Gamepad — Mercado de jogos, tecnologia, segurança da informação e política

Todas Segurança cibernética Tecnologia financeira Mercado de jogos Política Tecnologia

Pesquisadores da Enclave descobriram uma falha grave no Microsoft Authenticator para Android: qualquer aplicativo instalado no celular podia pedir tokens de login sem nenhuma permissão e sem nenhum toque do usuário, e o Authenticator confiava no que o app dizia ser. Bastava um app malicioso se declarar o Teams para sair com os tokens reais.

Com esses tokens, um atacante conseguia ler e enviar e-mails, alterar arquivos, calendário e sites do SharePoint, mandar mensagens no Teams em nome da vítima e até cadastrar uma nova passkey para manter o acesso mesmo depois de o app malicioso ser removido. A Microsoft classificou a falha com CVSS 8.6 e publicou a correção como CVE-2026-80097.

A atualização já está disponível. Atualize o Microsoft Authenticator pela Play Store para a versão 6.2606.4246 ou superior e, se você gerencia dispositivos corporativos, exija essa versão mínima em todos os aparelhos. Sem aviso, sem prompt, sem desculpa para continuar exposto.

Falha no Microsoft Authenticator permitia que qualquer app Android roubasse sua conta de trabalho

#cybersecurity #privacy #vulnerability #microsoft #android #passkeys #authentication

Ver detalhe →

Uma nova pesquisa com 700 tomadores de decisão de TI e segurança revela que 95% já viram trabalhadores da linha de frente na saúde e na indústria contornarem logins lentos ficando conectados, compartilhando credenciais e driblando a autenticação multifator.

O impacto é sério: 62% das organizações relataram tentativas confirmadas ou suspeitas de abuso de recuperação de conta, redefinição de senha ou desbloqueio no último ano, com 28% confirmando um incidente específico. As passkeys estão em 28% das organizações, mas 45% delas ainda mantêm uma senha ao lado, deixando o balcão de redefinição exposto a engenharia social. A FIDO Alliance defende que passkeys resistentes a phishing podem entregar velocidade e segurança ao mesmo tempo, e muitas equipes planejam ampliar o uso.

Trabalhadores da linha de frente estão burlando a MFA em silêncio, e os atacantes já perceberam

#cybersecurity #mfa #social-engineering #identity-security #passkeys #authentication #passwordless

Ver detalhe →

Uma falha crítica no plugin Advanced IP Blocker para WordPress está acendendo o alarme no mundo da segurança. Com nota 9.8 de 10, essa brecha de autenticação permite que atacantes não autenticados passem direto pela verificação em duas etapas e entrem em qualquer conta, incluindo contas de administrador.

O truque é brutal pela simplicidade: o plugin nunca confirma se o visitante concluiu a primeira etapa com senha antes de aceitar o código do segundo fator. Os atacantes podem forçar o código de seis dígitos sem bloqueio, sem limite de tentativas e sem alertas de falha de login, recebendo uma sessão totalmente autenticada sem nunca saber a senha.

Sites que usam o recurso de 2FA do plugin devem atualizar imediatamente. Esse é o tipo de falha que transforma um login protegido em porta aberta, e um lembrete duro de que até nossas redes de segurança precisam de escrutínio rigoroso. Se você valoriza sua privacidade online, proteger cada camada da sua estrutura nunca foi tão importante.

Falha crítica no WordPress permite ignorar o 2FA e assumir qualquer site

#security #cybersecurity #infosec #vulnerability #wordpress #authentication #2fa

Ver detalhe →

Uma vulnerabilidade de severidade máxima foi divulgada na família de dispositivos Seetong T8108, T8108P, T8116 e T8232, expondo um serviço de depuração que falha em verificar corretamente quem está se conectando. Registrada como CVE-2026-100886, a falha alcança nota 10.0 em múltiplos frameworks CVSS e pode ser acionada remotamente, sem necessidade de acesso local.

O que dói ainda mais é que já existe um proof-of-concept público no GitHub, então qualquer pessoa com o IP do alvo pode começar a testar unidades expostas agora mesmo. O fabricante teria sido contatado antes da publicação e não respondeu, o que significa que correções não estão garantidas e os donos ficam por conta própria.

Se você usa esses dispositivos, atualize o firmware imediatamente, desative ou restrinja o acesso ao serviço de depuração e monitore a rede em busca de tráfego suspeito. Hardware IoT exposto é uma porta de entrada favorita de atacantes, então isolar essas câmeras e proteger sua conexão com uma VPN confiável é a jogada defensiva mais inteligente.

Falha crítica de autenticação atinge câmeras Seetong, e o exploit já é público

#cybersec #privacy #vulnerability #exploit #cve #iot #authentication

Ver detalhe →