Gamepad — Mercado de jogos, tecnologia, segurança da informação e política

Todas Segurança cibernética Tecnologia financeira Mercado de jogos Política Tecnologia

O NIST publicou Small Business Cybersecurity: Non-Employer Firms, um guia feito sob medida para os cerca de 82% dos pequenos negócios dos Estados Unidos que funcionam sem nenhum funcionário remunerado além do dono. São aproximadamente 28,5 milhões de freelancers, profissionais autônomos e prestadores de serviço que agora precisam se defender de ransomware, phishing e invasão de contas sem ter um departamento de TI.

O material corta o jargão sem piedade. O dono do negócio é orientado a listar cada dispositivo, conta, software e serviço dos quais depende, e depois ativar autenticação multifator em tudo que oferece o recurso, priorizando métodos resistentes a phishing e passkeys. Frases-senha únicas de pelo menos 15 caracteres, atualizações em dia, contas padrão para o trabalho do dia a dia e backups protegidos e realmente testados completam o básico.

O guia também encara riscos que não existiam há poucos anos. Antes de colar informações sensíveis em uma ferramenta de IA, o dono deve verificar como o fornecedor armazena e compartilha esses dados e se eles são usados para treinamento, além de revisar qualquer conteúdo gerado por IA antes de publicar ou de tomar decisões com base nele. Se um prestador de segurança for contratado, o escopo do serviço precisa estar em um acordo formal, porque a responsabilidade continua sendo do negócio. A mensagem é direta e útil: pequeno não significa seguro, mas pode significar preparado.

NIST acaba de entregar um manual gratuito de segurança cibernética para freelancers e negócios solo

#cybersec #privacy #mfa #small-business #nist #solopreneur

Ver detalhe →

Uma nova pesquisa com 700 tomadores de decisão de TI e segurança revela que 95% já viram trabalhadores da linha de frente na saúde e na indústria contornarem logins lentos ficando conectados, compartilhando credenciais e driblando a autenticação multifator.

O impacto é sério: 62% das organizações relataram tentativas confirmadas ou suspeitas de abuso de recuperação de conta, redefinição de senha ou desbloqueio no último ano, com 28% confirmando um incidente específico. As passkeys estão em 28% das organizações, mas 45% delas ainda mantêm uma senha ao lado, deixando o balcão de redefinição exposto a engenharia social. A FIDO Alliance defende que passkeys resistentes a phishing podem entregar velocidade e segurança ao mesmo tempo, e muitas equipes planejam ampliar o uso.

Trabalhadores da linha de frente estão burlando a MFA em silêncio, e os atacantes já perceberam

#cybersecurity #mfa #social-engineering #identity-security #passkeys #authentication #passwordless

Ver detalhe →

O que acontece quando uma fintech lida ao mesmo tempo com dados de pacientes e com o dinheiro de hospitais? O CTO e CISO de uma financiadora da área da saúde mostra exatamente como proteger os dois, e a resposta começa com uma regra dura: uma pessoa sempre fica entre o algoritmo e o dinheiro.

O manual é surpreendentemente prático. Remova detalhes no nível da cobrança antes de compartilhar qualquer coisa com parceiros bancários, crie identificadores próprios para que as informações de saúde protegidas nunca vazem e trate a saída do modelo como sugestão, nunca como decisão. A explicabilidade só se sustenta quando o revisor confere os dados de origem, e não a própria versão do modelo.

A correção mais barata ainda vence: ative a autenticação multifator, começando pelo e-mail. Para pequenas clínicas que lidam com pagamentos de saúde pela primeira vez, esse único controle evita mais danos do que qualquer ferramenta nova e reluzente.

CISOs de hospitais recebem checklist direto para avaliar fornecedores de fintech na saúde

#fintech #cybersecurity #data-privacy #mfa #compliance #healthcare #hipaa

Ver detalhe →

Um ex-soldado do Exército dos EUA foi condenado a 70 meses de prisão por invadir e extorquir pelo menos 10 empresas de tecnologia e telecomunicações. O esquema usava credenciais roubadas, ferramentas de força bruta SSH e ameaças de vazar dados confidenciais em fóruns criminosos, com tentativas de extorsão que chegavam a pelo menos 1 milhão de dólares.

A investigação conecta o caso a ataques à Snowflake que atingiram AT&T, Ticketmaster, Santander e centenas de milhões de pessoas, forçando a empresa a exigir autenticação multifator e senhas mais longas. A sentença deixa claro: extorsão cibernética não compensa, e a defesa precisa agir na velocidade das ameaças.

Para quem quer proteger a própria privacidade, ferramentas como o ProtonVPN ajudam a adicionar uma camada extra de segurança.

Soldado dos EUA é condenado a 70 meses por extorquir gigantes de tecnologia e telecom

#hacking #cybersecurity #privacy #data-breach #mfa #extortion #snowflake

Ver detalhe →

A Microsoft acaba de expor duas campanhas de ataque que devem preocupar qualquer pessoa que trabalha em ambiente corporativo na nuvem. A primeira inundou caixas de entrada com mais de um milhão de e-mails de golpe entre 3 e 5 de agosto de 2026, se passando por CEOs e inserindo assinaturas executivas falsas em faturas fabricadas, tudo para empurrar equipes de contas a pagar a fazer transferências ACH fraudulentas disfarçadas de renovação de assinatura do ServiceNow. A inteligência artificial generativa fez o trabalho pesado da redação, deixando as iscas muito mais convincentes do que os golpes desajeitados do passado.

A segunda campanha é o golpe no estômago. Desde maio de 2026, criminosos ligam e mandam mensagens para o celular pessoal de funcionários, se passando pelo suporte interno de TI e insistindo que a vítima precisa urgentemente recadastrar uma passkey, um método de MFA ou a configuração de SSO. As vítimas são redirecionadas para páginas falsas que imitam o login da Microsoft, onde fluxos de adversary-in-the-middle e autenticação por código de dispositivo entregam o controle total da conta sem uma única senha roubada. Já dentro do ambiente, os atacantes registram o próprio número de telefone ou autenticador como segundo fator e depois vasculham Microsoft Graph, SharePoint, OneDrive e Exchange por horas ou até dias, trocando de infraestrutura para fugir da detecção.

A conclusão é direta: passkeys e MFA só são tão fortes quanto a pessoa pressionada do outro lado da linha. Verifique toda solicitação não solicitada por um canal que você mesmo iniciou, e trate qualquer exigência urgente de redefinir credenciais como hostil até que se prove o contrário.

Phishing de passkey virou a nova chave da sua conta na nuvem: como criminosos se passam pelo suporte de TI para driblar o MFA

#cybersecurity #data-breach #microsoft #cloud-security #phishing #mfa #passkeys

Ver detalhe →

Esqueça o phishing por e-mail de sempre. Pesquisadores de segurança da Microsoft acompanham desde maio de 2026 uma campanha em que os atacantes simplesmente ligam para o celular pessoal dos funcionários se passando pelo time interno de TI. Eles criam uma urgência falsa sobre uma atualização de passkey, MFA ou single sign-on que precisa acontecer imediatamente e enviam um link que abre uma página de login da Microsoft idêntica à original, mas totalmente falsa.

Basta uma credencial cair para os invasores se instalarem de vez. Eles registram o próprio número de telefone, aplicativo autenticador ou token de senha única sob a identidade da vítima, criando o que a Microsoft chama de mecanismo de persistência duradoura, capaz de sobreviver muito depois de a sessão roubada expirar. A partir daí, exploram silenciosamente o Microsoft Graph para mapear contas, papéis de administrador e aplicativos conectados, e depois drenam arquivos do SharePoint, OneDrive e Exchange Online em um ritmo calculado, mantendo o volume abaixo de mil itens por hora para não disparar alarmes.

O mais assustador é como sobra pouca evidência. Como o primeiro contato costuma acontecer em um celular pessoal sem gestão corporativa, os investigadores às vezes só têm a memória do funcionário sobre a ligação. A Microsoft atribui a atividade a grupos como Storm-3121 e Storm-3032, que alimentam operações de extorsão como ShinyHunters, Falcon e Helix. Se a sua empresa ainda depende de códigos por SMS e aprovações por telefone, este é o alerta: migre para MFA resistente a phishing, exija dispositivos gerenciados e aprove manualmente cada novo consentimento de aplicativo antes que a próxima ligação chegue.

Criminosos estão ligando para o seu celular pessoal para sequestrar sua conta Microsoft 365

#cybersecurity #data-breach #cloud-security #phishing #mfa #microsoft-365 #social-engineering #vishing

Ver detalhe →

Uma operação sorrateira de phishing-as-a-service chamada BigBear 2.0 está quebrando a proteção em que milhões de empresas confiam: a autenticação multifator. Pesquisadores da CloudSEK encontraram uma campanha massiva que já atingiu 461 organizações em mais de 40 países, com 4.148 cookies de sessão roubados e 1.032 senhas em texto puro capturadas.

A parte mais assustadora: o BigBear 2.0 age como um intermediário malicioso e intercepta sessões já autenticadas do Microsoft 365 sem que a vítima perceba. Mesmo depois de digitar a senha e aprovar o desafio de MFA, o atacante sai com um verdadeiro passe de ouro — uma sessão viva que funciona sem precisar de mais nenhuma credencial.

Especialistas em segurança afirmam que MFA por SMS ou push não basta mais. A saída é adotar autenticação resistente a phishing, como passkeys, avaliação contínua de acesso e tratar tokens de sessão como joias da coroa. Se você administra um ambiente Microsoft 365, essa campanha é o alerta que você não sabia que precisava.

BigBear 2.0 prova que MFA não basta: serviço de phishing sequestra sessões do Microsoft 365 em massa

#cybersecurity #infosec #threat-intelligence #phishing #mfa #microsoft-365 #session-hijacking #cloudsek

Ver detalhe →

A Diretiva NIS2 da União Europeia está saindo da transposição para a aplicação efetiva, com prazos obrigatórios chegando aos Estados-membros em outubro. A não conformidade pode gerar multas de até 10 milhões de euros ou 2% do faturamento global, e dirigentes podem responder pessoalmente. A dúvida não é mais se agir, mas por onde começar sem esgotar o time.

Segundo o relatório Verizon DBIR 2026, o abuso de credenciais aparece em 39% de todas as violações ao longo de toda a cadeia de ataque, o que torna o controle de acesso uma das medidas mais rápidas e impactantes. O artigo mostra os três erros que reprovam pré-auditorias: contas de serviço sem gerenciamento, contas inativas e falta de MFA resistente a phishing. Também traz um plano de cinco passos para gerar evidências exportáveis e prontas para auditoria em menos de 30 dias.

Prazo da NIS2 chegando: ajuste IAM e controle de acesso antes da auditoria de 2026

#cybersecurity #iam #mfa #compliance #credentials #access-control #eu #nis2

Ver detalhe →

Os ataques cibernéticos estão evoluindo rápido. Uma nova pesquisa revela um aumento impressionante de 155x nos ataques de password spraying no primeiro semestre de 2026, com uma única campanha gerando mais de 81 milhões de tentativas de login em duas semanas.

Os criminosos estão abusando de fluxos de autenticação legados e de políticas de MFA mal configuradas para invadir ambientes na nuvem. Até empresas que achavam estar protegidas com autenticação multifator encontraram brechas nas regras de acesso condicional, expondo uma verdade dura: uma senha sozinha nunca deveria ser suficiente.

Esse é um alerta para todos os negócios que usam Azure, Entra ou qualquer plataforma em nuvem. Autenticação forte, opções sem senha e políticas de MFA bem definidas não são mais opcionais. No nível pessoal, proteger suas contas e usar uma VPN confiável como a ProtonVPN adiciona uma camada extra de defesa.

Ataques de password spraying explodem 155x com hackers explorando falhas de MFA

#hacking #cybersecurity #infosec #cloud-security #azure #mfa #password-spraying #credential-theft

Ver detalhe →

Uma nova modalidade de ataque está usando o Device Code Flow, recurso legítimo da Microsoft, para invadir contas corporativas do Microsoft 365 sem roubar senhas. Levantamento da Kaspersky mostra que o número de tentativas cresceu 37 vezes entre 2024 e 2026, com taxa de sucesso de 50%.

Tudo começa com um e-mail de phishing que leva a vítima a digitar um código em uma página oficial da Microsoft. Ao fazer isso, o usuário autoriza, sem perceber, um dispositivo controlado pelos criminosos. O resultado é acesso total a e-mails, SharePoint e Teams, sem malware e sem deixar rastros fáceis de detectar.

Empresas precisam revisar políticas de acesso condicional, desabilitar o Device Code Flow quando possível e monitorar concessões de tokens OAuth. Treinar colaboradores e usar ferramentas de privacidade como a ProtonVPN também ajudam a reduzir o risco desse golpe silencioso.

Golpe usa recurso legítimo da Microsoft para invadir contas corporativas do Microsoft 365

#cybersecurity #infosec #devicecodeflow #microsoft365 #phishing #oauth #mfa #accesscontrol

Ver detalhe →