Em meio a anos de alertas de que os hackers chineses do grupo Volt Typhoon podem estar se posicionando dentro de infraestruturas críticas dos Estados Unidos, um exercício fechado para seguradoras simulou diversos cenários de pior caso e expôs uma ameaça disruptiva e preocupante.
Nos Estados Unidos, o grupo de supervisão interna do ICE, o Office of Professional Responsibility, começou a investigar críticos da agência na internet e abriu mais de 100 casos sobre o que os funcionários chamam de “incidentes de doxing e ameaças” contra empregados do órgão.
Já na União Europeia, empresas de tecnologia poderão voltar a escanear mensagens privadas de cidadãos, como textos, emails e publicações em redes sociais, graças a novos poderes previstos no projeto “Chat Control”, voltado a combater material de abuso infantil na internet.
O Parlamento Europeu votou pela prorrogação da legislação, apesar de a maioria dos parlamentares ter se posicionado contra a proposta.
Madison Square Garden manteve, até esta semana, um banco de dados que classificava centenas de celebridades, torcedores famosos do Knicks e até convidados do casamento de Taylor Swift com etiquetas como “LGBTQIA”, “DO NOT HOST” e níveis de risco, de baixo a alto.
Também nesta semana, uma nova pesquisa mostrou que uma onda de sequestros de sites governamentais, na qual golpistas prometem conteúdo “vazado” do OnlyFans, está sendo contida por milhares de denúncias de direitos autorais feitas por criadores de conteúdo adulto.
Isso tem ajudado a proteger o público ao derrubar os links maliciosos.
E há mais.
Toda semana, reunimos as notícias de segurança e privacidade que não cobrimos em profundidade.
E mantenha-se seguro.
**IA encontra uma falha raiz no Linux que passou despercebida por 15 anos**
A Nebula Security publicou código de exploit para o GhostLock (
CVE-2026-43499
), uma falha de use-after-free que permaneceu no kernel do Linux por 15 anos e permite que qualquer usuário autenticado obtenha privilégios de root em uma máquina sem patch, segundo a SecurityWeek e o The Hacker News.
A falha vinha instalada por padrão em praticamente todas as distribuições mais conhecidas desde 2011 e não exige permissões especiais nem acesso à rede.
O exploit da Nebula consegue escapar de containers e apresentou 97% de confiabilidade nos testes.
A empresa recebeu US$ 92.337 pelo programa kernelCTF do Google.
A correção foi liberada em abril, mas a disponibilidade do patch é desigual.
A Ubuntu, no início de julho, ainda listava as versões 24.04, 22.04 e 20.04 LTS como vulneráveis ou em andamento, o que significa que as equipes de defesa devem confirmar se o pacote corrigido já foi instalado, em vez de presumir que ele está disponível.
Vale destacar que a Nebula encontrou a falha com a VEGA, sua ferramenta de caça a bugs movida por IA.
O caso faz parte de uma leva de 2026 de falhas de escalada de privilégios no Linux descobertas por ferramentas automatizadas que vasculham códigos antigos do kernel que pouca gente relia havia anos.
**Câmeras da Flock fizeram quatro policiais abordarem um repórter**
Em reportagem para a The Drive, o jornalista Joel Feder relatou ter sido cercado por quatro viaturas da polícia de Plymouth, em Minnesota, no estacionamento de uma loja Kohl's, no fim de junho.
Os agentes gritavam e colocavam as mãos nas armas porque as câmeras de leitura de placas da Flock haviam sinalizado o Range Rover de US$ 155.000 que ele testava, emprestado por uma concessionária de New Jersey, como roubado.
Segundo Feder, a polícia monitorava o SUV pela cidade havia dias por causa de um erro de digitação.
A origem do problema foi um equívoco de cadastro a 3.200 quilômetros de distância.
A placa de frota de um Jaguar Land Rover, registrada como 34 03 DTM, havia sido comunicada à polícia de Los Angeles como perdida, mas entrou no sistema apenas como “34 DTM”, apagando os dígitos centrais menores usados em placas de fabricante em New Jersey.
As câmeras da Flock leram os caracteres maiores, ignoraram a estrutura fora do padrão e começaram a disparar alertas para qualquer carro compatível.
Feder informa que outros quatro Land Rovers com o mesmo formato de placa estavam sendo monitorados em Minnesota na mesma semana.
Ele foi apenas o primeiro a ser parado.
A placa que desencadeou toda essa mobilização policial, no fim das contas, nem havia sido roubada.
Ela só estava perdida desde uma sessão de fotos.
Ironicamente, o episódio ocorreu pouco menos de duas semanas depois de a The Drive publicar uma reportagem viral justamente sobre esse tipo de abuso da Flock.
**Terceirizada do ICE sofre breach**
A consultoria Accenture confirmou um breach de segurança depois que um threat actor identificado como “888” afirmou ter obtido 35 GB de dados, incluindo code-fonte, chaves RSA e SSH, tokens de acesso da Azure e arquivos de configuração, e colocado o material à venda em um fórum de cibercrime, segundo o BleepingComputer.
A Accenture classificou o caso como um “incidente isolado”, disse ter corrigido a origem do problema e afirmou não haver impacto nas operações.
A empresa, porém, não comentou na época o que de fato foi levado nem como os invasores conseguiram entrar.
Para sustentar a alegação, o 888 publicou uma captura de tela que aparentava mostrar um repositório clonado do Azure DevOps em um host da Accenture.com com partes ocultadas.
O BleepingComputer não conseguiu verificar o alcance total do vazamento.
Essa não foi a primeira investida do ator contra a empresa.
Em 2024, o 888 tentou vender dados de funcionários da Accenture após um breach de terceiros.
Separadamente, a empresa também foi atingida pelo ransomware LockBit em 2021.
O momento do breach é especialmente delicado.
A divisão federal da Accenture mantém desde setembro de 2021 o contrato ICE's Cyber Defense and Intelligence Support Services, que inclui monitoramento de ameaças 24 horas por dia, detecção de intrusões e resposta a incidentes nas redes da agência.
O acordo, de cerca de US$ 56,5 milhões, vence no fim de agosto e está sendo disputado novamente.
**Pentágono quer treinar um exército de hackers amadores, mas não com salário digno**
O Pentágono abriu nesta semana as inscrições para o Cyber RAP, um programa de aprendizagem remunerado que recruta pessoas sem diploma ou experiência em segurança digital, apenas com aptidão para aprender, para vagas de 12 meses em tempo integral voltadas à proteção das redes do departamento, segundo a DefenseScoop.
A CIO das Forças Armadas dos Estados Unidos, Kirsten Davies, apresentou a iniciativa como uma forma de abandonar o “gatekeeping acadêmico” em favor de “aptidão bruta, impulso patriótico e capacidade prática”.
O problema é o salário, de apenas US$ 22.584 por ano.
Quem abandonar o programa antes do fim ainda poderá ter de devolver ao governo o custo do treinamento.
Essa é uma das estratégias para formar talentos internamente.
A outra é terceirizar a capacidade.
Uma cláusula no projeto de lei de defesa da Senate Armed Services Committee para o ano fiscal de 2027 permitiria ao secretário de Defesa, Pete Hegseth, criar um piloto para conduzir operações de segurança digital por meio de “meios de propriedade de contratadas e operados por contratadas”, algo como uma equipe de hackers por encomenda com chancela do governo, segundo a GovInfoSecurity.
Publicidade
Vibecoding cria 10x mais sistemas, 20x mais vulneráveis. E quem ganha com isso é a galera do hacking ético e pentest. Quer ser pago para invadir sistemas? Então você tem que aprender com a Solyd que são os melhores do Brasil. Saiba mais...