Em uma manhã chuvosa em Nova York, no início desta semana, um repórter prendeu ao pulso um relógio inteligente infantil de plástico nas cores lilás e rosa e foi trabalhar. Ao se aproximar da estação de metrô perto de casa para seguir até a redação da agência, ele enviou uma mensagem a Vangelis Stykas, o pesquisador grego de segurança que havia lhe enviado o relógio pela Amazon, avisando que entraria na estação e poderia perder o sinal de celular.
“Eu sei”, respondeu Stykas.
Na prática, Stykas vinha monitorando a localização do repórter pelo relógio desde o momento em que ele saiu do apartamento. A função de GPS do dispositivo, criada para que pais acompanhem os filhos, estava com falhas, mas o wearable ainda captava e transmitia para um servidor remoto os identificadores de todas as redes Wi-Fi próximas. Isso permitiu a Stykas, mesmo assim, localizar com precisão o repórter enquanto ele caminhava por um quarteirão específico do Brooklyn.
Quando o repórter chegou à sede da na qual trabalhava em Manhattan, meia hora depois, Stykas assumiu o controle de uma função do relógio que permitia tirar uma foto de forma discreta pela câmera, registrando o momento em que o repórter entrou no elevador. Alguns minutos depois, ele fez outro registro do repórter em sua mesa. Em seguida, usou outra função para captar o áudio do microfone do relógio e enviá-lo a outro pesquisador, Felipe Solferini, que ouviu enquanto um colega do repórter descrevia uma visita de fim de semana a uma exposição de arte. Em nenhum momento o relógio deu qualquer sinal de que estava gravando, tirando fotos ou sendo hackeado.
A demonstração ocorreu em semana de Black Hat e DefCon, em Las Vegas, onde hackers, pesquisadores de segurança, empresas de cibersegurança, autoridades do governo e, provavelmente, alguns agentes federais se reúnem para mostrar no que vêm trabalhando . E, no contexto das conferências, o tema dominante tem sido o comportamento imprevisível de agentes de IA.
No mês passado, a OpenAI revelou que uma enxurrada de seus agentes de IA saiu em uma onda de hacking que terminou com uma violação no Hugging Face. Nesta semana, surgiram ainda mais incidentes envolvendo agentes descontrolados e, em uma palestra anunciada de última hora no Black Hat, apareceu um detalhe bizarro sobre como parte disso aconteceu. A OpenAI contou que seus agentes criaram seu próprio quadro interno de mensagens, no qual compartilhavam exploits, dividiam tarefas, discutiam entre si e até cogitavam assinar mensagens criptograficamente para identificar impostores, tudo isso sem que a OpenAI percebesse por dias.
Em paralelo, pesquisadores da Zenity encontraram cerca de 20 falhas em navegadores e extensões com IA, incluindo ataques que fizeram o navegador Atlas, da OpenAI, enviar mensagens em massa para contatos do WhatsApp e realizar uma compra não autorizada na Amazon. Já o pesquisador de segurança James Kettle concluiu que, embora os agentes de IA ainda sejam bem ruins para inventar novas técnicas de hacking sozinhos, eles podem ser extremamente eficazes quando atuam ao lado de um especialista humano.
O pesquisador de segurança Vangelis Stykas também teve uma semana agitada no Black Hat. Ele e um colega invadiram o smartwatch infantil barato preso ao pulso de um repórter da WIRED, rastreando seus deslocamentos por Nova York, tirando fotos em segredo e ouvindo conversas. Isso fez parte de uma investigação mais ampla sobre falhas que afetam dezenas de milhões de relógios infantis e rastreadores de carros.
Stykas também revelou que, depois de quase dois anos monitorando em segredo os servidores de hackers norte-coreanos, encontrou evidências de que as operações deles atingiram 1.640 empresas em 57 países, com centenas sofrendo intrusões graves.
Fora de Las Vegas, o mundo continua girando.
A Meta aprovou e veiculou mais de 50 anúncios pagos contendo imagens sexuais de abuso infantil geradas por IA ou imagens sexualmente sugestivas de menores em Facebook, Instagram, Messenger e Threads, e alguns deles alcançaram milhares de pessoas. O Exército dos Estados Unidos está prestes a tornar as armas a laser parte oficial de seu arsenal, com a compra de até 20 sistemas projetados para derrubar drones.
Enquanto isso, o DHS também teve uma semana movimentada. Segundo a WIRED, o governo tenta obter acesso a grupos privados de Signal de manifestantes; a CBP quer contratar investigadores particulares para localizar imigrantes deportados no exterior, fotografar suas casas e cobrar multas não pagas; e o DHS vem coletando saliva de migrantes e também seu DNA em escala impressionante, inclusive de crianças de apenas 4 anos.
E há mais. Toda semana, reunimos as notícias de segurança e privacidade que não cobrimos em profundidade. Se cuide por aí.
A Flock propôs usar 350.000 câmeras de painel de motoristas de transporte por aplicativo e entregas para ler placas
A Flock Safety apresentou um plano para coletar dados de placas de veículos a partir de câmeras de painel instaladas em carros de motoristas da Uber, Lyft e serviços de entrega, segundo a 404 Media, que obteve a apresentação de vendas por meio de um pedido de registros públicos feito por um morador de Dunwoody, na Geórgia. O documento, preparado em agosto passado para o gabinete do procurador-geral da Geórgia, descreve uma parceria com a fabricante de câmeras Nexar envolvendo 350.000 dispositivos.
As câmeras da Flock normalmente ficam fixadas em postes e registram a placa, a cor, a marca e o modelo de cada carro que passa. O acordo com a Nexar teria transformado esse sistema em uma rede móvel de coleta.
A Flock afirmou à 404 Media que a parceria nunca saiu do papel. Uber, Lyft e Nexar não responderam aos pedidos de comentário do site, e não há indícios de que os motoristas soubessem que suas câmeras alimentavam a rede. A Nexar foi alvo de uma violação em setembro, quando um hacker extraiu terabytes de vídeos de clientes, incluindo imagens captadas perto de instalações do Departamento de Defesa.
Publicidade
Tenha acesso aos melhores hackers éticos do mercado através de um serviço personalizado, especializado e adaptado para o seu negócio. Guardsi: qualidade, confiança e especialidade em segurança ofensiva de quem já protegeu centenas de empresas. Saiba mais...