A fintech confirmou acesso indevido a uma base de dados de fornecedor e alerta clientes para phishing, monitoramento de contas e troca de senhas, enquanto apura quais dados ficaram expostos.

Nova campanha usa GitHub e phishing para distribuir malware Android que rouba dados de cartões via NFC, mira bancos europeus e dificulta análise com APKs adulterados.

Pesquisadores mostraram que três CVE já corrigidas podem ser encadeadas para executar comandos remotos como root, sem autenticação, afetando versões 5.0.6 e anteriores.

atacantes exploram o bug CVE-2026-3300 para executar código e tomar sites WordPress. A exploração já soma mais de 29 mil tentativas bloqueadas, com criação de contas administrativas falsas.

O grupo chinês usou Brickstorm, Plenet e AgentPSD para invadir Microsoft 365, MSP e outros sistemas, driblando controles por até 18 meses e recorrendo a credenciais roubadas.

Sites exibiram telas falsas de login geradas por polyfill[.]io, pedindo credenciais. Não há indício de invasão, mas quem inseriu dados deve trocar a senha e ignorar solicitações inesperadas.

Darren Hughes recebeu mais de 26 anos por vender fentanyl e metanfetamina na dark web, usando criptomoeda; ele oferecia amostras grátis e foi preso com drogas e arma fantasma.

A Universidade de Oxford confirmou invasão no CareerConnect, com nomes, e-mails e senhas criptografadas expostos. A instituição diz que seus sistemas não foram afetados e alerta para possíveis golpes por phishing.

A empresa informou que mais de 20 mil contas foram invadidas após atacantes explorarem um sistema de recuperação com IA para redefinir senhas e burlar a verificação de e-mail.

O novo Modo Lockdown reduz risco de exfiltração de dados em ataques de injeção de prompt, ao limitar navegação, pesquisas e downloads, além de permitir encerrar sessões suspeitas.

Pesquisador revelou código oculto em apps que transforma TVs e celulares em nós de saída para raspagem, usando a conexão do usuário, contornando VPN e sem autenticação robusta.

Campanha de supply chain contaminou 73 repositórios e espalhou código malicioso por canais legítimos, inclusive com roubo de segredos e execução via ferramentas de IA e desenvolvimento.

O Silent Ransom Group mira escritórios de advocacia e serviços nos EUA, usa phishing e suporte remoto falso para roubar dados em horas e exigir resgate, além de esconder sua infraestrutura com DNS fast flux.

nova botnet explora falha em firmware DD-WRT, invade roteadores e outros aparelhos, força credenciais fracas e dispara ataques DDoS, além de esconder-se, remover rivais e manter comunicação com C2 hardcoded.

Autoridades e empresas derrubaram milhões de contas e congelaram US$ 3,8 milhões em ativos, em ação contra redes asiáticas que enganavam vítimas com promessas de lucro fácil.

Pesquisadores identificaram o malvertising Operation FlutterBridge, que distribui o backdoor FlutterShell via apps falsas, altera o Chrome, rouba segredos da sessão e usa anúncios e empresas de fachada para driblar a verificação.

Sites que imitam ferramentas conhecidas usam TDS para redirecionar cliques e entregar SessionGate, Remus Stealer e AnimateClipper, com filtros anti-bot e disfarce de download legítimo.

Pesquisadores mostraram que notificações maliciosas podiam enganar o assistente, abrir janelas, entrar em reuniões e até corromper sua memória; Google corrigiu a falha no servidor.

Um use-after-free no código de clientes bloqueados permite RCE após autenticação; a brecha, já usada em demonstração, foi achada por uma IA e afeta versões amplamente usadas em nuvem.

Campanha maliciosa usa o domínio da Google para burlar filtros e entregar o trojan DesckVB RAT, que rouba dados, mantém persistência e pode assumir máquinas infectadas.