Gamepad — Mercado de jogos, tecnologia, segurança da informação e política

Pesquisadores de segurança revelaram o BlackX, um novo bootkit UEFI capaz de contornar o Secure Boot em sistemas Windows mesmo com o patch do Baton Drop aplicado, porque muitas organizações nunca concluíram as etapas manuais de revogação. A Kaspersky associa a campanha ao APT41, ligado à China, e afirma que o alvo são entidades diplomáticas na Ásia Central.

O BlackX segue o manual do famoso BlackLotus: explora a CVE-2022-21894, instala Machine Owner Keys e entrega um driver de kernel assinado projetado para interferir em soluções de segurança de endpoint. A lição é direta: aplicar patches não basta quando as listas de confiança do firmware ficam sem gestão.

Bootkit UEFI BlackX contorna o Secure Boot em sistemas Windows com patch

#cybersecurity #windows #secure-boot #kaspersky #uefi #apt41 #bootkit

Ver detalhe →

Um juiz do Novo México aplicou uma multa impressionante de US$ 25 bilhões à Meta por violar leis de privacidade de dados entre 2010 e 2021, incluindo o escândalo Cambridge Analytica. A decisão apontou mais de 43 milhões de violações das leis de proteção ao consumidor do estado.

O tribunal classificou o dano como difícil de exagerar, destacando que ele atinge o coração do modelo de negócios do Facebook. Pela lei do Novo México, a indenização poderia chegar a US$ 219 bilhões, mais que toda a receita da Meta em 2025, mas o juiz fixou US$ 25 bilhões. A Meta afirma que vai recorrer, abrindo caminho para uma das maiores batalhas de privacidade da história da tecnologia.

Meta é condenada a multa de US$ 25 bilhões por compartilhar dados de usuários ilegalmente

#meta #cybersecurity #regulation #big-tech #data-privacy #cambridge-analytica

Ver detalhe →

Uma campanha cibernética de larga escala comprometeu dispositivos de borda de rede expostos, como firewalls Fortinet FortiGate e Palo Alto Networks GlobalProtect, vazando mais de 70 mil credenciais. Pesquisadores do Group-IB e NyxLab atribuem a atividade a um ator de ameaça conhecido como k0t, ativo desde outubro de 2025 e com ligações com os grupos de ransomware Qilin e The Gentlemen.

Os ataques exploram vulnerabilidades conhecidas e táticas de força bruta para obter acesso inicial, depois usam ferramentas legítimas de acesso remoto para manter persistência e exfiltrar dados. Com vítimas concentradas na Ásia-Pacífico, América Latina, Europa e Oriente Médio, as organizações são instadas a corrigir imediatamente e proteger seus dispositivos de borda. Esta brecha ressalta a necessidade crítica de defesas cibernéticas robustas.

Brecha massiva expõe 70 mil credenciais de firewalls e VPNs corporativas

#hacking #cybersecurity #data-breach #vpn #credentials #firewalls

Ver detalhe →

O governo do Reino Unido apresentou um plano amplo para proteger os cabos e dutos submarinos que transportam a maior parte dos dados internacionais e da energia do país. Pela proposta, danificar intencionalmente a infraestrutura submarina pode render até 14 anos de prisão, enquanto proprietários de navios podem enfrentar multas sem limite por causar danos.

O documento também cria novas obrigações de segurança e resiliência para operadoras de cabos de telecomunicações submarinos, além de poderes de direção de segurança nacional para o governo intervir quando os riscos forem considerados graves. Autoridades citam atividade russa suspeita nas águas britânicas como parte do motivo para o endurecimento.

Uma consulta pública de 12 semanas está aberta, e o governo pede que indústria e especialistas ajudem a moldar as regras finais. O plano também trata da tecnologia de sensoriamento por fibra óptica instalada nos cabos, capaz de detectar atividades no mar, mas que levanta preocupações de segurança nacional se dados sensíveis vazarem.

Reino Unido propõe penas de 14 anos para sabotagem de cabos submarinos

#cybersecurity #national-security #critical-infrastructure #uk #undersea-cables #sabotage

Ver detalhe →

Um conjunto de vulnerabilidades críticas no PHP, a linguagem de código aberto que sustenta cerca de 70% dos sites do mundo, obrigou governos e empresas a retirarem páginas do ar para evitar invasões. As falhas permitiam que criminosos assumissem o controle de servidores sem precisar de login ou senha. A atualização de correção já existe, mas o estrago na confiança é grande: no Brasil, a Anatel e tribunais suspenderam por precaução o acesso ao SEI.

O detalhe mais incômodo é o tempo. A Fundação PHP afirma que os primeiros sinais surgiram ainda em 2024, durante uma auditoria externa de segurança, e mesmo assim a correção ficou parada por meses. Os motivos escancaram a fragilidade do modelo de código aberto do qual todo mundo depende: dificuldade de decisão na equipe de segurança, ausência de uma forma conhecida de explorar a falha e a sobrecarga dos poucos desenvolvedores que realmente entendem o funcionamento do PHP, quase todos financiados por fundações ou atuando como voluntários.

Empresas de segurança confirmaram as falhas de forma independente e encontraram novas formas de explorá-las, usando modelos de IA para revelar brechas que passaram mais de uma década sem resposta. A lição é direta: a infraestrutura que roda Facebook, Wikipedia e WordPress não pode continuar dependendo de um punhado de voluntários exaustos. Financiar a manutenção do código aberto deixou de ser caridade e virou questão de segurança global.

Falha crítica no PHP tirou sites do ar no mundo todo, e a correção levou dois anos

#ai #cybersec #open-source #cybersecurity #vulnerability #infrastructure #php

Ver detalhe →

O Pillow, biblioteca de imagens presente em incontáveis projetos Python, carrega uma falha crítica de segurança que pode transformar um arquivo EPS manipulado em execução remota de código. A vulnerabilidade, registrada como CVE-2026-112900, explora o modo como o Pillow repassa nomes de arquivos ao Ghostscript e afeta versões da 2.6.0 até a 12.3.0. Com cerca de 436 milhões de downloads mensais, o alcance do problema é gigantesco.

Os mantenedores lançaram o Pillow 13.0.0 com correções para essa e outras falhas graves, incluindo problemas de corrupção de memória em JPEG e TIFF. Ainda não há ataques ativos conhecidos, mas equipes devem atualizar imediatamente e reconstruir containers ou imagens base que empacotem versões antigas. Mantenha o Ghostscript fora de hosts que processam uploads não confiáveis e nunca passe nomes de arquivos controlados pelo usuário para Image.open().

Falha crítica no Pillow permite execução de código via imagens manipuladas

#security #open-source #cybersecurity #vulnerability #python #pillow #ghostscript

Ver detalhe →

Uma nova ferramenta de ataque está transformando modelos de IA expostos em cúmplices. O honeypot da Symantec capturou um agente que varre a internet em busca de endpoints de modelos desprotegidos e usa a capacidade computacional de outra pessoa para planejar invasões, explorar frameworks web, roubar bancos de dados e credenciais e instalar mineradores de criptomoedas, tudo sem pedir aprovação humana. Os operadores empurram a conta para as vítimas e permanecem anônimos.

Durante o monitoramento, foram registradas mais de 127 mil requisições externas, incluindo chaves de API roubadas e sondagens por arquivos de configuração expostos. O prompt do agente usava um jailbreak para colher segredos e um modo 'Skynet' para continuar atacando sozinho, com até 100 mil etapas. Se você opera um serviço de IA, gateway de modelos ou servidor MCP, assuma que ele será encontrado. Proteja seus endpoints antes que seu modelo vire arma nas mãos de criminosos.

Hackers estão sequestrando modelos de IA expostos para lançar ciberataques autônomos

#ai #hacking #cybersecurity #privacy #llmjacking #symantec

Ver detalhe →

As equipes de segurança acabam de receber uma nova leva de ferramentas feitas para acelerar a defesa sem abrir mão dos controles. O Virtual Patching da Sweet Security promete proteção com um clique para workloads de nuvem e IA em execução, permitindo blindar vulnerabilidades conhecidas enquanto a correção definitiva ainda está em desenvolvimento.

O NexusAI da ThreatModeler leva modelagem de ameaças com IA para a plataforma Nexus; o PolicyArc da IDENTOS oferece acesso segmentado e com prazo limitado para agentes de IA; e os controles ampliados de zero trust da AppGate para OT adicionam monitoramento de sessões em tempo real e o poder de encerrar sessões de risco. A mensagem é clara: automação e governança de acesso estão se tornando partes centrais da defesa moderna.

Esta semana em infosec: patch instantâneo na nuvem, threat modeling com IA e controle de acesso mais rígido

#cybersecurity #infosec #cloud-security #zero-trust #threat-modeling

Ver detalhe →

A Capcom confirmou um incidente de segurança de grande porte no Capcom ID, com 11,7 milhões de registros de e-mails expostos em todo o mundo. A empresa afirma que senhas e dados de cartão de crédito não foram comprometidos, mas 196 contas tiveram alterações não autorizadas de senha.

Jogadores devem ficar atentos a mensagens fraudulentas que se passam pela equipe da Capcom, em uma semana já caótica para a segurança na web. O caso reforça a importância de proteger contas e reforçar a privacidade em serviços de games.

Vazamento no Capcom ID expõe 11,7 milhões de e-mails

#gaming #cybersecurity #privacy #data-breach #capcom #account-security

Ver detalhe →

$Uma grande reviravolta na confiança da web está abalando o sistema de certificados. A eMudhra, autoridade certificadora indiana, está saindo do negócio global de SSL/TLS depois que um pesquisador recuperou as chaves privadas de oito certificados intermediários de CA. As chaves deveriam ser números aleatórios enormes, mas todas as oito ficaram abaixo de 256, tornando-as trivialmente adivinháveis. Chrome e Firefox agiram rápido para parar de confiar na raiz afetada, e o Google está dizendo aos operadores de sites que instalem novos certificados TLS de outra hierarquia de PKI imediatamente. Cerca de 30.800 certificados não expirados estavam encadeados à raiz em 21 de outubro, com 99,9% emitidos via InCommon para a comunidade de ensino superior. A eMudhra afirma que seus sistemas não foram invadidos e que as chaves fracas nunca foram usadas para emitir certificados de sites, mas as consequências já forçam milhares de detentores de certificados a migrar. O episódio levanta questões difíceis sobre supervisão de autoridades certificadoras, automação e a fragilidade da confiança na internet. Cornell está recomendando certificados RSA em vez de ECC, algumas organizações miram o Let's Encrypt, e a Mozilla ainda avalia a confiança na raiz G1 da eMudhra. Para quem se preocupa com privacidade e segurança, é um lembrete forte de que a confiança online depende de gestão rigorosa de chaves e escrutínio independente.$

eMudhra deixa negócio global de SSL/TLS após oito chaves intermediárias de CA facilmente adivinháveis exporem crise de confiança

#cybersecurity #infosec #privacy #tls #certificate-authority #firefox #chrome #ssl

Ver detalhe →

O resumo de ameaças desta semana revela uma onda implacável de ataques contra redes sociais, infraestrutura em nuvem e sistemas corporativos. Mais de 4.500 contas do Bluesky foram comprometidas em uma campanha de phishing que prometia pagamento do governo, enquanto golpes com malware para Android em Singapura causaram perdas de quase S$ 1 milhão.

Equipes de segurança também correm para conter o roubo de credenciais que afetou clientes de infraestrutura de IA, uma invasão aos sistemas internos de CRM e aprendizagem da Genesys e 20 vulnerabilidades no Roundcube. O destaque é uma falha no NVIDIA AIStore com nota 10,0 que pode permitir a tomada de hosts Kubernetes, um alerta urgente para reforçar patches e defesas de privacidade.

Ameaças cibernéticas em alta: vazamento de credenciais de IA, falha 10.0 no Kubernetes e 4.500 contas Bluesky comprometidas

#cybersecurity #privacy #vulnerabilities #data-breach #phishing #kubernetes

Ver detalhe →

Um tribunal do Novo México condenou a Meta a pagar US$ 25 bilhões após identificar mais de 43 milhões de violações da lei estadual de práticas injustas. A decisão remonta ao escândalo Cambridge Analytica, quando dados de usuários foram coletados sem consentimento e usados para criar perfis psicológicos.

O juiz afirmou que o Facebook enganou os usuários ao prometer que eles controlavam seus dados, classificando a afirmação como falsa. A Meta diz que vai recorrer, mas a multa se soma a uma longa lista de problemas regulatórios e levanta novas dúvidas sobre o controle real das pessoas sobre suas informações pessoais.

Se privacidade é prioridade, ferramentas como ProtonVPN podem ajudar a proteger seus dados de olhares indesejados. O caso é um lembrete duro de que a batalha pela privacidade digital está longe de acabar.

Meta é condenada a pagar US$ 25 bilhões por 43 milhões de violações de privacidade

#meta #cybersecurity #tech #regulation #privacy #data-breach #cambridge-analytica

Ver detalhe →