As principais notícias de cybersecurity para serem lidas em menos de 3 minutos, todo dia em seu e-mail.

Pesquisas recentes do CISPA Helmholtz-Center evidenciaram uma falha, a CVE-2024-2169, em cerca de 300.000 hosts, proveniente de uma vulnerabilidade do UDP a spoofing de IP. A ameaça gera tráfego incontrolável, afetando serviços e redes, sendo possível contorná-la através de atualizações e medidas preventivas aconselhadas pelo CERT/CC.

A Flipper Devices combate a medida argumentando que seu aparelho não permite o furto de automóveis com acesso sem chave e que o custo para tal é altamente elevado. A proibição é criticada por ser seletiva e uma petição foi organizada para contestá-la.

O problema, registrado como CVE-2023-41724, permite que atores não autorizados executem comandos arbitrários na mesma rede. Outra vulnerabilidade séria também foi corrigida na solução Neurons for ITSM (CVE-2023-46808). Recomenda-se a aplicação imediata do novo patch.

A organização revelou que as alegações surgiram de um usuário que tentou acessar muitos dados, mas que foi barrado pelo sistema. Esta ação resultou no término do acordo com o indivíduo por atividades não permitidas, sem comprometimento financeiro dos demais clientes.

Perto de um terço dos ataques na web em 2023 focaram em interfaces de programação de aplicações, segundo a Akamai. O comércio liderou a lista de setores mais vulneráveis, com os programas de segurança de API sendo destacados como uma solução preventiva crucial.

No primeiro dia de desafio hacker, brechas zero-day em produtos aclamados do mercado como Windows 11, Tesla e Ubuntu Linux renderam $732.500 e um veículo Model 3 para os competidores. Anfitriãs da competição têm até 90 dias para implementar patches contra essas vulnerabilidades.

A instituição adverte sobre bandidos disseminando links danosos via e-mail e mensagens, que instalam um malware, para fraudar informações do usuários. É preciso recordar que os aplicativos genuínos estão presentes apenas em links específicos e nunca pedem dados pessoais.

Objetivando acelerar a correção de vulnerabilidades, esse recurso advoga em mais de 90% dos alertas em JavaScript, Typescript, Java e Python. Ele indica correções e explicações compreensíveis, tendo como público-alvo os usuários de repositórios privados do GHAS.

Jake Sullivan, Conselheiro de Segurança Nacional, e Michael Regan, líder da EPA, encaminharam uma carta conjunta aos governadores. No documento, alertam sobre ameaças apoiadas pelo Irã e pela China e propõem uma Força-Tarefa de Segurança Cibernética.

Responsáveis por atacar mais de 100 milhões de emails e registros do Instagram globalmente, três indivíduos, de 20 a 40 anos, foram capturados. Utilizando ataques de força bruta, vendiam credenciais obtidas ilicitamente na dark web, podendo pegar até 15 anos de prisão.

A instabilidade da instituição financeira acarretou em um extravio de 46.093 registros do método de pagamento, envolvendo informações de usuários como CPF e detalhes da conta. O Banco Central investiga o caso, podendo punir a entidade com multas ou suspensões.

Nos últimos 7,5 anos, o centro conseguiu expandir a abrangência de seu programa de segurança cibernética para incluir todos os ativos de TI, websites e aplicações do Departamento de Defesa. Com isso, foram encontradas e resolvidas 400 falhas graves em 2021, gerando uma economia estimada em 61 milhões de dólares.

A U.S. Federal Trade Commission (FTC) alertou sobre fraudadores se passando por funcionários da agência para extorquir dinheiro. Registrou-se um aumento no prejuízo médio para US$ 7 mil em 2024, contra US$ 3 mil em 2019. A FTC elaborou orientações e uma nova regra para combater essas práticas, após o FBI receber mais de 14 mil denúncias de falsificação governamental em 2024, com prejuízos totais de US$ 394 milhões. A maior parcela das vítimas era de idosos.

Investigadores descobriram cerca de 19 milhões de senhas visíveis devido a configurações incorretas nesta plataforma do Google. Mais de 125 milhões de registros sigilosos estavam disponíveis em 916 sites sem proteção adequada. Apenas um quarto das organizações alertadas corrigiram o problema.

Pesquisadores de cibersegurança identificaram uma atualização do famoso ladrão de dados, agora intitulado BunnyLoader 3.0. O programa prejudicial, já conhecido por roubar informações e criptomoedas, apresenta módulos otimizados para furtos e aprimoramentos para gravação de teclas. Adicionalmente, foram encontrados dois novos malwares de roubo de informações, os quais foram nomeados como Nikki Stealer e GlorySprout.

Criminosos cibernéticos estão se aproveitando dessas vulnerabilidades para lançar ataques diversos como ransomware e mineração de criptomoedas. Grupos notórios continuam ativos e recrutando, enquanto observa-se a colaboração entre diferentes equipes e o advento de "grupos fantasmas". Recomenda-se fortemente a atualização do software como medida de proteção.

Ligada ao grupo norte-coreano Kimsuky, essa nova campanha utiliza malwares sofisticados para invadir sistemas Windows e extrair informações vitais. Infecção é mascarada por tráfego indistinguível em serviços como Dropbox e inicia-se com um e-mail malicioso contendo um falso atalho em PDF.

Criminosos estão se beneficiando de plataformas como FlipSnack, Issuu e outros para realizar golpes, aproveitando da reputação positiva desses sites para enganar usuários. Serviços populares de armazenamento em nuvem também são utilizados para hospedar documentos mal-intencionados.

Identificada nova variante do AcidRain, usada durante o conflito Russo-Ucraniano. Seu alvo são dispositivos similares, pronta para deletar conteúdo de arrays RAID e sistemas UBI. Autoria e vítimas ainda são incógnitas, mas alertas já foram enviados às agências ucranianas.

A empresa de tecnologia corrigiu a falha grave, identificada como CVE-2024-25153 , que podia ser explorada por invasores não autenticados para execução remota de código. A descoberta foi feita pelo pesquisador Tom Wedgbury.