intelligence #japan

Ver detalhe →

O OpenPanel, plataforma de analytics open source em que muitos times confiam seus dados de produto, está carregando uma falha que não exige nenhuma credencial para ser explorada. A CVE-2026-116818 é uma injeção SQL no ClickHouse, sem autenticação, entregue pelo parâmetro projectId do WebSocket /live/visitors/:projectId, um endpoint que simplesmente não verifica sessão nem acesso ao projeto. Sem login. Sem token. Apenas uma requisição montada.

A partir daí, atacantes conseguem encadear consultas UNION ou oráculos de contagem booleana para extrair eventos e perfis de outros clientes direto do banco. E não é só gente de fora: membros de projeto com permissões limitadas podem injetar pelos valores de período em cohort.preview e sair com os mesmos dados entre tenants.

A correção é direta e obrigatória: atualize para o OpenPanel 3.0.0 ou superior e depois audite quem realmente tem permissão de escrita nos seus projetos. Essa é apenas uma de uma leva de falhas divulgadas contra a plataforma de uma só vez, e é a de maior alcance. Se o seu time trafega dados de clientes por redes não confiáveis, colocar uma camada de VPN robusta embaixo é seguro barato, e a nossa indicação de ProtonVPN é um bom ponto de partida.

Injeção SQL sem autenticação no OpenPanel deixa qualquer um ler os dados de todos os clientes

#cybersec #privacy #vulnerability #data-breach #sql-injection #openpanel #clickhouse

Ver detalhe →