O novo DBSC já chegou a todos os usuários e vincula cookies de sessão ao dispositivo, impedindo que cookies roubados sejam usados para sequestrar contas, mesmo após phishing, malware ou roubo de autenticação.

Homem pega 10 anos por vender dados de 7 milhões de idosos a golpistas na Jamaica e lucrar US$ 5,2 milhões com listas usadas em fraudes de loteria; perdas das vítimas passaram de US$ 9,5 milhões.

Pacote NuGet malicioso imita SDK do Sicoob e rouba IDs de cliente e certificados PFX, enquanto nova onda de pacotes npm ameaça credenciais, tokens e segredos em cadeias de suprimento de software.

Sites falsos imitam a FIFA para roubar dados, vender ingressos e pacotes fraudulentos; há centenas de páginas de phishing e malvertising. A recomendação é digitar fifa.com manualmente e checar a URL.

Threat actors usam CVE-2026-35616 , já corrigida, para distribuir malware furtivo via gestão legítima, roubar credenciais e contornar MFA, afetando endpoints e serviços em cloud.

Uma vulnerabilidade zero-day sem correção no serviço Git pode dar execução remota de código em instâncias expostas, permitindo roubo de credenciais, acesso a repositórios privados e ataque a outros sistemas.

Catalin Dragomir pegou 56 meses por acessar rede do Oregon, vender o acesso e repassar dados pessoais roubados; ação causou prejuízos mínimos de US$ 250 mil em dezenas de vítimas nos EUA.

Um novo threat actor usa falsas vagas, malware para macOS e ataque à cadeia de suprimentos para invadir desenvolvedores, roubar carteiras digitais e avançar por servidores e infraestrutura de desenvolvimento.

Em parceria com Google e Shadowserver, a empresa neutralizou quatro canais de C2 usados por uma campanha que infectava desenvolvedores via extensões e pacotes maliciosos para roubo de dados e credenciais.

Grandoreire e BTMOB usam phishing, DLL side-loading e APKs falsos para roubar credenciais em Windows e Android, mirando Brasil, Portugal, Espanha, México e outras vítimas.

Um pacote malicioso no npm usa o Claude para enviar arquivos e segredos para GitHub, escondendo o roubo com registros falsos. Ainda disponível, já teve 676 downloads e expôs até o token da conta usada.

A empresa notificou quase 6 milhões de clientes após ataque de engenharia social atribuído ao ShinyHunters, que teria copiado dados pessoais, incluindo nome, nascimento, e-mail e detalhes do programa de fidelidade.

Ramanan Pathmanathan admitiu ter coagido mais de 145 crianças nos EUA, gravado atos sexuais e ameaçado divulgar os vídeos, em um esquema de oito anos.

Gangue mira escritórios jurídicos dos EUA com fraude presencial e phishing, fingindo ser TI para roubar dados, instalar discos USB e chantagear vítimas com ameaças de venda ou vazamento.

CVE-2026-27771 permite que invasores sem conta ou senha baixem contêineres restritos; a correção está na versão 1.26.2, e há cerca de 30 mil instalações afetadas.

Grupo iraniano atingiu ao menos nove organizações em quatro continentes, usando DLL side-loading, PowerShell e ChromElevator para roubar senhas, cookies e cartões, além de exfiltrar dados e manter acesso oculto.

Agência deu 4 dias para órgãos federais protegerem servidores contra falha no LiteSpeed cPanel, já explorada em ataques e capaz de dar acesso root a invasores sem privilégios.

A atualização fecha CVE-2026-45659 , que permitia execução remota de código por usuário autenticado e exigia instalação imediata nas versões Server Subscription Edition, 2019 e 2016.

A operadora diz que a ShinyHunters ameaçou divulgar dados e alega ter copiado registros de clientes por vishing, mas afirma que nenhuma informação pessoal ou CPNI foi exfiltrada.

Invasores usam IA para difundir downloads maliciosos, imitam utilitários populares e mantêm acesso persistente via ScreenConnect, mirando sistemas com GPU potente para minerar criptomoedas e ampliar o controle.