A Apple reconheceu que o aplicativo Senhas, lançado junto ao iOS 18 para iPhone, teve brecha de segurança que durou três meses. Por conta dela, usuários ficaram vulneráveis a ataques de phishing. A empresa corrigiu o bug num patch disponibilizado para a versão iOS 18.2.
Impacto: usuário numa posição privilegiada na rede pode ser capaz de vazar informações sensíveis;
Descrição: problema foi resolvido utilizando HTTPS ao enviar informações pela rede.
A Apple descreve o mesmo bug nas atualizações de segurança para Mac, iPad e Vision Pro.
Aplicativo Senhas da Apple tinha brecha por falta de criptografia
O aplicativo Senhas enviava solicitações não criptografadas para os logotipos e ícones que ele exibe ao lado dos sites associados às suas senhas armazenadas.
Aplicativo Senhas, da Apple, enviava solicitações não criptografadas, o que abriu brecha de segurança (Imagem: Alberto Garcia Guillen/Shutterstock)
Por conta da falta de criptografia, alguém na mesma rede Wi-Fi que você – num aeroporto ou cafeteria, por exemplo – poderia redirecionar seu navegador para um site de phishing semelhante. Assim, conseguiria roubar suas credenciais de login.
O problema foi descoberto por pesquisadores de segurança da desenvolvedora de aplicativos Mysk. A empresa publicou um vídeo em seu canal no YouTube no qual demonstra o bug. Assista abaixo:
Na descrição do vídeo, a Mysk escreve que informou a vulnerabilidade à Apple em setembro de 2024.
Apple enfrentará fiscalização mais rígida na Alemanha
A Apple terá que se submeter a fiscalização de uma lei antitruste mais rigorosa na Alemanha. A decisão foi confirmada por um tribunal do país europeu, que negou um recurso apresentado pela fabricante do iPhone.
Apple terá que se submeter a fiscalização de uma lei antitruste mais rigorosa na Alemanha (Imagem: daily_creativity/Shutterstock)
A empresa tentava escapar das leis mais rígidas, que foram implementadas em 2021. No ano passado, a Amazon também ingressou na Justiça, mas não conseguiu convencer o tribunal de que deveria ficar isenta das novas regras.
Uma falha de segurança no sistema do ChatGPT está sendo explorada por criminosos virtuais para conduzir ataques contra instituições financeiras, revelou recentemente a empresa de segurança cibernética Veriti.
A brecha de gravidade média (CVE-2024-27564) atinge a infraestrutura de inteligência artificial da OpenAI e permite a falsificação de solicitações do lado do servidor (SSRF), possibilitando que invasores enviem comandos maliciosos para outros servidores e serviços locais, simulando uma origem legítima.
Falha no ChatGPT gerou onda de ataques
Os cibercriminosos estão injetando URLs maliciosas em parâmetros de entrada do ChatGPT, forçando a IA a executar ações não autorizadas em seu nome.
Bancos e fintechs, que dependem fortemente de serviços de IA, são os principais alvos, juntamente com empresas de saúde e órgãos governamentais dos Estados Unidos. Em uma semana, foram registradas mais de 10 mil tentativas de ataque originadas de um único endereço IP.
Estados Unidos são o país mais afetado, concentrando 33% das tentativas de invasão. (Imagem: Robert Way/Shutterstock)
As consequências da exploração dessa vulnerabilidade podem ser devastadoras, incluindo roubo de dados sensíveis de clientes e funcionários, transações financeiras fraudulentas e danos à reputação das marcas. Além disso, as empresas podem enfrentar sanções regulatórias por falhas na segurança de seus sistemas.
Apesar da gravidade da situação, muitas organizações negligenciam vulnerabilidades de gravidade média, priorizando a correção de falhas críticas. Essa postura aumenta ainda mais o risco de ataques bem-sucedidos, já que os criminosos exploram justamente essas brechas menos protegidas.
Os Estados Unidos são o país mais afetado, concentrando 33% das tentativas de invasão, seguidos pela Alemanha e Tailândia, com 7% cada. Indonésia, Colômbia e Reino Unido também figuram na lista dos mais atingidos.
Para mitigar os riscos, as empresas que utilizam o ChatGPT e outras soluções da OpenAI devem revisar suas configurações de segurança, especialmente em firewalls convencionais, firewalls de aplicativos web (WAF) e sistemas de prevenção de intrusões (IPS). A Veriti alerta que 35% das empresas estão desprotegidas devido a erros de configuração nessas ferramentas.
Além disso, é fundamental monitorar os registros de tentativas de ataque e priorizar a correção de vulnerabilidades relacionadas à IA. A empresa de segurança cibernética ressalta que ataques automatizados exploram qualquer brecha, independentemente de sua classificação de gravidade.
Converter arquivos de maneira online nunca foi tão fácil — e perigoso. O FBIemitiu um alerta sobre o uso das ferramentas gratuitas de conversão para carregar malware nos computadores das vítimas, levando a incidentes como ransomware.
O Departamento Federal de Investigação americano diz que os os agentes estão cada vez mais presenciando golpes envolvendo esse tipo de recurso, e a agência quer incentivar a denúncia dos casos.
“A melhor maneira de frustrar esses fraudadores é educar as pessoas para que elas não sejam vítimas desses fraudadores em primeiro lugar”, disse o agente especial encarregado do FBI Denver, Mark Michalek. “Todos os dias, estamos trabalhando para responsabilizar esses golpistas e fornecer às vítimas os recursos de que elas precisam.”
Arquivo convertido em link malicioso pode conter malware oculto (Imagem: domoyega/iStock)
O FBI diz que os criminosos cibernéticos em todo o mundo estão usando qualquer tipo de recurso do tipo para aplicar o golpe. Isso inclui sites que alegam ser conversores de arquivo .doc para um arquivo .pdf ou ferramenta de download de MP3 ou MP4.
Esses conversores e ferramentas de download farão a tarefa prometida, mas o arquivo resultante pode conter malware oculto, dando aos criminosos acesso ao computador da vítima. As ferramentas são usadas para colher os seguintes dados:
Informações de identificação pessoal, como números de previdência social, datas de nascimento, números de telefone, etc.)
Informações bancárias
Informações sobre criptomoedas (frases iniciais, endereços de carteira, etc.)
Endereços de e-mail
Senhas
Criminosos prometem serviços rápidos de conversão de arquivos (Imagem: ipuwadol/iStock)
“Infelizmente, muitas vítimas não percebem que foram infectadas por malware até que seja tarde demais e seu computador seja infectado com ransomware ou sua identidade tenha sido roubada”, diz o comunicado. O FBI aconselha as vítimas a seguirem as seguintes etapas:
Entre em contato com suas instituições financeiras imediatamente. Tome medidas para proteger sua identidade e suas contas;
Altere todas as suas senhas usando um dispositivo limpo e confiável;
Execute um software antivírus atualizado para verificar se há software potencialmente malicioso instalado pelos golpistas. Considere levar seu computador a uma empresa profissional especializada em serviços de remoção de vírus e malware.
Existe mais um golpe na praça. Pesquisadores da Talos Intelligence, unidade de detecção de ameaças da Cisco, alertam para uma prática de abuso de CSS (Cascading Style Sheets) para enviar tentativas de phishing por e-mail.
Segundo eles, a ação esconderia informações no código oculto do e-mail e serviria para burlar filtros de spam. Dessa forma, hackers conseguiriam realizar golpes com mais facilidade, além de atuar rastreamento de possíveis vítimas.
Como funciona a ação dos hackers
CSS é uma linguagem usada para modificar elementos de uma página da web nos códigos HTML ou XML. Ela é usada para definir qual será o texto que aparece num documento e organizar como as informações vão aparecer, como a fonte usada, a cor, as imagens e os cabeçalhos.
Criminosos usam métodos de phishing para lesar vítimas (Imagem: Tumisu/Pixabay)
No caso das mensagens enviadas por e-mail, o CSS pode ser usado para adaptar uma mensagem ao dispositivo que vai recebê-la, seja pelo computador, celular ou tablet, além de posicionar as imagens na tela.
A Talos Intelligence aponta que os hackers modificam o CSS como uma forma de escapar dos tradicionais filtros de spam e detecção de ameaças. Dessa forma, incluem conteúdos que não podem ser vistos pela vítima, permitindo uma tentativa de phishing que não é identificada pelos filtros de spam.
O site do Aeroporto Internacional de Guarulhos (SP) ficou fora do ar neste sábado (15), a partir das 13h10, após apresentar instabilidades. Um hacker identificado como “Azael” afirmou ser o responsável pelo suposto ataque e divulgou a informação para veículos especializados em tecnologia minutos antes da queda do sistema.
Azael já reivindicou outros ataques cibernéticos no Brasil. Segundo a revista Veja, apenas neste mês ele teria atingido sistemas do Conselho Nacional de Justiça (CNJ), do Superior Tribunal de Justiça (STJ) e da Petrobras.
O hacker revelou ao portal de cibersegurança CISO Advisor que tentou invadir as redes do Supremo Tribunal Federal (STF) usando um método que dispara cerca de dez milhões de tentativas de acesso por segundo. No entanto, segundo ele, o sistema do STF teria resistido ao ataque por contar com proteções mais avançadas.
Na última terça-feira (11), sites da Universidade de São Paulo (USP) também sofreram instabilidades. A instituição confirmou os problemas, mas negou ter sido alvo de um ataque hacker. A Superintendência de Tecnologia da Informação da USP está trabalhando para restabelecer os serviços, que até agora não voltaram por completo.
Mesmo com a negativa da universidade, Azael afirma ter sido o responsável pela falha nos sistemas. Até o momento, nenhuma autoridade confirmou oficialmente a autoria dos ataques.
O Olhar Digital entrou em contato com a assessoria de imprensa do aeroporto solicitando um posicionamento sobre o episódio, que será incluído na atualização desta matéria. O site parece ter voltado ao ar por volta das 14h30.
A Apple irá contestar uma solicitação do governo do Reino Unido para acessar dados criptografados de seus clientes em uma audiência no Royal Courts of Justice, em Londres, marcada para esta sexta-feira.
Uma matéria do The Guardian explica como essa batalha pelo acesso a serviços criptografados pode definir como as empresas serão capazes de proteger os dados dos clientes no futuro.
O governo britânico emitiu um “aviso de capacidade técnica” baseado no Investigatory Powers Act (IPA), exigindo que a Apple crie um “backdoor” no serviço Advanced Data Protection, permitindo o acesso de autoridades a dados criptografados armazenados na nuvem.
A Apple se opõe a essa medida, reforçando seu compromisso com a privacidade e afirmando que nunca criará backdoors em seus produtos.
Em resposta ao pedido, a Apple removeu a ferramenta ADP no Reino Unido, que implementava criptografia de ponta a ponta, protegendo as informações dos usuários.
A Apple afirma que a solicitação do governo é uma violação dos direitos de privacidade e coloca em risco a segurança global dos dados dos usuários.
Além disso, grupos de direitos humanos como Liberty e Privacy International também se posicionaram contra, alertando que isso abriria um precedente perigoso para o acesso irrestrito a dados pessoais de bilhões de pessoas ao redor do mundo.
Apple se opõe a pedido do Reino Unido para ter acesso a seus dados criptografados (Imagem: Sergei Elagin/Shutterstock)
Preocupações sobre seguranças serão analisadas secretamente
O caso tem uma relevância maior, já que será decidido em audiências secretas, o que limita a capacidade da Apple de contestar as evidências apresentadas pelo governo.
A Dra. Daniella Lock, professora de direito no King’s College London, ressalta que o tribunal pode considerar a solicitação do governo desproporcional, principalmente por envolver uma medida geral de vigilância.
O fato de o caso ser tratado com sigilo dificulta ainda mais a defesa da Apple, pois não permite um debate público claro sobre os impactos da decisão.
A situação também gerou preocupação nos Estados Unidos, com autoridades norte-americanas expressando seu desconforto com a abordagem do Reino Unido, comparando-a com práticas de vigilância autoritária, como as da China.
Legisladores americanos, de ambos os partidos, pediram ao tribunal que remova o sigilo da audiência e a torne pública, para garantir maior transparência.
Precedente pode ser divisor de águas
Se a Apple perder a batalha legal, isso poderá criar um precedente para outras empresas de tecnologia, como o WhatsApp, que também enfrentam desafios em relação à privacidade e à segurança dos dados.
O IPA exige que as empresas de telecomunicações notifiquem o governo sobre mudanças em seus serviços que possam impactar o acesso do governo aos dados dos usuários, o que pode levar a mais solicitações semelhantes no futuro.
O caso é, portanto, um teste significativo sobre o equilíbrio entre as necessidades de segurança nacional e a proteção dos direitos de privacidade dos cidadãos.
Governo do Reino Unido justifica pedido de acesso aos dados da Apple com questões de segurança nacional – Imagem: Pixels Hunter/Shutterstock
Assistir a filmes, séries e animes em sites piratas é uma prática comum no país há pelo menos duas décadas, mas essa tendência cresceu com o surgimento das plataformas de streaming. Porém, o que muitas pessoas não sabem ou ignoram é que existe um risco ao acessar portais piratas, o malvertising.
Na quinta-feira, 6, uma equipe de segurança da Microsoft emitiu um alerta em relação a uma campanha de malvertising que teve origem em dois sites de filmes piratas e estava sendo propagada em larga escala, conseguindo infectar cerca de 1 milhão de dispositivos no planeta.
Essa campanha usou anúncios maliciosos para levar os usuários a páginas com malware que podia roubar informações sensíveis e até controlar os sistemas comprometidos.
Na sequência, o Olhar Digital traz todas as informações sobre o que é malvertising, como ele infecta o seu PC e quais são as formas de se proteger. Continue a leitura e confira!
Malvertising, ou publicidade maliciosa, é um termo utilizado para se designar a anúncios que são controlados por criminosos por meio de programas ligados à internet para prejudicar pessoas e empresas com malwares.
Apesar do caso recente em sites de filmes piratas, a campanha também pode aparecer em outros sites, como os que você acessa diariamente.
Para isso, os criminosos utilizam os mesmos métodos que espalham a publicidade online normal. Eles enviam anúncios gráficos ou de texto infectados, que funcionam por meio do JavaScript para redes de anúncios legítimas, as quais em diversos momentos não são capazes de distinguir os anúncios prejudiciais e confiáveis.
Para infectar os computadores, os criminosos usam um chamariz para induzir o usuário a clicar no anúncio, permitindo que o malware invada o dispositivo. Há também a técnica drive-by download, que faz uso de um item invisível no site para gerar a infecção. Nesse caso, não é necessário clicar no anúncio para ser infectado.
Ao carregar a página em que está o anúncio, você é levado para uma página exploit, que se aproveita da vulnerabilidade de seu navegador ou de falhas na segurança do software para acessar o seu equipamento. A partir disso, os bandidos podem roubar dados, criptografar ou deletar informações, inspecionar suas ações no seu dispositivo e mudar ou sequestrar funções nele.
(Imagem: Sutthiphong Chandaeng/Shutterstock)
Tipos de malvertising
Ao seu dispositivo ser infectado pelo malvertising, os criminosos conseguem ver qual é o seu dispositivo, software e o país em que você está. Dessa forma, podem fazer anúncios personalizados e criar diferentes campanhas, como as listadas abaixo.
Enriquecimento rápido e outras pesquisas
Esse tipo de campanha é responsável por interromper a sua navegação por meio de um sequestro de tela e exibir um anúncio que atraia o usuário para clicar, como uma oferta de algum produto, pesquisas falsas e outros.
Golpe do suporte técnico
Há também o golpe de suporte técnico, no qual sites falsos se passam por Apple ou Microsoft. Usando JavaScript, eles impedem que a vítima feche a página normalmente. Desesperadas, as pessoas acabam ligando para o número exibido no anúncio e, durante a ligação, são convencidas a gastar muito dinheiro com um suporte falso.
Atualizações falsas do Flash Player
Um dos tipos mais comuns é o das atualizações falsas do Flash Player e outros softwares, que impõem adware e malware em Mac. Esse é um tipo muito utilizado em sites de conteúdo adulto ou streaming de vídeo, pois pode induzir os usuários a baixarem um aplicativo para assistir ao conteúdo. Por isso, é importante evitar sites piratas.
Scareware
Golpe que, assim como o do suporte técnico, afirma que o seu computador, seja Windows ou Mac, está com problemas. Na sequência, ele pede para você baixar um programa que vai corrigir a falha. Geralmente, esse tipo de campanha é utilizada para que os criminosos consigam uma maior quantidade de leads e assim recebam grandes comissões de diversos PUPs (Potentially Unwanted Program, isto é, Programas Potencialmente Indesejados).
Como evitar o malvertising
Primeiro, evite entrar em sites de conteúdo pirata e de fontes duvidosas. Também tome muito cuidado ao clicar em anúncios online. Em terceiro lugar, mantenha atualizados os sistemas de segurança do próprio computador e programas de antivírus.
As recomendações da Microsoft são ativar a proteção na web e a proteção de rede, usar métodos de autenticação resistentes a phishing como tokens FIDO, ativar a proteção contra adulteração no Microsoft Defender e usar navegadores capazes de suportar o Microsoft Defender SmartScreen.
Além disso, é essencial manter o seu sistema operacional, navegadores da web e aplicativos, inclusive plug-ins, atualizados com os mais recentes patches de segurança. Se você tem software, como Flash ou Java e não usa, exclua-os, porque o malvertising busca formas de encontrar fraquezas neles.
Nas configurações do navegador, ative a opção de reproduzir plugins apenas ao clicar. Isso vai barrar qualquer funcionamento do Flash ou Java, a não que você os ative por meio do clique em um anúncio. Grande parte do malvertising precisa explorar esses plugins para infectar o PC.
Também utilize sempre um antivírus em seu dispositivo. Caso ache que o seu sistema foi comprometido, faça uma varredura completa e veja a possibilidade de reinstalar o sistema operacional.
À medida que cresce a pressão de legisladores para exigir que plataformas online verifiquem a idade dos usuários, empresas de tecnologia estão debatendo de quem é a responsabilidade, como reportado pelo Washington Post.
A questão central é como proteger as crianças de conteúdo impróprio sem comprometer a privacidade dos usuários ou violar direitos constitucionais. Na semana passada, Utah aprovou um projeto de lei que responsabiliza lojas de aplicativos, como Apple e Google, por diferenciar crianças de adultos online.
As crianças precisariam do consentimento dos pais para baixar aplicativos, o que difere das leis anteriores que colocavam essa responsabilidade nos próprios aplicativos e sites.
Leis para evitar que crianças acessem conteúdo impróprio online já vem sendo aprovadas – Imagem: AYO Production/Shutterstock
Meta e Google com posições divergentes
A Meta apoia a nova lei, argumentando que a verificação pelas lojas de aplicativos é mais prática e menos sujeita a desafios constitucionais.
Em contrapartida, o Google criticou a proposta, alegando que ela transfere responsabilidades das empresas de tecnologia para as lojas de aplicativos, criando riscos à privacidade das crianças.
O Google sugeriu uma abordagem alternativa, na qual as lojas de aplicativos verificariam as idades, mas só compartilhariam essa informação com desenvolvedores de aplicativos voltados para menores, com a permissão dos usuários.
Além disso, outras empresas como Apple também têm investido em recursos de segurança, como configurações de controle parental nos dispositivos. No entanto, defensores da segurança infantil expressam preocupações de que as leis atuais de verificação de idade não sejam eficazes.
Alguns temem que as crianças encontrem formas de contornar as restrições ou pressionem os pais para aprovar aplicativos impróprios. A Electronic Frontier Foundation se opõe a essas leis, afirmando que elas coletam grandes quantidades de dados pessoais de todos os usuários, não apenas de menores.
Estudos recentes indicam que as políticas de verificação de idade para limitar o acesso à pornografia não são eficazes, muitas vezes resultando no uso de VPNs e o acesso a sites que não cumprem as leis.
Medidas para proteger crianças com verificação de idade ainda dividem opiniões – Imagem: Zivica Kerkez/Shutterstock
Uma vasta rede com mais de 1 milhão de dispositivos comprometidos, denominada BadBox 2.0, foi desmantelada, revelando um cenário alarmante de cibercrimes em escala global.
No epicentro dessa operação revelada pela empresa de segurança Human Security, o Brasil se destaca com o maior número de aparelhos infectados — a maioria são TV Boxes piratas, popularmente conhecidas como “gatonet”.
Porta de entrada para cibercrimes
Essa rede de dispositivos comprometidos, que abrange mais de 200 países, não se limitava a fornecer acesso ilegal a conteúdo de entretenimento. Paralelamente, os aparelhos infectados eram explorados para atividades como: execução de cliques automáticos em anúncios, gerando receita para fraudadores, e a potencial invasão remota para a prática de crimes cibernéticos.
O Brasil concentra a maioria dos dispositivos infectados pela rede zumbi, com 37,62% do total (quase 400 mil aparelhos). Essa rede global também apresenta números significativos de infecções em outros países, sendo os Estados Unidos (18,21%), México (6,32%), Argentina (5,31%) e África do Sul (2,19%) os mais afetados após o Brasil.
A investigação revelou que, além das TV Boxes, outros dispositivos Android de baixo custo, como projetores e tablets, também integravam a botnet, uma rede de máquinas zumbis controlada por criminosos.
No Brasil, a prevalência de dispositivos Android de baixo custo, muitos deles com aplicativos de streaming ilegal pré-instalados, contribuiu para a disseminação da botnet. (Imagem gerada por IA/Gabriel Sérvio/Olhar Digital)
Esses aparelhos, frequentemente adquiridos por sua acessibilidade e funcionalidades de streaming ilegal, carregavam consigo um código malicioso que permitia a execução de diversas atividades ilícitas em segundo plano, sem o conhecimento dos usuários.
A situação se agrava com a prática do “serviço de proxy residencial”, onde criminosos assumem o controle remoto dos aparelhos e utilizam o endereço IP das vítimas para ações ilícitas, como a criação de contas falsas, ataques cibernéticos e distribuição de spam.
A Anatel, que identificou problemas semelhantes em TV Boxes piratas, reforça a gravidade da situação. A capacidade de controle remoto desses dispositivos e a coleta de informações pessoais dos usuários, incluindo dados financeiros e arquivos armazenados em outros dispositivos conectados à mesma rede, representam sérios riscos à segurança e privacidade dos consumidores.
A descoberta da BadBox 2.0 serve como um alerta para os perigos da aquisição de dispositivos eletrônicos de fontes não confiáveis e para a importância de medidas de segurança cibernética robustas. A conscientização sobre os riscos envolvidos e a adoção de práticas seguras de uso da internet são essenciais para proteger os usuários de potenciais ameaças cibernéticas.
IA brasileira pode revolucionar o combate de infecções virais
A ciência já tem adotado a inteligência artificial em várias áreas de pesquisa. Uma IA desenvolvida pelo Instituto de Ciências Matemáticas e de Computação da Universidade de São Paulo (USP), por exemplo, é capaz de prever interações entre proteínas.
A tecnologia, chamada BioPrediction-PPI, automatiza análises de possíveis interações entre proteínas sem a necessidade do usuário ter conhecimentos aprofundados em programação. Dessa forma, a ferramenta permite que biólogos otimizem os seus trabalhos, reduzindo o tempo desses profissionais em laboratório.
IA é prática e acelera pesquisas
Proteínas atuam nas mais variadas funções do organismo humano, além de serem estruturas importantes em outros processos, como infecções virais. Por isso, a IA pode ser útil para identificar rapidamente quais proteínas virais interagem com as humanas no caso do surgimento de novos vírus, reduzindo os impactos de uma eventual epidemia.
Cart is empty 
