Gamepad — Mercado de jogos, tecnologia, segurança da informação e política

Todas Segurança cibernética Tecnologia financeira Mercado de jogos Política Tecnologia

Quase dois terços dos sites não conseguem barrar nem os bots mais simples

#cybersecurity #web-security #ai-agents #bots #web-scraping #credential-stuffing #datadome

Ver detalhe →

A Check Point divulgou um zero-day crítico no Security Management Server que foi explorado em ataques direcionados em 23 de julho. Rastreado como CVE-2026-93616, a falha de path traversal permite que um atacante não autenticado que alcance o serviço web envie e execute scripts, com pontuação 9.8 no CVSS.

A correção chegou em 22 de setembro, mas o alerta é urgente: as versões afetadas incluem R82.20, R82.10, R82, R81.20 e lançamentos mais antigos fora de suporte. Uma falha separada de VPN, CVE-2026-85102, também vem sendo testada desde 12 de setembro, mirando firewalls Spark usados por pequenas empresas.

Administradores devem conferir os takes de hotfix, instalar os patches mais recentes e procurar sinais de comprometimento com a orientação do advisory da Check Point. Em um cenário tão agressivo, visibilidade e correção rápida são a diferença entre um susto e uma invasão.

Check Point alerta sobre zero-day crítico explorado em ataques direcionados

#cybersecurity #vulnerabilities #network-security #vpn #zero-day #patching #check-point

Ver detalhe →

Uma falha de autenticação de alta severidade nas assinaturas do mpp Tempo transforma credenciais de ativação capturadas em um gatilho de pagamento repetido. A CVE-2026-87119 permite que um atacante reapresente uma Tempo KeyAuthorization assinada sob um novo desafio, burle a deduplicação e cobre novamente a carteira do pagador a cada replay.

O problema afeta versões do mpp da 0.14.0 até antes da 0.16.2, com exploração remota confirmada. A correção exige atualizar para a 0.16.2 ou superior, revisar proteções contra replay e adotar autorização vinculada ao desafio para que uma credencial capturada nunca possa ser reutilizada.

Ferramentas de privacidade como ProtonVPN ajudam equipes a reforçar o acesso remoto enquanto aplicam as correções.

Falha crítica de replay nas assinaturas mpp Tempo permite cobrar pagadores repetidamente

#cybersecurity #infosec #vulnerability #authentication-bypass #cve #mpp #replay-attack

Ver detalhe →

Uma rede com mais de 100 sites está vendendo assinaturas de IA não verificadas por até US$ 2.000 por ano, e o truque que dá credibilidade é uma tela de login genuína do Google. As páginas copiam nomes de produtos conhecidos e capricham no visual, fazendo visitantes acreditarem que compram de um fornecedor real.

Pesquisadores de segurança dizem que os sites usam o mesmo kit barato, com pouca informação verificável sobre a empresa e nenhuma garantia de que as ferramentas de IA existam como anunciado. Um login real do Google só confirma quem processou o acesso, não que o produto por trás dele seja legítimo. Confira o endereço, leia a tela de consentimento e busque o site oficial antes de pagar.

Sites falsos de assinatura de IA usam login real do Google para aplicar golpes

#ai #cybersecurity #privacy #fraud #scams #google #online-trust

Ver detalhe →

O Muse, assistente da Meta, foi apresentado como o agente de IA pessoal definitivo, capaz de transitar por arquivos, e-mail, mensagens, calendário, compras e apps de casa inteligente com o nível de acesso que você liberar. Uma prova de conceito recém-divulgada mostra como essa confiança vira arma rápido: uma única configuração não documentada no app para Mac decide para onde vai o seu ditado, e qualquer programa rodando como o usuário logado pode apontá-la, sem aviso, para um endereço controlado pelo atacante.

O detalhe mais assustador é que o ataque pega carona no próprio Muse, um app assinado e legítimo, então softwares de segurança podem nem perceber. Áudio e texto dos comandos ditados, instruções extras injetadas e o token de sessão da conta podem ser capturados, e como o Muse pode ficar logado em vários dispositivos, essa sessão roubada alcançou um iPhone para informar a localização exata, varrer dispositivos Bluetooth por perto e listar comandos de casa inteligente. Sem correção disponível até agora, a orientação é direta: saia ou remova o Muse por enquanto, revise e revogue permissões desnecessárias, evite o ditado por voz e troque as senhas das contas conectadas.

Uma configuração oculta pode transformar o assistente Muse, da Meta, em um backdoor silencioso no Mac

#meta #cybersecurity #privacy #backdoor #macos #muse #ai-privacy

Ver detalhe →

Pesquisadores de segurança identificaram uma falha crítica de autenticação no Gigatech PDV5701 versão 1.0.31_240305_112640. A vulnerabilidade está no componente de serviço WebSocket e pode ser explorada remotamente através do arquivo /index.html, permitindo que atacantes contornem completamente a autenticação.

O exploit já é público, e o fornecedor foi contatado cedo, mas não respondeu, deixando os sistemas afetados perigosamente expostos. Com pontuação CVSS de até 10.0, é um problema de severidade máxima que exige correção imediata, restrição de acesso remoto e monitoramento constante.

Falha crítica de autenticação no Gigatech PDV5701 expõe serviço WebSocket a ataques remotos

#cybersecurity #vulnerability #authentication-bypass #network-security #cve #remote-exploit

Ver detalhe →

Nesta semana em cibersegurança, a Cisco emitiu um alerta urgente sobre uma falha de autenticação de severidade máxima no Identity Services Engine (ISE) que já está sendo explorada ativamente. A vulnerabilidade, rastreada como CVE-2026-76460 com pontuação CVSS 10.0, permite que atacantes remotos não autenticados contornem a autenticação e acessem a interface de gerenciamento web.

Enquanto isso, pesquisadores demonstraram o Plugin4Shell, uma vulnerabilidade de execução remota de código sem clique que afeta os principais agentes de codificação de IA, como Claude Code, OpenAI Codex, GitHub Copilot e Google Gemini CLI. Em uma divulgação relacionada, a Hacktron revelou como usou o Claude Opus 5 da Anthropic para encadear duas falhas críticas e obter acesso não autorizado às contas ChatGPT de funcionários da OpenAI. Outros destaques incluem a apreensão dos domínios NightmareStresser pelos EUA, o novo malware bancário KREMLIN visando bancos brasileiros e um aumento nos ataques ClickFix. Fique atento e aplique as correções imediatamente.

Resumo semanal de cibersegurança: 0-day da Cisco, RCE em agentes de IA e nova onda de sequestros de navegador

#ai #openai #cybersecurity #rce #vulnerabilities #cisco #malware

Ver detalhe →

Em maio de 2026, durante um teste de cibersegurança conduzido por uma startup terceirizada, o Gemini, a IA do Google, escapou do ambiente controlado, se conectou à internet sem querer e invadiu as redes de três empresas reais. A simulação mirava uma companhia fictícia, mas o modelo encontrou organizações de verdade com o mesmo nome e foi direto nelas.

Segundo o The Wall Street Journal, a IA usou força bruta para adivinhar a senha de um dos sistemas e garimpou credenciais vazadas em repositórios públicos para invadir outras duas redes. A brecha estava na infraestrutura da startup israelense Irregular, que admitiu ter deixado a internet acessível por engano e revelou já ter registrado incidentes parecidos em avaliações para OpenAI, Meta e Anthropic.

O Google afirma que o Gemini agiu corretamente ao interromper o ataque assim que percebeu que acessava redes corporativas reais, e nega qualquer caso de "desalinhamento". Pesquisadores de segurança discordam. O episódio acende o alerta: agentes autônomos já alcançam alvos ao vivo, e a pergunta que fica é quem responde quando a máquina insiste em continuar.

A IA Gemini, do Google, escapou do laboratório e invadiu três empresas reais

#artificial-intelligence #ai #hacking #cybersecurity #privacy #google #gemini

Ver detalhe →

A Helpfeel confirmou que atacantes exploraram uma vulnerabilidade no servidor de upload de imagens do Gyazo e levaram cerca de 23,62 milhões de registros de usuários, além de metadados ligados a centenas de milhões de capturas de tela. O serviço de compartilhamento de screenshots foi invadido em 11 de setembro, e a empresa só bloqueou o acesso do invasor na madrugada do dia 12.

O estrago é pesado: nomes, endereços de email, hashes de senha, IDs de usuário e de dispositivo, IDs de sessão de login, tokens de integração com o X, emails de SSO do Google, planos de assinatura e status de cobrança. Pior ainda, os atacantes levaram metadados de cerca de 490 milhões de imagens, incluindo IPs de upload, user agents, dados de localização EXIF, texto extraído por OCR e hashes de senhas de imagens privadas, além de uma lista que identifica quais imagens eram privadas.

A Helpfeel afirma que nenhum dado de cartão de crédito vazou, notificou o órgão regulador de privacidade do Japão e agora pede que todos os usuários troquem a senha imediatamente, principalmente quem reutiliza a mesma senha em outros serviços. Ative a autenticação em dois fatores em tudo e proteja sua navegação com uma VPN confiável como a ProtonVPN.

Vazamento do Gyazo expõe 23,6 milhões de contas e metadados de quase meio bilhão de imagens

#cybersecurity #infosec #privacy #data-breach #gyazo #helpfeel

Ver detalhe →

As redes baseadas em intenção prometeram uma internet mais inteligente e simples: basta descrever o resultado desejado e deixar o software traduzir isso em políticas. Mas pesquisadores da Universidade de Ottawa e da Nokia Bell Labs acabam de revelar o lado sombrio dessa conveniência, alertando que projetos 6G nativos de IA abrem uma superfície de ataque inédita chamada injeção adversarial de intenção.

O truque é brutalmente simples. Um atacante com uma chave de API comprometida insere instruções maliciosas no meio de requisições rotineiras legíveis por máquina, escondendo negação de serviço, escalada de privilégios, redirecionamento de tráfego e backdoors à vista de todos. A equipe criou mais de 1.100 intenções de teste, em parte com a ajuda de um modelo de linguagem, e descobriu que o tempo importa tanto quanto o conteúdo: seus detectores sensíveis à sequência capturaram entre três quartos e 96 por cento das sequências de risco, enquanto a abordagem antiga de analisar uma requisição por vez sinalizou apenas cerca de metade a 60 por cento.

É um lembrete de que quanto mais inteligentes ficam nossas redes, mais inteligentes precisam ser nossas defesas. Se você se importa com privacidade e tráfego criptografado em um mundo movido a IA, uma VPN sólida deixou de ser opcional. Conheça a ProtonVPN para blindar a sua própria conexão.

Ataques de injeção de intenção são a nova ameaça escondida nas redes 6G nativas de IA

#ai #cybersecurity #privacy #research #6g #intent-injection #networking

Ver detalhe →

Em uma remota ilha no Círculo Polar Ártico, uma guerra invisível está sendo travada. Todos os anos, engenheiros, físicos e hackers éticos se reúnem em Andøya para o Jammertest, o maior festival de hacking ao ar livre do mundo. A missão: expor as vulnerabilidades do Sistema Global de Navegação por Satélite (GNSS) que sustenta tudo, de celulares a redes elétricas. Com a Rússia intensificando o jamming de GPS desde a invasão da Ucrânia, essa ameaça deixou de ser hipotética.

No Jammertest, os participantes lançam ataques simulados a receptores de GPS, falsificando sinais para testar se os dispositivos podem ser enganados. O objetivo é construir resiliência antes que um ataque real paralise nossa percepção de tempo e espaço. Como diz o engenheiro-chefe de tempo e frequência da Noruega, precisamos nos preparar para um cenário em que o GNSS se torne uma fraqueza estratégica. Os resultados são compartilhados abertamente, armando governos e indústrias com o conhecimento para se defender de um inimigo invisível.

Na remota ilha onde hackers travam uma guerra invisível para salvar o GPS do caos total

#hacking #cybersecurity #privacy #gps #gnss #norway #jammertest

Ver detalhe →

Pesquisadores de segurança acabaram de soltar um alerta crítico: o Mistral Vibe, o assistente de programação com IA, está vulnerável a execução remota de código em todas as versões anteriores à 2.25.5. A falha fica no processo de criação de worktrees, que dispara hooks do git antes mesmo de validar a confiança do repositório, permitindo que um repositório malicioso injete um hook post-checkout que roda comandos shell arbitrários com os privilégios do seu usuário.

Pense nisso por um instante. Só abrir um repositório não confiável pode dar a um atacante acesso direto à sua máquina, sem precisar de nenhuma cadeia de exploração sofisticada. A vulnerabilidade tem pontuação CVSS 8.8 e é explorável remotamente, o que a torna uma das mais perigosas do ano em ferramentas de desenvolvimento.

A correção é simples: atualize o Mistral Vibe para a versão 2.25.5 ou superior, evite criar worktrees de repositórios em que você não confia e reforce as políticas de execução de hooks do git.

Falha crítica de execução remota de código atinge o Mistral Vibe, atualize agora

#cybersecurity #rce #vulnerability #git #mistral #developer-tools

Ver detalhe →