Gamepad — Mercado de jogos, tecnologia, segurança da informação e política

Todas Segurança cibernética Tecnologia financeira Mercado de jogos Política Tecnologia

A Microsoft derrubou a Yam Store, um mercado clandestino que industrializou o phishing como serviço e impulsionou mais de 1 bilhão de mensagens maliciosas contra mais de 75 mil organizações no mundo. Só entre clientes da Microsoft foram mais de 750 milhões de mensagens, gerando dezenas de milhões de dólares para os criminosos que operavam o esquema.

A investigação começou com um alerta da Agência Nacional de Polícia do Japão e virou uma operação global com forças policiais e empresas como Cloudflare, Oracle, Proofpoint, Resecurity e TRM Labs. O que parecia um conjunto de golpes isolados revelou um vasto mercado criminoso de língua chinesa que vendia kits prontos, contas roubadas e infraestrutura de phishing, incluindo 2.300 modelos que imitavam organizações de mais de 150 países.

Os kits vinham com geofencing, CAPTCHAs falsos, listas de bloqueio de IP e técnicas anti-detecção, permitindo que criminosos pouco qualificados atacassem em escala. A lição é dura e direta: higiene digital e desconfiança de mensagens urgentes continuam sendo sua melhor defesa. Ferramentas como o ProtonVPN adicionam uma camada extra de privacidade na sua navegação.

Microsoft derruba a Yam Store, mercado de phishing por trás de 1 bilhão de mensagens maliciosas

#security #cybersecurity #privacy #microsoft #cybercrime #malware #phishing

Ver detalhe →

A OpenAI afirma ter encontrado um dispositivo de gravação sofisticado escondido dentro de sua sede em São Francisco, plantado ao lado de uma sala de conferências executiva onde discussões confidenciais sobre o roteiro de produtos, pesquisa e relações governamentais acontecem com frequência. Em vez de recorrer primeiro a especialistas externos, a empresa usou seus próprios modelos de IA para analisar o equipamento e rastrear sua origem, chegando até um funcionário específico.

Promotores federais acusaram um engenheiro de 35 anos de tentar gravar secretamente conversas privadas entre funcionários da OpenAI. Investigadores também encontraram, em uma conta ligada à esposa do suspeito, comandos enviados a um chatbot perguntando como construir um gravador de áudio contínuo e como criptografar seu cartão SD. Um segundo dispositivo de gravação foi achado depois dentro de uma mochila que ele teria deixado no escritório.

O caso é um lembrete duro de que até as empresas de IA mais avançadas estão expostas a espionagem de velha guarda. Ele também expõe um problema crescente de controle de acesso e ameaças internas em toda a indústria de tecnologia, onde a segurança física e a digital valem apenas o que valem as pessoas com credenciais.

OpenAI usou sua própria IA para desmascarar um dispositivo de gravação escondido em seus escritórios

#ai #openai #security #cybersecurity #tech #privacy #espionage #insider-threat

Ver detalhe →

O GitHub está reforçando a publicação confiável no npm depois que pesquisadores descobriram uma falha crítica chamada SlugFest, que permitia a atacantes sequestrarem pacotes ao reivindicar nomes de repositórios abandonados. A brecha afetou mais de 1.500 pacotes e deixava versões maliciosas herdarem confiança, contagem de downloads e dependências.

A correção expira configurações de publicação não validadas após 48 horas e exige uma publicação bem-sucedida para vincular o repositório ao seu ID imutável. O GitHub também bloqueia tokens de eventos issue_comment, fechando um caminho perigoso de ataque à cadeia de suprimentos que poderia ser amplificado por agentes de IA.

É uma vitória importante para a segurança do código aberto, mas mostra como a confiança é frágil quando a identidade depende de nomes em vez de IDs permanentes. Desenvolvedores devem validar suas configurações de publicação confiável no npm agora e acompanhar a integridade dos pacotes.

GitHub reforça publicação no npm após falha SlugFest expor mais de 1.500 pacotes a sequestro

#hacking #security #open-source #cybersecurity #supply-chain #github #npm

Ver detalhe →

Uma nova vulnerabilidade crítica no roteador Wavlink WL-WN530BE1-A está chamando atenção: a CVE-2026-109109 recebe nota máxima 10.0 no CVSS 3.1, e um exploit público já circula por aí.

A falha é um estouro de buffer baseado em pilha no componente ExportAllSettings.cgi, acionado por entradas manipuladas de HTTP_COOKIE ou X-Cmd. Como pode ser explorada remotamente e sem autenticação, cada aparelho sem correção vira uma porta aberta.

Se você tem esse modelo, atualize o firmware agora, desative o gerenciamento remoto se não precisar e monitore sua rede. Em tempos de roteadores sempre conectados, corrigir falhas deixou de ser opcional.

Roteador Wavlink tem falha crítica 10.0 com exploit público

#security #cybersecurity #vulnerability #exploit #cve #router #firmware #wavlink

Ver detalhe →

Pesquisadores da Bitdefender revelaram os detalhes do Midnight Mimosa, uma campanha maliciosa embutida diretamente no firmware de celulares Android baratos baseados em plataformas MediaTek. Não se trata de um golpe de phishing nem de um app suspeito baixado por aí. O malware vem dentro do aparelho antes mesmo de chegar às suas mãos.

Rastreado como com.android.system.lite, o componente roda com privilégios de nível de sistema, permitindo que os operadores instalem e removam apps silenciosamente, concedam a si mesmos permissões de acessibilidade, notificações e SMS, cometam fraude de anúncios e transformem o seu celular em um nó de retransmissão de proxy residencial dentro de uma botnet. Treze apps relacionados também foram encontrados na Google Play, e os dispositivos infectados aparecem principalmente no México, seguido por Brasil, França, Itália e Estados Unidos.

A pior parte é a armadilha embutida no projeto. Como o código malicioso fica na partição do sistema, não dá para removê-lo com uma desinstalação comum, e o Play Protect foi deliberadamente ignorado durante a instalação do payload. Os pesquisadores afirmam que a solução definitiva precisa vir dos fabricantes e dos marketplaces que distribuem esse firmware comprometido. Enquanto isso, proteja a sua privacidade móvel com uma VPN reforçada antes de confiar seus dados a aparelhos tão baratos.

Celulares Android baratos saem de fábrica com malware que os transforma em bots proxy

#cybersec #security #privacy #botnet #android #malware #google-play

Ver detalhe →

Usuários do ZITADEL estão em alerta máximo depois que uma falha crítica de autenticação (CVE-2026-109372) transformou o fluxo de login SAML da plataforma em uma porta aberta. A brecha permite que um atacante com permissão de administrador de organização registre seu próprio provedor SAML com uma chave de assinatura pessoal e, em seguida, explore um callback de intent inconsistente para obter uma sessão totalmente autenticada como qualquer usuário vinculado a outro provedor, até mesmo em organizações diferentes.

Com pontuação CVSS 9.3 e avaliação CVSS 4.0 também classificada como crítica, esse é o tipo de falha que reescreve todo um perímetro de identidade da noite para o dia. As versões 4.x anteriores à 4.19.2 e 3.x até 3.4.15 são afetadas, então atualizar para 4.19.2 ou 3.4.15 não é opcional, é urgente.

Se sua operação depende de login único, encare isso como um alerta: audite cada provedor SAML, rotacione chaves de assinatura e controle rigorosamente quem pode criar conexões de identidade. Senhas fortes não salvam ninguém quando o próprio modelo de confiança está confuso, então reforce a proteção com navegação criptografada e uma VPN confiável.

Falha crítica no ZITADEL permite sequestrar qualquer conta via confusão de SAML

#security #cybersecurity #authentication-bypass #cve #identity #zitadel #saml

Ver detalhe →

A Ledger confirmou que algumas de suas carteiras físicas vendidas por um revendedor do sudeste asiático foram adulteradas com um implante de hardware escondido que drenou as criptomoedas dos usuários. Os dispositivos adulterados, vendidos por quase metade do preço normal, capturavam a tela e os botões para reconstruir a seed e enviavam tudo ao atacante por conexão LTE usando um eSIM minúsculo.

Pesquisadores encontraram o circuito malicioso escondido atrás da tela OLED, com a bateria trocada e um fio de antena denunciando a fraude. A Ledger recomenda que quem comprou do revendedor não autorizado não configure o aparelho e mova os fundos para uma nova carteira com uma nova seed.

O caso é um alerta duro de que, no mundo cripto, a cadeia de suprimentos é superfície de ataque. Comprar em canais autorizados e desconfiar de preços bons demais segue sendo o upgrade de segurança mais barato que existe.

Ledger confirma implante de chip espião em carteiras físicas por trás de roubos de criptomoedas

#security #cybersecurity #supply-chain-attack #crypto #hardware-wallet #bitcoin #ledger

Ver detalhe →

O Google mudou o jogo ao prometer sete anos de atualizações de software para o Pixel 8 e para todos os modelos seguintes, cobrindo tanto as grandes versões do Android quanto os patches de segurança mensais. Mas nem todo Pixel tem direito a esse mesmo prazo generoso.

Modelos mais antigos, como o Pixel 6 e o 6 Pro, estão chegando agora ao fim da janela de suporte, enquanto o Pixel 7 e o 7 Pro terão o mesmo destino no fim de 2027. Saber a data exata em que o seu celular para de receber atualizações é essencial, porque, quando os patches de segurança acabam, o aparelho fica exposto a ameaças que nunca mais serão corrigidas.

ROMs personalizadas como GrapheneOS e LineageOS podem prolongar a vida de um Pixel mais antigo, mas não substituem totalmente o firmware, o kernel e o código do fabricante. Se segurança reforçada é importante para você, talvez seja hora de trocar de aparelho.

Linha do tempo de atualizações do Google Pixel: por quanto tempo seu celular realmente vive

#security #tech #android #smartphones #google-pixel #software-updates

Ver detalhe →

Uma falha crítica no plugin Advanced IP Blocker para WordPress está acendendo o alarme no mundo da segurança. Com nota 9.8 de 10, essa brecha de autenticação permite que atacantes não autenticados passem direto pela verificação em duas etapas e entrem em qualquer conta, incluindo contas de administrador.

O truque é brutal pela simplicidade: o plugin nunca confirma se o visitante concluiu a primeira etapa com senha antes de aceitar o código do segundo fator. Os atacantes podem forçar o código de seis dígitos sem bloqueio, sem limite de tentativas e sem alertas de falha de login, recebendo uma sessão totalmente autenticada sem nunca saber a senha.

Sites que usam o recurso de 2FA do plugin devem atualizar imediatamente. Esse é o tipo de falha que transforma um login protegido em porta aberta, e um lembrete duro de que até nossas redes de segurança precisam de escrutínio rigoroso. Se você valoriza sua privacidade online, proteger cada camada da sua estrutura nunca foi tão importante.

Falha crítica no WordPress permite ignorar o 2FA e assumir qualquer site

#security #cybersecurity #infosec #vulnerability #wordpress #authentication #2fa

Ver detalhe →

Você acha que dois antivírus são melhores que um? Pense de novo. Um veterano da Microsoft acabou de revelar um cenário de pesadelo em que dois programas de segurança transformaram um PC em um campo de batalha, cada um tratando o outro como ameaça.

O resultado? Caos total, com quarentenas e funções interceptadas causando o colapso do sistema. A lição: nunca execute duas soluções antimalware ao mesmo tempo. Se precisar trocar, substitua, não empilhe. Seu PC agradece.

Veterano da Microsoft alerta: usar dois antivírus pode causar o caos no seu PC

#security #cybersecurity #microsoft #windows #antivirus

Ver detalhe →

Uma empresa de recuperação de ransomware está sendo processada por fraude eletrônica em um tribunal de Nova York depois de supostamente vender um serviço de descriptografia que nunca existiu. Segundo a acusação, a companhia prometia liberar arquivos criptografados sem pagar aos criminosos, mas na verdade quitava o resgate por conta própria e embolsava a diferença.

O valor pago aos atacantes costumava ser irrisório perto do que era cobrado das vítimas. Em um dos casos, um pagamento de apenas 8.200 dólares aos hackers veio acompanhado de uma fatura de 150.000 dólares para o cliente, transformando o resgate em uma segunda rodada de exploração.

Especialistas alertam que esse golpe faz parte de um ecossistema maior de falsos negociadores, supostas autoridades e empresas de recuperação duvidosas que atacam companhias já desesperadas para reaver seus dados. A lição é direta: investigue seus parceiros de resposta a incidentes antes de sofrer um ataque, não depois.

Empresa de recuperação de ransomware é acusada de pagar hackers em segredo enquanto cobrava fortunas dos clientes

#cybersec #security #ransomware #cybercrime #fraud

Ver detalhe →

A Dinamarca acabou de viver um dos maiores vazamentos de dados de sua história. Atacantes abusaram do acesso legítimo de uma empresa privada ao Registro Central de Pessoas (CPR) e levaram nomes, endereços e números de CPR de 8,8 milhões de pessoas, cerca de 80 por cento de todo o registro.

Esses números de CPR de dez dígitos são a espinha dorsal da vida dinamarquesa, movimentando tudo, de impostos e saúde a serviços bancários, o que transforma esse vazamento em uma mina de ouro para fraudadores. As autoridades cortaram o acesso da empresa, abriram investigação policial e agora pedem que todo cidadão fique atento e nunca entregue senhas, nem mesmo a alguém que já saiba seu nome, endereço e número de CPR.

Momentos como esse são um lembrete forte de que os dados pessoais são o novo campo de batalha. Proteger sua pegada digital com ferramentas criptografadas e focadas em privacidade nunca foi tão urgente.

Registro populacional da Dinamarca sofre vazamento massivo e expõe 8,8 milhões de pessoas

#cybersec #security #cyberattack #privacy #data-breach #denmark #cpr

Ver detalhe →