Gamepad — Mercado de jogos, tecnologia, segurança da informação e política

Todas Segurança cibernética Tecnologia financeira Mercado de jogos Política Tecnologia

Esta semana em segurança da informação, quatro novos produtos prometem dar às equipes de segurança um controle mais preciso sobre agentes de IA, riscos de identidade e ameaças de terceiros. Akeyless, Orchid Security, Scytale e Securin estão lançando ferramentas projetadas para fechar caminhos de ataque, aplicar políticas de identidade em tempo real e monitorar continuamente o risco de fornecedores.

A plataforma da Securin responde a perguntas críticas: O que os atacantes podem explorar? O que devemos corrigir primeiro? E a correção realmente funcionou? Enquanto isso, a Orchid Security introduz detecção de desvio de identidade e kill switches para agentes de IA, e a Akeyless adiciona aplicação em tempo real para ações de IA. A Scytale expande o gerenciamento de risco de fornecedores com ferramentas TPRM alimentadas por IA.

Essas inovações destacam um foco crescente no gerenciamento preemptivo de exposição e a necessidade de proteger a adoção de IA sem perder o controle.

Novos produtos de segurança da informação enfrentam riscos de agentes de IA e ameaças de fornecedores

#cybersecurity #infosec #ai-agents #identity-management #vendor-risk #security-products

Ver detalhe →

Uma vulnerabilidade de alta severidade recém-publicada colocou o Brainzcompany Zenius EMS 8.0 no centro das atenções. Rastreada como CVE-2026-88260, a falha combina bypass de autenticação com validação de entrada inadequada, abrindo caminho para inclusão remota de código pela interface OAM até a Build 109.

Com pontuação CVSS 4.0 de 8.7, equipes de segurança devem tratar o caso como prioridade. O caminho de correção é claro: atualizar o Zenius EMS para a versão mais recente, aplicar os patches do fornecedor sem demora, restringir o acesso à interface OAM e reforçar a validação de todas as entradas expostas.

Para quem monitora ameaças fora da rede corporativa, uma camada extra de privacidade com uma VPN confiável como a ProtonVPN pode ajudar a proteger as conexões durante a investigação.

Falha de alta severidade no Zenius EMS permite bypass de autenticação e inclusão remota de código

#cybersecurity #vulnerability #authentication-bypass #cve-2026-88260 #zenius-ems #remote-code-inclusion #patch-management

Ver detalhe →

O conselho da Automattic colocou o CEO Matt Mullenweg em licença remunerada e entregou o comando ao CFO Mark Davies como CEO interino. A decisão foi repentina, e Mullenweg deixou claro que se opôs a ela, alertando ainda sobre ataques e boatos que viriam a seguir.

Mas o detalhe que deveria preocupar qualquer empresa que roda WordPress é outro: Mullenweg ainda controla pessoalmente o WordPress.org, o diretório de plugins e temas que distribui atualizações de segurança para mais de 40 por cento da web. Analistas alertam que a mesma autoridade sem prestação de contas que cortou clientes da WP Engine da noite para o dia em 2024 continua intacta, ignorada por qualquer votação do conselho.

Para os CISOs, a lição é direta. Trocar o administrador não é o mesmo que eliminar um ponto único de falha. Enquanto o WordPress.org não tiver governança independente de verdade, o pipeline de atualizações de milhões de sites continua passando por uma só pessoa, e esse risco estrutural nenhuma mudança de organograma resolve.

O ponto único de falha do WordPress: CEO da Automattic sai, mas Matt Mullenweg ainda controla as atualizações

#governance #open-source #cybersecurity #infosec #wordpress #supply-chain #automattic

Ver detalhe →

O agronegócio brasileiro acelerou a digitalização em ritmo impressionante, e os criminosos perceberam. De desvios de pagamento a perfis falsos de compradores, a fraude agora circula entre fornecedores, cooperativas, tradings e transportadoras, ameaçando safras inteiras.

O vetor mais perigoso é o comprometimento de e-mail corporativo, quando o criminoso se passa por um contato legítimo para trocar dados bancários de uma nota fiscal ou de um frete. O pedido parece real porque nasce dentro de uma negociação real, e pode passar batido até o dinheiro já ter desaparecido.

A lição é direta: urgência e confiança informal são as melhores armas do atacante. Nenhum e-mail, mensagem ou ligação isolada pode bastar para alterar dados de pagamento ou liberar acessos. Autenticação multifator, segregação de funções e validação por um canal independente são a nova base para proteger receita, reputação e a resiliência de toda a cadeia.

Fraude digital no agro: como criminosos estão sequestrando a cadeia do agronegócio brasileiro

#brazil #cybersecurity #infosec #fraud #phishing #agribusiness

Ver detalhe →

Uma nova vulnerabilidade crítica no Dell ThinOS 10 permite que um atacante não autenticado, com acesso remoto à rede, execute comandos em thin clients afetados. Registrada como CVE-2026-81467 e com nota 9.8 de 10, é o tipo de falha que transforma uma frota silenciosa de dispositivos corporativos em uma porta escancarada.

E ela não vem sozinha. O aviso de segurança DSA-2026-389, da Dell, reúne várias falhas do ThinOS, incluindo execução remota de código e falhas de mecanismo de proteção que deixam atacantes burlarem defesas e rodar código arbitrário no contexto da aplicação. A correção chega na versão 2605_10.2616.

Atualize o ThinOS para a versão 2605_10.2616 ou superior agora mesmo, restrinja o acesso remoto e de gerenciamento sempre que possível e monitore os logs em busca de comandos estranhos. Atualize a frota inteira, não só o aparelho de que você lembrou, e proteja sua navegação com a ProtonVPN.

Dell ThinOS atingido por falha crítica de 9.8: atacantes não autenticados podem executar código remotamente

#cybersecurity #vulnerability #cve #patching #enterprise-security #remote-code-execution #dell #thinos

Ver detalhe →

O Google ativou uma função nativa no Android que transfere senhas e passkeys diretamente de um gerenciador de senhas para outro, sem deixar nenhum arquivo de texto sem criptografia largado no seu aparelho.

Você inicia a migração pelo app para o qual está mudando, o Android detecta os gerenciadores já instalados e a autorização acontece dentro do app antigo em poucos segundos. Quatro gerenciadores suportam o recurso no lançamento: Google Password Manager, 1Password, Bitwarden e Dashlane, com mais parceiros prometidos, mas ainda sem nomes ou datas.

O grande ganho são as passkeys, credenciais resistentes a phishing que vivem dentro do gerenciador e que, até agora, não podiam ser transferidas de jeito nenhum, obrigando o usuário a recriar cada login na mão. O Google ainda não detalhou quais versões do Android recebem o recurso nem o que protege as credenciais durante o trajeto, então, se você se importa com quem enxerga seus acessos, somar uma VPN confiável à sua rotina de navegação é um hábito barato e inteligente.

Android agora transfere suas passkeys e senhas entre gerenciadores

#cybersecurity #privacy #google #android #passkeys #password-managers

Ver detalhe →

O programa de acesso antecipado do Google Play foi sequestrado, e o estrago é enorme. Pesquisadores encontraram milhares de apps enganosos explorando o recurso que mantém avaliações e notas escondidas, transformando uma ferramenta feita para desenvolvedores em porta aberta para cassinos falsos, falsos esquemas de recompensa e clones que imitam marcas conhecidas, já somando milhões de downloads.

O roteiro é brutalmente simples. As vítimas são atraídas por anúncios no TikTok e no Facebook, alguns com deepfakes de celebridades gerados por inteligência artificial, prometendo dinheiro instantâneo, pagamentos via PayPal e cartões-presente. Quando o usuário chega ao limite de saque, o progresso trava e o dinheiro prometido nunca aparece, enquanto os apps continuam lucrando com anúncios sem fim.

Como esses títulos escapam das regras de jogos de azar e da verificação de idade se disfarçando de caça-níqueis e jogos de quebra-cabeça, os sinais tradicionais de confiança simplesmente não funcionam. Se você quer uma camada extra de proteção no seu aparelho, uma ferramenta de privacidade confiável como a ProtonVPN é um ótimo primeiro passo.

Programa de acesso antecipado do Google Play está sendo usado para inundar o Android com milhares de apps enganosos

#cybersecurity #privacy #android #malware #protonvpn #google-play

Ver detalhe →

Esqueça o phishing por e-mail de sempre. Pesquisadores de segurança da Microsoft acompanham desde maio de 2026 uma campanha em que os atacantes simplesmente ligam para o celular pessoal dos funcionários se passando pelo time interno de TI. Eles criam uma urgência falsa sobre uma atualização de passkey, MFA ou single sign-on que precisa acontecer imediatamente e enviam um link que abre uma página de login da Microsoft idêntica à original, mas totalmente falsa.

Basta uma credencial cair para os invasores se instalarem de vez. Eles registram o próprio número de telefone, aplicativo autenticador ou token de senha única sob a identidade da vítima, criando o que a Microsoft chama de mecanismo de persistência duradoura, capaz de sobreviver muito depois de a sessão roubada expirar. A partir daí, exploram silenciosamente o Microsoft Graph para mapear contas, papéis de administrador e aplicativos conectados, e depois drenam arquivos do SharePoint, OneDrive e Exchange Online em um ritmo calculado, mantendo o volume abaixo de mil itens por hora para não disparar alarmes.

O mais assustador é como sobra pouca evidência. Como o primeiro contato costuma acontecer em um celular pessoal sem gestão corporativa, os investigadores às vezes só têm a memória do funcionário sobre a ligação. A Microsoft atribui a atividade a grupos como Storm-3121 e Storm-3032, que alimentam operações de extorsão como ShinyHunters, Falcon e Helix. Se a sua empresa ainda depende de códigos por SMS e aprovações por telefone, este é o alerta: migre para MFA resistente a phishing, exija dispositivos gerenciados e aprove manualmente cada novo consentimento de aplicativo antes que a próxima ligação chegue.

Criminosos estão ligando para o seu celular pessoal para sequestrar sua conta Microsoft 365

#cybersecurity #data-breach #cloud-security #phishing #mfa #microsoft-365 #social-engineering #vishing

Ver detalhe →

A transformação digital deixou de ser apenas uma agenda de tecnologia e se tornou a chave para a sobrevivência e o crescimento. Mas, com tantas possibilidades, onde os CIOs devem concentrar seus investimentos? A resposta está em alinhar a TI às prioridades do negócio, e não em perseguir a tecnologia mais nova.

Da inteligência artificial que exige dados limpos e governança à cibersegurança que protege o resultado financeiro, as organizações mais inteligentes estão focando no que realmente gera valor. Modernizar não é substituir tudo; é construir uma arquitetura flexível. E não podemos esquecer: pessoas e processos fazem tudo funcionar.

O CIO do futuro é um estrategista de negócios, não apenas um gestor de infraestrutura. A fórmula vencedora? Investir melhor, não apenas mais.

Transformação digital: onde concentrar seus investimentos em TI para máximo impacto

#ai #cybersecurity #cloud #automation #digital-transformation #it-investments #it-strategy

Ver detalhe →

O roubo de credenciais acaba de ficar muito mais difícil de passar despercebido. Os honeytokens da GitGuardian funcionam como credenciais iscas espalhadas por toda a sua frota de desenvolvedores, do código-fonte aos pipelines de CI. Quando um atacante tenta usá-las, você recebe um alerta instantâneo com a máquina e o arquivo exatos envolvidos.

A plataforma agora implanta essas iscas em toda a frota via MDM, permitindo cobrir milhares de endpoints sem esforço. E com planos de expandir além das chaves AWS para credenciais de Kubernetes e registros de pacotes, a GitGuardian está construindo a camada de decepção definitiva para segurança de segredos.

Como um honeytoken nunca é usado para trabalho legítimo, qualquer tentativa de uso é um sinal claro de intrusão. Zero falsos positivos, resposta imediata. É assim que você pega o roubo de credenciais no ato.

Honeytokens da GitGuardian pegam ladrões de credenciais em flagrante

#cybersecurity #infosec #aws #credential-theft #gitguardian #honeytokens #deception

Ver detalhe →

A Amazon acaba de fazer um movimento que ecoa por todos os centros de operações de segurança do planeta. A empresa elegeu Kevin Mandia, fundador da Mandiant, para seu Conselho de Administração, colocando um dos maiores caçadores de ameaças da indústria exatamente onde as decisões estratégicas mais importantes são tomadas.

A Amazon chama a cibersegurança de um dos riscos mais consequentes que as organizações enfrentam hoje, e aponta os avanços acelerados da IA como o motivo pelo qual o cenário de ameaças nunca para. Levar essa expertise para o nível do conselho significa que as perguntas difíceis de segurança agora chegam à sala que define o que a gestão precisa responder.

Mandia ainda comanda a Armadin e financia fundadores de segurança pela Ballistic Ventures, apoiado por três décadas de atuação nos setores público e privado. Para quem defende sistemas por aí, é um sinal que merece atenção.

Amazon leva cibersegurança ao conselho e elege Kevin Mandia, fundador da Mandiant

#cybersecurity #amazon #kevin-mandia #mandiant #boardroom #ai-threats #security-governance

Ver detalhe →

Uma vulnerabilidade crítica, identificada como CVE-2026-87911 e avaliada em 9.6 na escala CVSS, foi divulgada no servidor Postgres MCP da AWS Labs. Antes da versão 1.1.7, o componente de validação SQL não impõe corretamente o modo somente leitura, permitindo que uma instrução criada com COPY ... TO PROGRAM escape do banco e execute comandos no sistema operacional.

Se um atacante colocar conteúdo malicioso para ser processado por uma pessoa autenticada ou por um fluxo automatizado do MCP, o modo somente leitura padrão não é suficiente para bloquear o ataque. Como a execução pode ocorrer remotamente e o impacto é crítico, quem usa postgres-mcp-server deve atualizar para a versão 1.1.7 ou mais recente imediatamente.

Falha crítica no servidor Postgres MCP da AWS permite executar comandos do sistema ao burlar o modo somente leitura

#cybersecurity #critical #aws #mcp #cve-2026-87911 #os-command-injection #postgresql

Ver detalhe →