Gamepad — Mercado de jogos, tecnologia, segurança da informação e política

Todas Segurança cibernética Tecnologia financeira Mercado de jogos Política Tecnologia

Uma varredura de 7,25 milhões de repositórios públicos do Gitee encontrou 26.400 credenciais funcionais, incluindo milhares de pares de AccessKey do Alibaba Cloud, chaves de API do YouTube, chaves do DeepSeek e chaves da OpenAI. Os segredos expostos ainda estavam válidos nos testes, transformando código público em uma porta aberta para contas de nuvem e IA.

O caso escancara uma verdade dura do desenvolvimento moderno: apagar uma chave do código não a revoga. Quem já enviou credenciais para um repositório público precisa trocá-las agora, verificar cobranças inesperadas e restringir o acesso às APIs antes que outra pessoa use a conta.

26.400 chaves válidas de nuvem e IA expostas em repositórios públicos do Gitee

#ai #cybersecurity #privacy #cloud-security #credentials #data-exposure #gitee

Ver detalhe →

Um grupo hacktivista que se autodenomina Department of Peace vazou registros ligados a mais de 41 mil agentes do Departamento de Segurança Interna dos EUA, incluindo e-mails, telefones e endereços de escritório. Os dados supostamente abrangem agentes do ICE, da Alfândega e Proteção de Fronteiras e do Homeland Security Investigations, expondo cerca de um sétimo da força de trabalho da agência.

A brecha também parece incluir detalhes sensíveis sobre programas de vigilância e operações disfarçadas, com os registros roubados compartilhados pela organização sem fins lucrativos Distributed Denial of Secrets e por um banco de dados pesquisável chamado Icepick. O grupo afirma que obteve os dados via Okta, embora a Okta diga que não encontrou evidências de comprometimento em seus sistemas.

O DHS afirma estar investigando a possível violação. Para equipes de privacidade e segurança, o vazamento é um alerta duro de que autenticação única, provedores de identidade terceirizados e dados sensíveis de funcionários exigem vigilância implacável.

Hacktivistas vazam dados de mais de 41 mil agentes do Departamento de Segurança Interna dos EUA

#cybersecurity #privacy #data-breach #ice #dhs #okta #hacktivism

Ver detalhe →

Uma vulnerabilidade silenciosa acaba de se transformar em uma das histórias de espionagem cibernética mais inquietantes do ano. A CISA incluiu a CVE-2026-41709 em seu catálogo de vulnerabilidades exploradas após a CrowdStrike confirmar que o Warp Panda, grupo ameaça ligado à China, usou a falha no VMware ESX como zero-day para reduzir a visibilidade das trilhas de auditoria e desaparecer dos logs.

O modus operandi é paciente e calculado. O grupo ataca dispositivos de borda expostos à internet, avança para ambientes vCenter, instala malwares próprios como BRICKSTORM e SharpStorm, coleta tokens de sessão na nuvem para invadir o Microsoft 365 e até registra dispositivos MFA fraudulentos para manter o acesso mesmo após a troca de senha. A lista de alvos é um pesadelo para o setor jurídico: comunicações com clientes, materiais de fusões e aquisições e estratégias de litígios em andamento.

Agências federais civis dos EUA têm até 11 de novembro de 2026 para aplicar as correções. Para todo mundo, a lição é dura e direta: se o seu log pode ser desligado por um administrador, ele pode ser desligado por um invasor. Atualize as versões do VMware indicadas, revise quem tem privilégios de admin e pare de tratar silêncio nos registros como prova de segurança. Uma VPN focada em privacidade e controles de acesso rígidos deixaram de ser extras.

Hackers ligados à China apagaram rastros dentro do VMware ESX com um zero-day, e agências dos EUA acabam de receber um prazo duro

#cybersecurity #privacy #cisa #data-breach #zero-day #espionage #vmware

Ver detalhe →

Um novo relatório do Identity Theft Resource Center revela que golpes deixam marcas emocionais profundas. Mais da metade das vítimas que procuraram ajuda disse sentir vergonha ou constrangimento, e muitas relataram noites sem dormir e autoculpabilização.

A recuperação costuma ser tão brutal quanto o crime. Quase 88% das vítimas que pediram ajuda a alguma organização não receberam resposta, enquanto quase 79% pagaram a terceiros que prometiam recuperar o dinheiro, corrigir o crédito ou prender o golpista, e acabaram caindo em golpes de recuperação. Vítimas de roubo de identidade passaram mais de 40 horas tentando limpar o nome, e muitos casos seguem sem solução.

O levantamento pede sistemas de apoio mais fortes e responsabilização de legisladores, empresas e líderes de tecnologia. Golpes não são apenas um prejuízo financeiro; são um trauma agudo que exige ação real.

Vítimas de golpes enfrentam vergonha e noites sem dormir muito depois do prejuízo

#cybersecurity #consumer-protection #privacy #fraud #scams #identity-theft

Ver detalhe →

O assistente Bixby, da Samsung, carrega uma vulnerabilidade de alta severidade registrada como CVE-2026-21157, com pontuação CVSS 4.0 de 8.3. Segundo o informe, a validação de entrada inadequada em versões anteriores à 4.0.85.6 permite que atacantes locais com privilégios lancem atividades arbitrárias no aparelho.

Na prática, um atacante com acesso local e privilégios elevados poderia abusar do assistente para disparar ações que jamais deveria alcançar. A Samsung já publicou o boletim de segurança e liberou a correção, então quem continua em uma versão antiga está exposto por escolha, não por acaso.

A solução é direta: atualize o Bixby para a versão 4.0.85.6 ou superior o quanto antes. Falhas de privilégio local como essa são justamente o tipo de brecha silenciosa que fica perigosa quando combinada com outros exploits, então corrigir cedo é a decisão mais inteligente.

Samsung Bixby tem falha de segurança grave e seu celular precisa da correção agora

#cybersec #privacy #vulnerability #cve #android #samsung #bixby

Ver detalhe →

A Amazon acaba de transformar o Echo Studio em uma caixa de som inteligente com olhos. O novo Echo Studio com Home Camera mantém o áudio Dolby Atmos e os recursos do Alexa+, mas adiciona uma câmera com transmissão ao vivo que você pode acompanhar pelo app da Alexa.

Na prática, dá para conferir os pets, usar o aparelho como webcam em chamadas de vídeo ou pedir ajuda ao Alexa+ para tarefas do dia a dia. A Amazon vende a câmera como uma comodidade, mas a novidade também levanta dúvidas sobre quanto estamos dispostos a aceitar dispositivos sempre ligados observando nossa casa.

Por US$ 250, custa US$ 30 a mais que o Echo Studio comum e chega com adaptação avançada ao ambiente e volume adaptativo. O modelo regular continua à venda por US$ 220 para quem quer o som sem a lente.

Novo Echo Studio da Amazon adiciona uma câmera à sua caixa de som inteligente

#tech #amazon #privacy #alexa #echo-studio #smart-speaker #home-camera

Ver detalhe →

O Discord está prestes a transformar comunidades públicas em páginas pesquisáveis na web. A partir de 16 de novembro, todo servidor descobrível ganha uma página web própria, com resumos de discussões em canais públicos e, até meados de dezembro, mensagens podendo aparecer em resultados de busca.

O detalhe crítico: servidores públicos ficam pesquisáveis por padrão, e administradores precisam optar ativamente por sair em Configurações do Servidor e Presença na Web para manter a comunidade fora das buscas. É um novo e enorme ponto de tensão sobre privacidade para moderadores, criadores e qualquer pessoa que trate canais públicos como espaços semiprivados.

Com o lançamento gradual ao longo de dois meses, donos de servidores devem revisar permissões e visibilidade de canais agora, antes que conversas antigas se tornem fáceis de encontrar na web aberta.

Discord abre conversas de servidores públicos para buscas na web e controles de privacidade viram a linha de frente

#tech #discord #privacy #social-media #web-search #public-servers

Ver detalhe →

O Discord está prestes a escancarar as portas das suas maiores comunidades. A partir de 16 de novembro, todo servidor descobrível ganha uma Server Web Page publicada por padrão, oferecendo à internet aberta uma prévia ao vivo das conversas que acontecem ali dentro. Depois, em dezembro, respostas enviadas por membros em canais públicos poderão aparecer diretamente nos resultados do Google, com as palavras dos próprios usuários, sem exibir nomes de usuário ou avatares. O argumento do Discord é simples: anos de dúvidas resolvidas, teoria de build e conhecimento de comunidade estão presos dentro dos servidores, e a plataforma quer liberar essa informação.

O problema é que a mudança é opt-out, não opt-in. Administradores precisam entrar em Configurações do servidor e depois em Presença na web para esconder canais, e cada membro tem que acessar Configurações do usuário e depois Dados e privacidade para desativar sozinho o compartilhamento das próprias mensagens. Por enquanto, só servidores com mais de 1.000 membros são afetados, mas expor conversas públicas por padrão é exatamente o tipo de decisão de design que merece questionamento alto e claro. Revise suas configurações antes de dezembro e, se você se preocupa em separar sua identidade daquilo que publica, uma camada de privacidade como a ProtonVPN é um bom ponto de partida.

Mensagens do Discord em servidores públicos vão aparecer nas buscas do Google

#gaming #discord #data-privacy #privacy #google #search

Ver detalhe →

Pesquisadores da TrendAI revelaram algo que parece ficção científica, mas já é realidade: uma plataforma open-source de testes de invasão chamada CyberStrikeAI foi usada para orquestrar 44 agentes autônomos de IA ao longo de todo o ciclo de ataque, da reconhecimento e descoberta de vulnerabilidades à exploração, comando e controle, persistência, exfiltração de dados e até relatórios automatizados.

Ao menos 19 organizações foram sondadas em poucos dias, sendo pelo menos 16 no Japão. A plataforma gerou páginas de login falsas localizadas em japonês e produziu relatórios padronizados de evidências, um sinal claro de que se tratava de um fluxo estruturado e repetível, não do trabalho improvisado de um único operador.

Dois outros conjuntos de intrusões mostram como a IA está sendo acoplada à experiência humana: em um deles, um LLM acelerou o planejamento e o desenvolvimento de ferramentas enquanto os atacantes buscavam capacidade de inferência barata; no outro, a IA teve papel apenas de apoio na criação de scripts contra dispositivos de borda da Cisco, Citrix, F5 e Yamaha. O relatório de defesa digital da Microsoft de 2026 aponta que o tempo mediano entre a descoberta de uma falha e sua armaização caiu para bem menos de 24 horas. A conclusão é direta: a força de trabalho dos atacantes ficou maior, mais rápida e incansável, o que torna obrigatório blindar infraestruturas expostas e proteger a própria privacidade.

44 agentes de IA conduziram uma campanha de hacking completa contra o Japão, e isso muda tudo na defesa cibernética

#ai #cybersec #hacking #privacy #threat-intelligence #japan

Ver detalhe →

A gigante francesa de energia ENGIE confirmou que atacantes roubaram dados de clientes após comprometerem uma plataforma de marketing usada por parceiros de negócios. A empresa afirma que seus sistemas internos de TI não foram invadidos e que o incidente está restrito a clientes na França.

Dados expostos incluem nomes, endereços residenciais e de e-mail, telefones, identificadores de cliente, números de contrato e pontos de entrega ou medição de energia. A ENGIE diz que nenhum dado bancário foi afetado e notificou autoridades e clientes, alertando para riscos de phishing e fraude.

Com informações de contato de clientes nas mãos erradas, o caso reforça que ferramentas de terceiros e acessos de parceiros podem virar portas de entrada de alto impacto. Proteção de credenciais, monitoramento e defesas de privacidade são mais essenciais do que nunca.

ENGIE confirma vazamento de dados de clientes na França

#security #cybersecurity #privacy #data-breach #phishing #engie

Ver detalhe →

Pesquisadores da Enclave descobriram uma falha grave no Microsoft Authenticator para Android: qualquer aplicativo instalado no celular podia pedir tokens de login sem nenhuma permissão e sem nenhum toque do usuário, e o Authenticator confiava no que o app dizia ser. Bastava um app malicioso se declarar o Teams para sair com os tokens reais.

Com esses tokens, um atacante conseguia ler e enviar e-mails, alterar arquivos, calendário e sites do SharePoint, mandar mensagens no Teams em nome da vítima e até cadastrar uma nova passkey para manter o acesso mesmo depois de o app malicioso ser removido. A Microsoft classificou a falha com CVSS 8.6 e publicou a correção como CVE-2026-80097.

A atualização já está disponível. Atualize o Microsoft Authenticator pela Play Store para a versão 6.2606.4246 ou superior e, se você gerencia dispositivos corporativos, exija essa versão mínima em todos os aparelhos. Sem aviso, sem prompt, sem desculpa para continuar exposto.

Falha no Microsoft Authenticator permitia que qualquer app Android roubasse sua conta de trabalho

#cybersecurity #privacy #vulnerability #microsoft #android #passkeys #authentication

Ver detalhe →

O Modo Bloqueio do iPhone é um recurso de segurança extrema para iPhone, iPad, Mac e Apple Watch, criado para proteger usuários de alto risco contra spyware comercial como o Pegasus.

Ele bloqueia anexos em mensagens, prévias de links, parte do JavaScript, conexões com fio e outros recursos, trocando conveniência diária por uma proteção reforçada.

Para jornalistas, ativistas e figuras públicas, essa troca pode ser essencial. Para a maioria das pessoas, é um lembrete poderoso de até onde a Apple vai quando a privacidade está em jogo.

Modo Bloqueio do iPhone: segurança extrema para a era do spyware

#cybersecurity #privacy #apple #spyware #iphone #lockdown-mode

Ver detalhe →