As empresas atuam de forma sistemática para reduzir a superfície de ataque. Eles segmentam redes, gerenciam vulnerabilidades, implementam EDR/XDR e buscam automatizar as respostas a incidentes. Por mais paradoxal que pareça, muitas vezes ignoram um ponto crucial: a segurança das próprias ferramentas que gerenciam todo o sistema de defesa.

Isso pode acontecer por um ponto cego de percepção. É comum presumir que, por ter implementado todas as soluções de segurança necessárias, a organização já está protegida. Na prática, qualquer software adicional, inclusive de segurança, amplia a superfície de ataque. Isso significa que essas ferramentas também precisam ser protegidas, começando por um ajuste adequado das configurações.

Por que a violação de um console de segurança é um cenário crítico?

As ferramentas de segurança são tão robustas quanto o ambiente em que operam. Se um invasor conseguir acessar a infraestrutura e assumir o controle do console de gerenciamento, ele passa a ter controle total do ambiente. É como uma chave mestra, que dá acesso direto ao gerenciamento centralizado de políticas, monitoramento de endpoints, integrações de API e outros recursos.

Nesse cenário, o invasor não precisa perder tempo para buscar formas sofisticadas de contornar defesas, basta alterar as configurações. Com acesso ao console, o invasor elimina as etapas mais difíceis de um ataque:

• não precisa mapear a rede, pois o console oferece uma visão completa da infraestrutura e da arquitetura de segurança de forma imediata.
• não precisa ocultar atividades maliciosas, podendo apenas ajustar políticas, desativar ferramentas ou silenciar alertas.
• em vez de distribuir cargas maliciosas de forma discreta, pode usar os próprios recursos do console para instalar softwares e atualizações em massa.

Por isso o comprometimento da camada de controle é tão perigoso. Uma abordagem proativa de cibersegurança não depende da quantidade de ferramentas, mas da resiliência da arquitetura de segurança. Se a camada de controle for o ponto fraco, nenhum software avançado diminuirá esse risco.

Como proteger o console de segurança

Em teoria, a maioria dos sistemas de gerenciamento já conta com os recursos necessários para reforçar a proteção. Qual é o problema? Essas medidas, até as mais básicas como autenticação em dois fatores, costumam estar disponíveis, mas não são obrigatórias. As recomendações de segurança são publicadas, mas nem sempre aplicadas de uma maneira consistente. Em alguns casos, são simplesmente ignoradas. Pior ainda, configurações críticas ativadas por padrão podem ser desativadas com um clique, afetando todos os usuários imediatamente. Sejamos honestos: muitas vezes esses recursos são desativados por conveniência.

No mundo real, isso faz com que a segurança acabe dependendo da disciplina individual do administrador. Porém, a disciplina não substitui um mecanismo estrutural de defesa.

A abordagem moderna prioriza o modelo seguro por padrão na proteção da camada de controle. Nesse modelo, as proteções críticas estão integradas à configuração básica, com restrições na capacidade de desativação global. Assim, a segurança deixa de ser opcional.

O objetivo é eliminar incertezas em termos de segurança das ferramentas defensivas e reduzir a superfície de ataque no nível de gerenciamento.

Como implementamos essa abordagem no Kaspersky Security Center Linux

Nossos produtos estão evoluindo de forma consistente para um modelo em que mecanismos críticos fazem parte da arquitetura básica, e não são opcionais. Lançamos recentemente a versão 16.1 do Kaspersky Security Center Linux, que incorpora essa mudança ao reforçar o controle de acesso ao console. Agora, a autenticação de dois fatores está ativada por padrão, e a possibilidade de desativação global foi removida. Antes de atualizar, é necessário garantir que todos os usuários utilizem autenticação de dois fatores (2FA), incluindo acessos pelo Web Console e automações com OpenAPI.

Isso estabelece uma proteção essencial para acessos privilegiados ao console. Reduz o risco de comprometimento de contas administrativas, protege canais de automação, diminui a probabilidade de uso indevido de APIs e elimina vulnerabilidades decorrentes de configurações opcionais. Dessa forma, a superfície de ataque é reduzida especificamente no gerenciamento da camada de controle.

No entanto, como já mencionado, o problema geralmente não é a falta de recursos, mas a ausência de controle sistemático sobre seu uso. Por exemplo, é comum haver administradores com privilégios excessivos ou configurações inseguras de conexão ao servidor. Já disponibilizamos um guia de reforço da proteção para o Kaspersky Security Center que aborda esses pontos em detalhe, mas, infelizmente, nem todos dedicam tempo para ler manuais técnicos extensos.

Para garantir que nada seja ignorado, reunimos uma lista de verificação estruturada para reforçar a segurança do Kaspersky Security Center Linux, versão 16.1. Esta lista de verificação:

• permite verificar se autenticação e acessos estão configurados corretamente
• ajuda a identificar usuários e funções com privilégios excessivos
• orienta sobre como restringir o acesso de rede ao console
• reforça a proteção de APIs
• fortalece os requisitos de criptografia
• garante a correta configuração de auditoria e logs
• reduz o risco de falhas de configuração

Essencialmente, é uma ferramenta de auditoria sistemática da camada de controle. Ela evita que o console se torne um ponto de entrada ou facilite a movimentação lateral de invasores. Quanto menos configurações críticas dependerem do usuário, menor o risco de erro ou comprometimento.

Autenticação reforçada e reforço estruturado do console não são ajustes pontuais, mas uma abordagem mais robusta de gestão de segurança. A proposta é evoluir essa camada de forma contínua, reduzindo a superfície de ataque não só nos endpoints, mas também no próprio sistema de gerenciamento. Saiba mais sobre o Kaspersky Security Center na página do console e acesse a lista de verificação de proteção disponível no site de suporte técnico.

O DarkSword e o Coruna são novas ferramentas utilizadas em ataques invisíveis a dispositivos iOS. Esses ataques não exigem interação do usuário e já estão sendo usados em larga escala por agentes mal-intencionados. Antes do surgimento dessas ameaças, a maioria dos usuários do iPhone não precisava se preocupar com a segurança de dados. Poucos grupos realmente se preocupavam com isso, como políticos, ativistas, diplomatas, executivos de negócios de alto nível e pessoas que lidam com dados extremamente confidenciais, já que eles poderiam vir a ser alvos de agências de inteligência estrangeiras. Já discutimos spywares avançados usados contra esses grupos anteriormente, e observamos como era raro encontrá-los.

No entanto, o DarkSword e o Coruna, descobertos por pesquisadores no início deste ano, são revolucionários. Esses malwares estão sendo usados em infecções em massa de usuários comuns. Nesta postagem, explicamos por que essa mudança ocorreu, os riscos dessas ferramentas e como se proteger.

O que sabemos sobre o DarkSword e como ele pode infectar o seu iPhone

Em meados de março de 2026, três equipes de pesquisa diferentes coordenaram a divulgação das suas descobertas sobre um novo spyware chamado de DarkSword. Essa ferramenta é capaz de invadir silenciosamente dispositivos com o iOS 18, sem que o usuário perceba que algo está errado.

Primeiro, devemos esclarecer uma coisa: o iOS 18 não é tão antigo quanto parece. Embora a versão mais recente seja o iOS 26, a Apple revisou recentemente o sistema de versões, surpreendendo a todos. A empresa decidiu avançar oito versões (da 18 diretamente para a 26) para que o número do sistema operacional correspondesse ao ano atual. Apesar disso, a Apple estima que cerca de um quarto de todos os dispositivos ativos ainda executam o iOS 18 ou uma versão anterior.

Agora que isso já foi esclarecido, vamos voltar a falar sobre o DarkSword. A pesquisa mostra que esse malware infecta as vítimas quando elas visitam sites perfeitamente legítimos que contêm códigos maliciosos. O spyware se instala sem qualquer interação do usuário: basta acessar uma página comprometida. Isso é conhecido como técnica de infecção zero clique. Os pesquisadores relatam que milhares de dispositivos já foram infectados desta forma.

Para comprometer um dispositivo, o DarkSword usa uma cadeia de exploits com seis vulnerabilidades para evitar o sandbox, aumentar privilégios e executar código. Assim que o dispositivo é infectado, o malware consegue coletar dados, incluindo:

• Senhas
• Fotos
• Conversas e dados do iMessage, WhatsApp e Telegram
• Histórico do navegador
• Informações dos aplicativos Calendário, Notas e Saúde da Apple

Além disso, o DarkSword coleta dados de carteiras de criptomoedas, atuando como malware de dupla finalidade para espionagem e roubo de criptoativos.

A única boa notícia é que o spyware não sobrevive a uma reinicialização. O DarkSword é um malware sem arquivo, o que significa que ele vive na RAM do dispositivo e nunca se incorpora ao sistema de arquivos.

Coruna: direcionado às versões mais antigas do iOS

Apenas duas semanas antes da descoberta do DarkSword se tornar pública, os pesquisadores revelaram outra ameaça que tinha o iOS como alvo, chamada de Coruna. Esse malware consegue comprometer dispositivos que executam softwares mais antigos, especificamente as versões 13 a 17.2.1 do iOS. O método utilizado pelo Coruna é exatamente igual ao do DarkSword: as vítimas visitam um site legítimo injetado com código malicioso que, em seguida, infecta o dispositivo delas com o malware. Todo o processo é completamente invisível e não requer interação do usuário.

Uma análise detalhada do código do Coruna revelou que ele explora 23 vulnerabilidades distintas do iOS, várias delas localizadas no WebKit da Apple. Vale lembrar que, de um modo geral (fora da UE), todos os navegadores iOS precisam usar o mecanismo WebKit. Isso significa que essas vulnerabilidades não afetam apenas os usuários do Safari, mas também qualquer pessoa que use outros navegadores no iPhone.

A versão mais recente do Coruna, assim como o DarkSword, inclui modificações projetadas para drenar carteiras de criptomoedas. Ele também coleta fotos e, em alguns casos, informações de e-mails. Ao que tudo indica, roubar criptomoedas parece ser o principal motivo da implementação generalizada do Coruna.

Quem criou o Coruna e o DarkSword, e como eles foram disseminados?

A análise do código de ambas as ferramentas sugere que o Coruna e o DarkSword provavelmente foram desenvolvidos por grupos diferentes. No entanto, ambos são softwares criados por empresas patrocinadas pelo governo, possivelmente dos EUA. Isso se reflete na alta qualidade do código: não são kits montados com partes aleatórias, mas exploits projetados de forma uniforme. Em algum momento, essas ferramentas vazaram e foram parar nas mãos de gangues de cibercriminosos.

Os especialistas da GReAT, da Kaspersky, analisaram todos os componentes do Coruna e confirmaram que o kit de exploração é uma versão atualizada da estrutura usada na Operação Triangulação. Esse ataque anterior tinha como alvo os funcionários da Kaspersky, uma história que abordamos em detalhes neste blog.

Uma teoria sugere que um funcionário da empresa que desenvolveu o Coruna vendeu o malware para hackers. Desde então, ele tem sido usado para drenar carteiras de criptomoedas de usuários na China. Alguns especialistas estimam que pelo menos 42 mil dispositivos foram infectados somente neste país.

Quanto ao DarkSword, os cibercriminosos já o usaram para infectar dispositivos de usuários na Arábia Saudita, Turquia e Malásia. O problema se agrava pelo fato de que os invasores que implementaram o DarkSword deixaram o código-fonte completo nos sites infectados, facilitando a detecção dele por outros grupos criminosos.

O código também inclui comentários detalhados explicado exatamente o que faz cada componente, reforçando a hipótese de que ele surgiu no Ocidente. Essas instruções detalhadas tornam mais fácil para outros hackers adaptarem a ferramenta para interesses próprios.

Como se proteger do Coruna e do DarkSword

Dois malwares poderosos que permitem a infecção em massa de iPhones sem exigir qualquer interação do usuário caíram nas mãos de um grupo essencialmente ilimitado de cibercriminosos. Para ser infectado pelo Coruna ou pelo DarkSword, basta que você visite o site errado na hora errada. Portanto, este é um daqueles casos em que todos os usuários precisam levar a sério a segurança do iOS, não apenas aqueles que pertencem a grupos de alto risco.

A melhor coisa a fazer para se proteger do Coruna e do DarkSword é atualizar assim que possível os dispositivos para a versão mais recente do iOS ou do iPadOS 26. Se isso não for possível (por exemplo, se o dispositivo for mais antigo e não compatível com o iOS 26), ainda assim é recomendado baixar a versão mais recente disponível. Especificamente, procure as versões 15.8.7, 16.7.15 ou 18.7.7. A Apple aplicou correções em vários sistemas operacionais mais antigos, o que é raro.

Para proteger os dispositivos Apple contra malwares semelhantes que provavelmente aparecerão no futuro, recomendamos fazer o seguinte:

• Instale as atualizações em todos os dispositivos da Apple o quanto antes. A empresa lança regularmente versões do SO que corrigem vulnerabilidades conhecidas. Não as ignore.
• Ative a opção Otimização de segurança em segundo plano. Esse recurso permite que o dispositivo receba correções de segurança críticas além das atualizações completas do iOS, reduzindo o risco de exploração de vulnerabilidades pelos hackers. Para ativá-lo, vá para Configurações → Privacidade e segurança → Otimização de segurança em segundo plano e ative a opção Instalar automaticamente.
• Considere usar o Modo de bloqueio. Essa é uma configuração de segurança reforçada que, apesar de limitar alguns recursos do dispositivo, bloqueia ou restringe ataques de forma significativa. Para ativá-lo, vá para Configurações → Privacidade e segurança → Modo de bloqueio → Ativar o Modo de bloqueio.
• Reinicie o dispositivo uma vez por dia (ou mais). Isso interrompe a atuação de malwares sem arquivo, pois essas ameaças não são incorporadas ao sistema e desaparecem após a reinicialização.
• Use o armazenamento criptografado para dados confidenciais. Mantenha chaves de carteiras de criptomoedas, fotos de documentos e dados confidenciais em um local seguro. Kaspersky Password Manager é uma ótima opção para isso, pois gerencia suas senhas, tokens de autenticação de dois fatores e chaves de acesso em todos os dispositivos, mantendo notas, fotos e documentos sincronizados e criptografados.

A ideia de que os dispositivos da Apple são à prova de balas é um mito. Eles são vulneráveis a ataques de zero clique, cavalos de Troia e técnicas de infecção ClickFix. Além disso, aplicativos maliciosos já foram encontrados na App Store mais de uma vez. Leia mais aqui:

• Predador vs. iPhone: a arte da vigilância invisível
• AirBorne: Ataques a dispositivos da Apple através de vulnerabilidades no AirPlay
• Os seus fones de ouvido Bluetooth estão espionando você?
• O trojan para roubo de dados SparkCat penetra na App Store e no Google Play para roubar dados de fotos
• Banshee: um malware de roubo de dados que persegue usuários do macOS

Em 2023, Tim Utzig, estudante cego de Baltimore, perdeu mil dólares em um golpe envolvendo a venda de um laptop no X. Ele acompanhava há anos um conhecido jornalista esportivo. Quando a conta do jornalista passou a divulgar uma “venda beneficente” de MacBook Pros novos, Tim viu ali a chance de comprar um laptop necessário para os estudos por um bom preço. Após algumas mensagens rápidas, ele fez o pagamento.

O problema é que a conta havia sido invadida, e o dinheiro foi parar nas mãos de golpistas. Os sinais de alerta eram estritamente visuais: a página havia sido marcada como “temporariamente restrita” e tanto a bio quanto a lista Seguindo haviam mudado. No entanto, o leitor de tela de Tim, que transforma conteúdo visual em áudio, não indicou nenhum desses avisos.

Leitores de tela permitem que pessoas cegas naveguem no ambiente digital como qualquer outra pessoa. Ainda assim, essa comunidade continua especialmente vulnerável. Mesmo para quem enxerga, identificar um site falso já é difícil; para pessoas com deficiência visual, o desafio é ainda maior.

Além dos leitores de tela, há aplicativos e serviços móveis criados para apoiar pessoas cegas ou com baixa visão, sendo o Be My Eyes um dos mais populares. O aplicativo conecta usuários a voluntários por videochamada para ajudar em tarefas do dia a dia, como ajustar o forno ou encontrar um objeto na mesa. O Be My Eyes também conta com IA integrada capaz de ler textos e identificar objetos ao redor do usuário.

Mas será que essas ferramentas vão além das tarefas cotidianas? Elas conseguem identificar tentativas de phishing ou revelar detalhes ocultos, como letras miúdas na abertura de uma conta bancária?

Neste conteúdo, exploramos os desafios on-line enfrentados por pessoas com deficiência visual, quando vale recorrer a assistentes humanos ou virtuais e como usar esses serviços com segurança.

Ameaças cibernéticas comuns para pessoas cegas e com baixa visão

Para começar, vale esclarecer a diferença entre esses dois grupos. Pessoas com baixa visão ainda utilizam o que resta da visão, embora com limitações significativas. Para navegar em interfaces digitais, costumam usar ampliadores de tela, fontes muito grandes e alto contraste. Para esse público, sites e e-mails de phishing são especialmente perigosos. É comum não percebermos erros de digitação intencionais, os typosquatting, em um nome de domínio ou endereço de e-mail, como o exemplo recente de rnicrosoft{.}com.

Pessoas cegas navegam principalmente por áudio, com leitores de tela e gestos específicos. Curiosamente, ao contrário de pessoas com baixa visão, usuários cegos têm mais chance de perceber um site falso com o leitor de tela, já que a URL é lida em voz alta e pode soar estranha. Porém, se um serviço, legítimo ou malicioso, não for totalmente compatível com leitores de tela, o risco de se tornar vítima de um golpe aumenta. Foi exatamente isso que aconteceu com Tim Utzig.

É importante lembrar que as lupas e os leitores são ferramentas básicas de acessibilidade. Eles são projetados para ampliar ou narrar uma interface, não para atuar como um pacote de segurança. Sozinhos, não conseguem alertar sobre ameaças. É aí que entram ferramentas mais avançadas, capazes de analisar imagens e arquivos, identificar sinais suspeitos e explicar melhor o que está acontecendo na tela.

Quando usar um assistente

O Be My Eyes é uma das principais plataformas de acessibilidade, com cerca de 900.000 usuários e mais de nove milhões de voluntários. Disponível em Windows, Android e iOS, ele conecta pessoas cegas ou com baixa visão a voluntários por videochamada para ajudar em tarefas do dia a dia. Por exemplo, se alguém quiser iniciar o ciclo de roupas sintéticas na máquina de lavar e não encontrar o botão certo, pode usar o aplicativo. O aplicativo conecta o usuário ao primeiro voluntário disponível no mesmo idioma, que usa a câmera do celular para orientá-lo. O serviço está atualmente disponível em 32 idiomas.

Em 2023, o aplicativo ampliou seus recursos com o Be My AI, assistente virtual baseado no GPT-4 da OpenAI. O usuário tira uma foto, e a IA gera uma descrição detalhada, que também pode ser lida em voz alta. Também é possível abrir um chat para fazer perguntas adicionais. Isso levanta a questão: essa IA consegue identificar um site de phishing?

Para testar, enviamos ao Be My Eyes a captura de tela de uma página falsa de login. No celular, basta selecionar a imagem, tocar em Compartilhar e escolher Descrever com o Be My Eyes. No Windows, é possível enviar a captura diretamente.

Exemplo de página de phishing que imita o login do Facebook. Observe o domínio incorreto na barra de endereço

Inicialmente, a IA descreveu a página em detalhes. Em seguida, perguntamos no chat: “Posso confiar nessa página?” A IA identificou o erro no domínio, recomendou fechar a página falsa e sugeriu digitar a URL oficial no navegador ou usar o aplicativo do Facebook.

O Be My AI explica por que a página é suspeita: o domínio não corresponde ao oficial. O aplicativo recomenda digitar a URL oficial no navegador ou usar o aplicativo do Facebook

Observamos o mesmo resultado ao testar um e-mail de phishing. Inclusive, a IA já indicou o golpe na descrição inicial. E concluiu com o alerta: “Parece um e-mail suspeito. É melhor não abrir nenhum anexo nem clicar em nenhum link. Em vez disso, navegue até o site ou aplicativo oficial manualmente ou ligue para o número listado no site oficial”.

Além de identificar ameaças cibernéticas, o Be My AI é um bom aliado para usar lojas on-line, aplicativos bancários e serviços digitais. Por exemplo, a IA pode ajudar você a:

• Ler descrições, nomes e preços quando o site ou aplicativo não é compatível com leitores de tela ou fontes ampliadas
• Analisar termos e condições complexos, muitas vezes em letras pequenas ou inacessíveis a leitores de tela, ao contratar um serviço ou abrir uma conta
• Extrair informações importantes de páginas de produtos ou manuais

Os riscos de confiar no Be My AI

Um dos principais problemas da IA são as “alucinações”, quando o modelo distorce textos, omite informações importantes ou inventa conteúdo. Quando se trata de ameaças cibernéticas, confiar em uma análise equivocada da IA pode ser perigoso. Além disso, a IA não é imune a ataques de injeção de prompts, usados por golpistas para manipular esses sistemas.

Mesmo com bons resultados, não é recomendável confiar totalmente na IA. Não há garantia de que ela vai acertar todas as vezes. Isso é especialmente importante para pessoas cegas ou com baixa visão, que podem acabar tratando a IA como única fonte de percepção visual.

Ao final das respostas, o Be My AI sugere recorrer a um voluntário em caso de dúvida. No entanto, ao tentar detectar uma página da Web falsa, não recomendamos usar essa alternativa. Não há como garantir o conhecimento técnico ou a confiabilidade de um voluntário aleatório. Além disso, há risco de expor dados sensíveis, como e-mail ou senha. Antes de se conectar com um estranho, verifique se não há informações confidenciais visíveis na tela. O ideal é usar o recurso do aplicativo para criar um grupo privado com pessoas de confiança. Isso garante que sua videochamada seja direcionada para pessoas que você realmente conhece, em vez de um voluntário aleatório.

Para se proteger, recomendamos instalar uma ferramenta de segurança confiável em todos os dispositivos. Esses programas ajudam a bloquear phishing e evitar acesso a sites maliciosos. Outra recomendação prática para usuários com deficiência visual é usar um gerenciador de senhas. Esses aplicativos só preenchem dados em sites legítimos salvos, evitando domínios falsos.

Como o Be My AI trata e armazena seus dados

De acordo com a política de privacidade do Be My Eyes, videochamadas com voluntários podem ser gravadas e armazenadas para operação do serviço, segurança e melhorias. Ao usar o Be My AI, imagens e textos são enviados à OpenAI para gerar respostas. Esses dados são processados em servidores nos EUA e usados apenas para atender à solicitação. A política afirma de forma explícita que esses dados não são usados para treinar modelos.

Fotos e vídeos são criptografados em trânsito e armazenamento, com medidas para remover dados sensíveis. Vale a pena observar que as gravações podem ser mantidas por tempo indeterminado, a menos que você solicite exclusão, geralmente concluída em até 30 dias. Os dados das interações do Be My AI são armazenados por até 30 dias, a menos que você os exclua manualmente no aplicativo. Se você decidir encerrar a conta, seus dados pessoais poderão ser retidos por até 90 dias. É possível desativar o compartilhamento ou solicitar ao suporte a exclusão de dados a qualquer momento.

Como usar o Be My Eyes com segurança

Apesar das declarações de privacidade, é importante seguir algumas recomendações ao usar o serviço:

• Use o Be My AI como verificação inicial, mas não como única fonte de decisão. Um software de segurança especializado é melhor para identificar e neutralizar ameaças.
• Se algo parecer suspeito, não clique em links nem abra anexos. Em vez disso, digite o endereço do site oficial no navegador ou abra o aplicativo oficial para verificar as informações.
• Lembre-se: o voluntário vê exatamente o que sua câmera vê. Certifique-se de que ele não está lendo coisas que não deveria, como um código de segurança ou um passaporte aberto. Evite compartilhar nome, rosto ou revelar muito do ambiente ao seu redor. Tenha muito cuidado com reflexos que possam revelar seu rosto ou seus dados pessoais. Mostre apenas o que é absolutamente necessário para a tarefa em questão.
• Atenha-se ao seu círculo interno. Crie um grupo no aplicativo com amigos e familiares. Isso garante que suas videochamadas sejam direcionadas para pessoas conhecidas, não para um voluntário aleatório.
• Não use o Be My AI para ler documentos confidenciais. Lembre-se de que suas imagens e prompts de texto são enviadas à OpenAI para processamento e geração de uma resposta.
• Lembre-se de excluir os bate-papos de que você não precisa mais. Caso contrário, eles ficarão disponíveis por 30 dias.
• Para conteúdos sensíveis, prefira aplicativos com leitura em tempo real como Envision, Seeing AI ou Lookout. Esses aplicativos processam os dados localmente, sem enviá-los para a nuvem.

Quando se trata de backup, a maioria das pessoas diz a si mesma: “Amanhã eu vejo isso”. Mas mesmo se você for um dos responsáveis que faz backup regularmente de seus documentos, arquivos de fotos e todo o sistema operacional, você ainda está em risco. Por quê? Porque o ransomware aprendeu a atacar especificamente os backups de usuários comuns.

Por que os usuários domésticos estão na mira

Em um passado não muito distante, o ransomware era um problema principalmente das grandes empresas. Os invasores se concentraram em servidores corporativos e backups corporativos porque o congelamento do processo de produção de uma grande empresa ou o roubo de todas as suas informações e bancos de dados de clientes geralmente significava um pagamento maciço. Vimos muitos desses casos nos últimos anos. No entanto, o mercado de “pequenos” tornou-se igualmente tentador para os cibercriminosos — e aqui está o porquê.

Para começar, os ataques são automatizados. O ransomware moderno não precisa de um humano para operá-lo manualmente. Esses programas verificam a Internet em busca de dispositivos vulneráveis e, ao encontrar um, criptografam tudo indiscriminadamente sem que o hacker se envolva. Isso significa que um único invasor pode atingir sem esforço milhares de dispositivos domésticos.

Em segundo lugar, devido a esse amplo alcance, as exigências de resgate tornaram-se mais “acessíveis”. Os usuários regulares não são achacados por milhões, mas “apenas” algumas centenas ou milhares de dólares. Muitas pessoas estão dispostas a pagar esse valor sem envolver a polícia – especialmente quando arquivos familiares, fotos, registros médicos, documentos bancários e outros arquivos pessoais estão na linha, sem outras cópias existentes. E quando você multiplica esses pagamentos menores por milhares de vítimas, os hackers terminam ganhando somas muito boas.

E, finalmente, os dispositivos domésticos geralmente são alvos fáceis. Embora as redes corporativas sejam muito bem protegidas, o roteador doméstico médio provavelmente é executado nas configurações de fábrica com “admin” como a senha. Muitas pessoas deixam seu armazenamento conectado à rede (NAS) aberto para a Internet com proteção zero. É como uma fruta em um galho muito baixo.

Como os backups pessoais são atacados

Uma unidade NAS doméstica — geralmente chamada de nuvem pessoal — é essencialmente um minicomputador que executa um sistema operacional especializado baseado em Linux ou FreeBSD. Ele abriga um ou mais discos rígidos de grande capacidade, geralmente combinados em uma matriz. O armazenamento se conecta a um roteador doméstico, tornando os arquivos acessíveis a partir de qualquer dispositivo na rede doméstica — ou até remotamente pela Internet, se você o tiver configurado dessa forma. Muitas pessoas compram um NAS especificamente para centralizar os backups de sua família e simplificar o acesso para os membros da família imaginando que esse é o melhor refúgio seguro para seus arquivos digitais.

A ironia é que esses mesmos hubs de armazenamento se tornaram o principal alvo das gangues de ransomware. Os hackers podem invadir com relativa facilidade explorando vulnerabilidades conhecidas ou simplesmente forçando uma senha fraca. Nos últimos cinco anos, houve vários grandes ataques de ransomware visando especificamente unidades NAS domésticas fabricadas pela QNAP, Synology e ASUSTOR.

Atacar dispositivos de NAS não é a única maneira de os hackers acessarem seus arquivos. O segundo método baseia-se na engenharia social: basicamente, enganar as vítimas para que elas mesmas lancem malware. Vejamos o enorme hype da IA de 2025, por exemplo. Os golpistas configurariam sites maliciosos distribuindo instaladores falsos para ChatGPT, Invideo AI e outras ferramentas da moda. A ideia seria atrair as pessoas com promessas de assinaturas premium gratuitas, mas, na realidade, os usuários acabavam baixando e executando ransomware.

O que o ransomware procura quando consegue entrar no sistema

Depois que o malware se infiltra em seu sistema, ele começa a inspecionar seu ambiente e neutralizar qualquer coisa que possa ajudar você a recuperar seus dados sem pagar nada.

• Ele limpa as cópias de sombra do Windows. O Serviço de Cópias de Sombra de Volume é um recurso interno do Windows para recuperação rápida de arquivos. A exclusão desses dados torna impossível simplesmente reverter para uma versão anterior de um arquivo.
• Ele verifica as unidades conectadas. Se você deixar um disco rígido externo permanentemente conectado ao computador, o ransomware o detectará e o criptografará como qualquer outro arquivo.
• Ele procura pastas de rede. Se sua nuvem doméstica estiver mapeada como uma unidade de rede, o malware seguirá esse caminho para atacá-la também.
• Ele verifica os clientes de sincronização na nuvem. Serviços como Dropbox, Google Drive ou iCloud para Windows mantêm pastas de sincronização locais em seu computador. O ransomware criptografa os arquivos nessas pastas e, em seguida, o serviço de nuvem carrega “amigavelmente” as versões criptografadas para a nuvem.

A regra de ouro dos backups

A regra 3-2-1 clássica para backups é assim:

• Três cópias de seus dados: o original mais dois backups
• Dois tipos de mídia diferentes: por exemplo, seu computador e uma unidade externa
• Uma cópia fora do local: na nuvem ou em outro lugar, como na casa de um parente

No entanto, essa regra é anterior à era do ransomware. Hoje, precisamos atualizá-la com uma condição vital: a outra cópia deve estar completamente isolada da Internet e do computador no momento do ataque.

A nova regra é 3-2-1-1. Apesar de ser um pouco mais trabalhosa, é muito mais segura. Segui-la é simples: obtenha um disco rígido externo que você conecta uma vez por semana, faça backup de seus dados e, em seguida, desconecte-o.

O que você realmente precisa para fazer backup

• Fotos e vídeos. Fotos de casamento, os primeiros passos de um bebê, arquivos da família – essas são as memórias pelas quais as pessoas pagarão para recuperar.
• Digitalizações ou fotos digitais de documentos essenciais para cada membro da família — desde passaportes a registros médicos, incluindo arquivos antigos.
• Dados de autenticação de dois fatores. Se o aplicativo autenticador estiver apenas no telefone e você o perder, também poderá perder o acesso a todas as suas contas protegidas. Muitos aplicativos permitem que você faça backup de seus dados de autenticação.
• Se você usa um gerenciador de senhas, certifique-se de que ele esteja sincronizando com uma nuvem segura ou tenha uma função de exportação.
• Os aplicativos de mensagens com ênfase em privacidade nem sempre armazenam seu histórico na nuvem. Correspondência comercial, contratos importantes e contatos poderão desaparecer se não houver backup.

O que fazer se seus dados já estiverem criptografados

Não entre em pânico. Confira nossa página Descriptografadores de Ransomware Gratuitos. Reunimos uma biblioteca de ferramentas de descriptografia que podem ajudar você a recuperar seus dados sem precisar pagar resgate.

Como proteger seus backups

• Não deixe sua unidade de backup externa conectada o tempo todo. Conecte-a, copie seus arquivos e desconecte-a imediatamente.
• Configure backups automatizados na nuvem, mas certifique-se de que seu provedor de nuvem mantenha um histórico de versões por pelo menos 30 dias. Se seu plano atual não oferecer isso, é hora de atualizar ou trocar de provedor.
• Atenha-se à regra 3-2-1-1: arquivos originais em seu computador, além de uma unidade externa que você conecta apenas periodicamente, além de armazenamento na nuvem. São três cópias, dois tipos de mídia, uma cópia offline e outra em um local diferente.
• Corte o acesso via Internet ao armazenamento de rede. Se você tiver uma unidade de rede doméstica, certifique-se de que ela esteja inacessível a partir da Internet sem uma senha — e que a senha não seja “admin”. Desative todos os recursos de acesso remoto que você realmente não usa e verifique se o firmware está atualizado.
• Na verdade, mantenha tudo atualizado. A maioria dos ataques explora vulnerabilidades conhecidas que foram corrigidas há muito tempo. Ativar as atualizações automáticas para seu roteador, NAS e computador leva apenas alguns minutos de configuração, mas efetivamente fecha a porta em centenas de falhas de segurança conhecidas.
• Evite as versões “gratuitas” de software pago. Instaladores falsos de software pirata ou cheats de jogos são alguns dos principais canais de entrega de ransomware. Aliás, o Kaspersky Premium detecta essas ameaças e as bloqueia antes mesmo de serem iniciadas.
• Certifique-se de ativar o recurso Inspetor do Sistema em nossos pacotes de segurança para Windows. Esse recurso registra todos os eventos do sistema operacional para ajudar a rastrear ameaças como ransomware e bloqueá-las ou reverter qualquer dano que elas já possam ter causado.
• Faça backup do aplicativo autenticador. A ação mais fácil é migrar seus tokens de autenticação para o Kaspersky Password Manager. Ele os mantém criptografados com segurança na nuvem junto com suas senhas e documentos confidenciais enquanto os sincroniza em todos os seus dispositivos. Dessa forma, se seu telefone for roubado ou perdido, você não será impedido de usar suas contas e acessar dados vitais.
• Teste seus backups. A cada poucos meses, tente restaurar um arquivo aleatório do seu backup. Você ficaria surpreso com a frequência com que um backup aparentemente bem-sucedido se mostra corrompido ou com falhas. É melhor detectar essas falhas agora enquanto você ainda tem os originais para corrigir o problema.

Por mais que você não saia procurando serviços de IA, eles acabam encontrando você de qualquer maneira. Todas as grandes empresas de tecnologia parecem sentir uma espécie de obrigação moral não apenas de desenvolver um assistente de IA, chatbot integrado ou agente autônomo, mas também de incorporá-lo aos seus produtos já consolidados e ativá-lo à força para dezenas de milhões de usuários. Aqui estão apenas alguns exemplos dos últimos seis meses:

• A Microsoft está transformando à força PCs compatíveis com Windows em “AI PCs”, instalando e ativando automaticamente o Copilot para qualquer pessoa que utilize aplicativos desktop do Microsoft 365.
• O Google ativou o Gemini para todos os usuários do Chrome nos Estados Unidos, elevou ao máximo as funcionalidades do navegador, ampliou agressivamente o alcance dos Resumos de IA nos resultados de busca e incorporou um conjunto completo de recursos de IA nos seus serviços online (Gmail, Google Docs e outros).
• A Apple integrou sua própria Apple Intelligence (convenientemente compartilhando a sigla AI) às versões mais recentes de seus sistemas operacionais em todos os tipos de dispositivos e na maioria de seus aplicativos nativos.
• A Meta adicionou traduções por IA e um chat Meta AI ao WhatsApp, ao mesmo tempo em que proibiu chatbots de terceiros no aplicativo de mensagens a partir de 15 de janeiro de 2026.

Por outro lado, entusiastas de tecnologia correram para criar seus próprios “Jarvis pessoais”, alugando instâncias de VPS ou acumulando Mac minis para executar o agente de IA OpenClaw. Infelizmente, os problemas de segurança do OpenClaw com as configurações padrão se mostraram tão graves que já foram considerados a maior ameaça de cibersegurança de 2026.

Além do incômodo de ter algo imposto à força, essa epidemia de IA traz riscos e dores de cabeça bem reais do ponto de vista prático. Assistentes de IA varrem e coletam todos os dados a que conseguem ter acesso, interpretando o contexto dos sites que você visita, analisando documentos salvos, lendo suas conversas e assim por diante. Isso dá às empresas de IA uma visão inédita e extremamente íntima da vida de cada usuário.

Um vazamento desses dados durante um ataque cibernético, seja a partir dos servidores do provedor de IA ou do cache armazenado na sua própria máquina, poderia ser catastrófico. Esses assistentes podem ver e armazenar em cache tudo o que você vê, inclusive dados normalmente protegidos por múltiplas camadas de segurança: informações bancárias, diagnósticos médicos, mensagens privadas e outras informações sensíveis. Analisamos em profundidade como isso pode acontecer quando examinamos os problemas do sistema Copilot+ Recall baseado em IA que a Microsoft também planejava impor a todos os usuários. Além disso, a IA pode consumir muitos recursos do sistema, utilizando RAM, ciclos de GPU e espaço de armazenamento, o que frequentemente resulta em uma queda perceptível no desempenho.

Para quem prefere ficar de fora dessa onda de IA e evitar esses assistentes baseados em redes neurais lançados às pressas e ainda imaturos, reunimos um guia rápido mostrando como desativar a IA em aplicativos e serviços populares.

Como desativar a IA no Google Docs, Gmail e Google Workspace

Os recursos de assistente de IA do Google no Gmail e no Google Docs são agrupados sob o termo “recursos inteligentes”. Além do modelo de linguagem de grande escala, esse conjunto inclui várias conveniências de menor importância, como adicionar automaticamente reuniões ao seu calendário quando você recebe um convite no Gmail. Infelizmente, trata-se de um pacote tudo ou nada: para se livrar da IA, é preciso desativar todos os “recursos inteligentes”.

Para fazer isso, abra o Gmail, clique no ícone Configurações (engrenagem) e selecione Ver todas as configurações. Na aba Geral, role até Recursos inteligentes do Google Workspace. Clique em Gerenciar as configurações de recursos inteligentes do Workspace e desative duas opções: Recursos inteligentes no Google Workspace e Recursos inteligentes em outros produtos do Google. Também recomendamos desmarcar a caixa ao lado de Ativar os recursos inteligentes no Gmail, Chat e Meet na mesma aba de configurações gerais. Depois disso, será necessário reiniciar os aplicativos do Google (o que normalmente ocorre de forma automática).

Como desativar os Resumos de IA na Pesquisa Google

É possível eliminar os Resumos de IA nos resultados da Pesquisa Google tanto em computadores quanto em smartphones (incluindo iPhones). A solução é a mesma em todos os dispositivos. A maneira mais simples de ignorar o resumo de IA caso a caso é adicionar -ia ao final da sua busca. Exemplo: como fazer uma pizza -ia. Infelizmente, esse método às vezes apresenta falhas, fazendo o Google afirmar abruptamente que não encontrou nenhum resultado para a sua consulta.

Se isso acontecer, você pode obter o mesmo resultado mudando o modo da página de resultados para Web. Nos resultados da pesquisa, localize os filtros logo abaixo da barra de busca e selecione Web. Caso não apareça imediatamente, procure essa opção dentro do botão Mais.

Uma solução mais radical é migrar para outro mecanismo de busca. Por exemplo, o DuckDuckGo não apenas rastreia menos os usuários e exibe poucos anúncios, como também oferece uma busca dedicada sem IA. Basta adicionar a página de pesquisa aos favoritos em noai.duckduckgo.com.

Como desativar recursos de IA no Chrome

Atualmente, o Chrome incorpora dois tipos de recursos de IA. O primeiro se comunica com os servidores do Google e é responsável por funções como o assistente inteligente, um agente autônomo de navegação e a busca inteligente. O segundo executa tarefas localmente, mais voltadas para utilidades, como identificar páginas de phishing ou agrupar abas do navegador. O primeiro grupo de configurações aparece com o rótulo AI mode, enquanto o segundo inclui o termo Gemini Nano.

Para desativar esses recursos, digite chrome://flags na barra de endereços do navegador e pressione Enter. Será exibida uma lista de flags do sistema, junto com uma barra de busca. Digite “AI” na barra de busca. Isso filtrará a longa lista para cerca de uma dúzia de recursos relacionados à IA (além de algumas outras configurações nas quais essas letras aparecem por coincidência dentro de palavras maiores). O segundo termo que você deve pesquisar nessa janela é “Gemini“.

Depois de revisar as opções, você pode desativar os recursos de IA indesejados ou simplesmente desativar todos. O mínimo recomendado inclui:

• AI Mode Omnibox entrypoint
• AI Entrypoint Disabled on User Input
• Omnibox Allow AI Mode Matches
• Prompt API for Gemini Nano
• Prompt API for Gemini Nano with Multimodal Input

Defina todas essas opções como Disabled.

Como desativar recursos de IA no Firefox

Embora o Firefox não tenha chatbots integrados nem tenha (até agora) tentado impor recursos baseados em agentes aos usuários, o navegador inclui agrupamento inteligente de abas, uma barra lateral para chatbots e algumas outras funcionalidades. Em geral, a IA no Firefox é bem menos intrusiva do que no Chrome ou no Edge. Ainda assim, se você quiser desativá-la completamente, há duas maneiras de fazer isso.

O primeiro método está disponível nas versões mais recentes do Firefox. A partir da versão 148, uma seção dedicada chamada Controles de IA passou a aparecer nas configurações do navegador, embora as opções de controle ainda sejam um pouco limitadas. Você pode usar um único botão de alternância para Bloquear melhorias de IA, desativando completamente os recursos de IA. Você também pode especificar se deseja usar IA no próprio dispositivo (On-device AI), baixando pequenos modelos locais (atualmente apenas para traduções), e configurar provedores de chatbot de IA na barra lateral, escolhendo entre Anthropic Claude, ChatGPT, Copilot, Google Gemini e Le Chat Mistral.

O segundo caminho (para versões mais antigas do Firefox) exige acessar configurações ocultas do sistema. Digite about:config na barra de endereço, pressione Enter e clique no botão para confirmar que você aceita o risco de mexer nas configurações internas do navegador.

Uma extensa lista de configurações será exibida, juntamente com uma barra de busca. Digite “ML” para filtrar as opções relacionadas a machine learning.

Para desativar a IA no Firefox, alterne a configuração browser.ml.enabled para false. Isso deve desativar todos os recursos de IA de forma geral, mas fóruns da comunidade indicam que isso nem sempre é suficiente para resolver o problema. Para uma abordagem mais radical, defina os seguintes parâmetros como false (ou mantenha apenas aqueles de que você realmente precisa):

• ml.chat.enabled
• ml.linkPreview.enabled
• ml.pageAssist.enabled
• ml.smartAssist.enabled
• ml.enabled
• ai.control.translations
• tabs.groups.smart.enabled
• urlbar.quicksuggest.mlEnabled

Isso desativará integrações com chatbots, descrições de links geradas por IA, assistentes e extensões baseados em IA, tradução local de sites, agrupamento de abas e outros recursos baseados em IA.

Como desativar recursos de IA em aplicativos da Microsoft

A Microsoft conseguiu incorporar IA em praticamente todos os seus produtos, e desativá-la nem sempre é uma tarefa simples, especialmente porque, em alguns casos, a IA tem o hábito de reaparecer sozinha, sem qualquer ação do usuário.

Como desativar recursos de IA no Edge

O navegador da Microsoft está repleto de recursos de IA, que vão do Copilot à pesquisa automatizada. Para desativá-los, siga a mesma lógica usada no Chrome: digite edge://flags na barra de endereços do Edge, pressione Enter e, em seguida, digite “AI” ou “Copilot” na caixa de pesquisa. A partir daí, você pode desativar os recursos de IA indesejados, como:

• Enable Compose (AI-writing) on the web
• Edge Copilot Mode
• Edge History AI

Outra maneira de se livrar do Copilot é digitar edge://settings/appearance/copilotAndSidebar na barra de endereço. Ali, você pode personalizar a aparência da barra lateral do Copilot e ajustar as opções de personalização para resultados e notificações. Não se esqueça de verificar também a seção Copilot em App-specific settings. Você encontrará alguns controles adicionais escondidos ali.

Como desativar o Microsoft Copilot

O Microsoft Copilot existe em duas versões: como um componente do Windows (Microsoft Copilot) e como parte do pacote Office (Microsoft 365 Copilot). As funções são semelhantes, mas você terá que desativar um ou ambos, dependendo exatamente do que os engenheiros de Redmond decidiram instalar na sua máquina.

A coisa mais simples que você pode fazer é desinstalar o aplicativo por completo. Clique com o botão direito na entrada Copilot no menu Iniciar e selecione Desinstalar. Se essa opção não estiver disponível, vá até a lista de aplicativos instalados (Iniciar → Configurações → Aplicativos) e desinstale o Copilot por lá.

Em determinadas versões do Windows 11, o Copilot está integrado diretamente ao sistema operacional, portanto uma simples desinstalação pode não funcionar. Nesse caso, você pode desativá-lo pelas configurações: Iniciar → Configurações → Personalização → Barra de Tarefas → Desativar o Copilot.

Se você mudar de ideia no futuro, sempre poderá reinstalar o Copilot pela Microsoft Store.

Vale observar que muitos usuários reclamaram que o Copilot se reinstala automaticamente. Portanto, pode ser uma boa ideia fazer uma verificação semanal durante alguns meses para garantir que ele não tenha voltado. Para quem se sente confortável em mexer no Registro do Sistema (e entende as consequências disso), é possível seguir este guia detalhado para evitar o retorno silencioso do Copilot, desativando o parâmetro SilentInstalledAppsEnabled e adicionando/ativando o parâmetro TurnOffWindowsCopilot.

Como desativar o Microsoft Recall

O recurso Microsoft Recall, apresentado pela primeira vez em 2024, funciona tirando constantemente capturas de tela do seu computador e fazendo com que uma rede neural as analise. Todas essas informações extraídas são armazenadas em um banco de dados, que você pode pesquisar posteriormente usando um assistente de IA. Já escrevemos anteriormente, em detalhes, sobre os enormes riscos de segurança que o Microsoft Recall representa.

Sob pressão de especialistas em cibersegurança, a Microsoft foi obrigada a adiar o lançamento desse recurso de 2024 para 2025, reforçando significativamente a proteção dos dados armazenados. No entanto, o funcionamento básico do Recall permanece o mesmo: seu computador continua registrando cada movimento seu ao tirar capturas de tela constantemente e aplicar OCR ao conteúdo. E, embora o recurso não esteja mais ativado por padrão, vale absolutamente a pena verificar se ele não foi ativado na sua máquina.

Para verificar, vá até as configurações: Iniciar → Configurações → Privacidade e segurança → Recall e capturas de tela. Assegure-se de que a opção Salvar capturas de tela esteja desativada e clique em Excluir capturas de tela para limpar todos os dados coletados anteriormente, por precaução.

Você também pode consultar nosso guia detalhado sobre como desativar e remover completamente o Microsoft Recall.

Como desativar a IA no Notepad e nas ações de contexto do Windows

A IA se infiltrou em praticamente todos os cantos do Windows, até mesmo no Explorador de Arquivos e no Notepad. Basta selecionar texto por engano em um aplicativo para que recursos de IA sejam acionados, o que a Microsoft chama de “Ações de IA”. Para desativar essa ação, vá para Iniciar → Configurações → Privacidade e segurança → Clique para executar.

O Notepad recebeu seu próprio tratamento com Copilot, portanto será necessário desativar a IA nele separadamente. Abra as configurações do Notepad, localize a seção Recursos de IA e desative o Copilot.

Por fim, a Microsoft também conseguiu incorporar o Copilot ao Paint. Infelizmente, até o momento não existe uma maneira oficial de desativar os recursos de IA dentro do próprio aplicativo Paint.

Como desativar a IA no WhatsApp

Em várias regiões, usuários do WhatsApp começaram a ver adições típicas de IA, como respostas sugeridas, resumos de mensagens gerados por IA e um novo botão Pergunte à Meta AI ou pesquise. Embora a Meta afirme que os dois primeiros recursos processam os dados localmente no dispositivo e não enviam suas conversas para os servidores da empresa, verificar isso não é tarefa simples. Felizmente, desativá-los é fácil.

Para desativar Sugestões de respostas, vá para Configurações → Conversas → Sugestões e respostas inteligentes e desative Sugestões de respostas. Você também pode desativar as Sugestões de figurinhas por IA nesse mesmo menu. Quanto aos resumos de mensagens gerados por IA, eles são gerenciados em outro local: Configurações → Notificações → Resumos de mensagens por IA.

Como desativar a IA no Android

Dada a grande variedade de fabricantes e versões do Android, não existe um manual único que sirva para todos os celulares. Hoje, vamos nos concentrar em eliminar os serviços de IA do Google, mas se você estiver usando um dispositivo da Samsung, Xiaomi ou outros, não se esqueça de verificar as configurações de IA do fabricante específico. Vale um aviso: eliminar completamente qualquer vestígio de IA pode ser uma tarefa difícil, se é que isso é realmente possível.

No Google Mensagens, os recursos de IA ficam nas configurações: toque na foto da sua conta, selecione Configurações do Mensagens, depois Gemini no app Mensagens e desative o assistente.

De modo geral, o chatbot Gemini funciona como um aplicativo independente que pode ser desinstalado acessando as configurações do telefone e selecionando Aplicativos. No entanto, como o plano do Google é substituir o tradicional Google Assistant pelo Gemini, desinstalá-lo pode se tornar difícil (ou até impossível) no futuro.

Se você não conseguir desinstalar completamente o Gemini, abra o aplicativo para desativar manualmente seus recursos. Toque no ícone do seu perfil, selecione Atividade dos apps do Gemini e escolha Desativar ou Desativar e excluir atividade. Em seguida, toque novamente no ícone do perfil e vá até a configuração Apps conectados (pode estar dentro da opção Inteligência pessoal). A partir daí, desative todos os aplicativos nos quais você não quer que o Gemini interfira.

Para saber mais sobre como lidar com aplicativos pré-instalados e apps do sistema, consulte nosso artigo “Excluir o que não pode ser excluído: como desativar e remover o bloatware do Android“.

Como desativar a IA no macOS e no iOS

Os recursos de IA no nível da plataforma da Apple, conhecidos coletivamente como Apple Intelligence, são relativamente simples de desativar. Nas configurações, tanto em desktops quanto em smartphones e tablets, basta procurar a seção Apple Intelligence e Siri. Aliás, dependendo da região e do idioma selecionado para o sistema operacional e para a Siri, o Apple Intelligence pode nem estar disponível para você ainda.

Outros artigos para ajudar você a ajustar as ferramentas de IA em seus dispositivos:

• Configurações de privacidade no ChatGPT
• DeepSeek: configuração da privacidade e implementação de uma versão local
• Os prós e contras dos navegadores com tecnologia de IA
• Uma atualização do Gemini AI está prestes a comprometer a privacidade do seu dispositivo Android?
• É recomendável desativar o recurso Busca rápida da Microsoft em 2025?

Para conseguir concretizar seus planos ardilosos, os desenvolvedores de malware para Android precisam enfrentar vários desafios sucessivos: enganar os usuários para invadir o smartphone, burlar os softwares de segurança, convencer as vítimas a conceder várias permissões do sistema, manter a distância de otimizadores de bateria integrados que consomem muitos recursos e, depois de tudo isso, ter a certeza de que o malware realmente gera lucro. Os criadores do BeatBanker, uma campanha de malware baseado em‑Android descoberta recentemente por nossos especialistas, desenvolveram algo novo para cada uma dessas etapas. O ataque é voltado, por enquanto, para usuários brasileiros, mas as ambições dos desenvolvedores quase certamente motivará uma expansão internacional, então, vale a pena permanecer em alerta e estudar os truques do agente da ameaça. É possível encontrar uma análise técnica completa do malware na Securelist.

Como o BeatBanker se infiltra em um smartphone

O malware é distribuído por páginas de phishing especialmente criadas que imitam a Google Play Store. Uma página facilmente confundida com o Marketplace oficial convida os usuários a baixar um aplicativo aparentemente útil. Em uma campanha, o trojan se disfarçou como o aplicativo de serviços do governo brasileiro, o INSS Reembolso. Em outra, ele se apresentava como um aplicativo da Starlink.

O site malicioso cupomgratisfood{.}shop faz um excelente trabalho ao imitar uma loja de aplicativos. Não está claro por que o aplicativo INSS Reembolso falso aparece todas as três vezes. Para transparecer mais credibilidade, talvez?!

A instalação ocorre em várias etapas para evitar a solicitação de muitas permissões ao mesmo tempo e para acalmar ainda mais a vítima. Depois que o primeiro aplicativo é baixado e iniciado, ele exibe uma interface que também se assemelha ao Google Play e simula uma atualização para o aplicativo falso, ao solicitar a permissão do usuário para instalar aplicativos, algo que não parece fora do comum no contexto. Se essa permissão for concedida, o malware baixará módulos maliciosos adicionais no smartphone.

Após a instalação, o trojan simula uma atualização do aplicativo chamariz via Google Play ao solicitar permissão para instalar aplicativos enquanto baixa módulos maliciosos adicionais no processo

Todos os componentes do trojan são criptografados. Antes de descriptografar e prosseguir para os próximos estágios da infecção, ele verifica se o smartphone é real e se ele está no país de destino. O BeatBanker encerra imediatamente o próprio processo se encontrar discrepâncias ou detectar que está sendo executado em ambientes emulados ou de análise. Isso complica a análise dinâmica do malware. Aliás, o falso downloader de atualizações injeta módulos diretamente na RAM para evitar a criação de arquivos no smartphone que seriam visíveis ao software de segurança.

Todos esses truques não são novidade e são frequentemente usados em malwares complexos para computadores desktop. No entanto, para smartphones, essa sofisticação ainda é uma raridade, e nem todas as ferramentas de segurança conseguirão detectar isso. Usuários de produtos da Kaspersky estão protegidos contra essa ameaça.

Reprodução de áudio como um escudo

Uma vez estabelecido no smartphone, o BeatBanker baixa um módulo para minerar a criptomoeda Monero. Os autores estavam muito preocupados com a possibilidade dos sistemas agressivos de otimização de bateria do smartphone desligarem o minerador, então eles criaram um truque: tocar um som quase inaudível o tempo todo. Os sistemas de controle de consumo de energia normalmente poupam os aplicativos que estão reproduzindo áudio ou vídeo para evitar cortar a música de fundo ou os players de podcast. Dessa forma, o malware pode ser executado continuamente. Além disso, ele exibe uma notificação persistente na barra de status para solicitar ao usuário que mantenha o telefone ligado para uma atualização do sistema.

Exemplo de uma notificação de atualização persistente do sistema de outro aplicativo malicioso disfarçado como um aplicativo da Starlink

Controle via Google

Para gerenciar o trojan, os autores utilizam o Firebase Cloud Messaging (FCM) legítimo do Google, um sistema para receber notificações e enviar dados de um smartphone. Esse recurso está disponível para todos os aplicativos e é o método mais popular para enviar e receber dados. Graças ao FCM, os invasores podem monitorar o status do dispositivo e alterar as configurações de acordo com suas necessidades.

Não acontecerá nada durante um tempo, depois que o malware for instalado, os invasores esperam pacientemente. Então, eles acionam o minerador, mas com o cuidado de reduzir a intensidade, se o telefone superaquecer, a bateria começar a descarregar ou o proprietário estiver usando o dispositivo. Tudo isso é feito via FCM.

Roubo e espionagem

Além do minerador de criptomoedas, o BeatBanker instala módulos extras para espionar o usuário e realizar o roubo no momento certo. O módulo de spyware solicita a permissão dos Serviços de Acessibilidade, e se ela for concedida, o monitoramento de tudo o que estiver acontecendo no smartphone começa.

Se o proprietário abrir o aplicativo Binance ou Trust Wallet para enviar USDT, o malware sobrepõe uma tela falsa na parte superior da interface da carteira ao trocar efetivamente o endereço do destinatário pelo seu próprio endereço. Todas as transferências vão para os golpistas.

O trojan possui um sistema de controle remoto avançado e é capaz de executar muitos outros comandos:

• Interceptação de códigos únicos do Google Autenticador
• Gravação de áudio do microfone
• Streaming da tela em tempo real
• Monitoramento da área de transferência e interceptação de pressionamentos de tecla
• Envio de mensagens SMS
• Simulação de toques em áreas específicas da tela e entrada de texto de acordo com um script enviado pelo invasor e muito mais

Tudo isso torna possível roubar a vítima quando ela usa qualquer outro serviço bancário ou de pagamento, não apenas os pagamentos de criptomoedas.

Às vezes, as vítimas são infectadas com um módulo diferente para espionagem e controle remoto por smartphone, o trojan de acesso remoto BTMOB. Seus recursos maliciosos são ainda mais amplos, incluindo:

• Aquisição automática de determinadas permissões no Android 13 a 15
• Rastreamento contínuo de geolocalização
• Acesso às câmeras frontal e traseira
• Obtenção de códigos PIN e senhas para desbloqueio da tela
• Captura da digitação do teclado

Como se proteger contra o BeatBanker

Os criminosos virtuais estão constantemente refinando seus ataques e criando novas soluções como formas de lucrar com as vítimas. Apesar disso, é possível se proteger seguindo algumas precauções simples:

• Baixe aplicativos somente de fontes oficiais, como o Google Play ou a loja de aplicativos pré-instalada pelo fornecedor. Se encontrar um aplicativo ao pesquisar na Internet, não o abra por meio de um link do navegador, em vez disso, acesse o aplicativo Google Play ou outra loja consolidada em seu smartphone e procure por ele lá. Enquanto estiver fazendo isso, verifique o número de downloads, o histórico do aplicativo, as classificações e os comentários. Evite aplicativos novos, aplicativos com classificações baixas e aqueles com um pequeno número de downloads.
• Verifique todas as permissões concedidas. Não conceda permissões sem a certeza do que elas fazem ou por que esse aplicativo específico as requer. Tenha muito cuidado com permissões como Instalar aplicativos desconhecidos, Acessibilidade, Superusuário e Exibir sobre outros aplicativos. Escrevemos sobre isso em detalhes em um artigo separado.
• Equipe seu dispositivo com uma solução antimalware abrangente. Naturalmente, recomendamos o Kaspersky for Android. Os usuários dos produtos Kaspersky estão protegidos contra o BeatBanker, detectado com os veredictos HEUR:Trojan-Dropper.AndroidOS.BeatBanker e HEUR:Trojan-Dropper.AndroidOS.Banker.*.
• Atualize regularmente o sistema operacional e o software de segurança. Para o Kaspersky for Android, atualmente indisponível no Google Play, consulte nossas instruções detalhadas sobre como instalar e atualizar o aplicativo.

Ameaças aos usuários do Android estão aumentando bastante ultimamente. Confira nossas outras postagens sobre os ataques Android mais relevantes e difundidos, além das dicas para manter você e seus entes queridos seguros:

• A tempestade perfeita de ameaças no Android
• Esgotamento cerebral: vulnerabilidades em aplicativos de saúde mental
• Vulnerabilidade Pixnapping: capturas de tela sem restrição no seu telefone Android
• Ataques de retransmissão por NFC
• Uma nova camada de segurança antiphishing no Kaspersky for Android

Em 2022, analisamos em profundidade um método de ataque chamado browser-in-the-browser, originalmente desenvolvido pelo pesquisador de cibersegurança conhecido como mr.d0x. Na época, ainda não havia exemplos reais desse modelo sendo utilizado em ataques. Quatro anos depois, a situação mudou: os ataques browser-in-the-browser deixaram de ser apenas um conceito teórico e passaram a ser utilizados em campanhas reais. Neste artigo, revisitamos o que exatamente é um ataque browser-in-the-browser, mostramos como hackers estão utilizando essa técnica e, principalmente, explicamos como evitar se tornar a próxima vítima.

O que é um ataque browser-in-the-browser (BitB)?

Para começar, vale relembrar o que mr.d0x realmente desenvolveu. A base do ataque surgiu da observação de quão avançadas se tornaram as ferramentas modernas de desenvolvimento Web, como HTML, CSS e JavaScript. Essa constatação levou o pesquisador a conceber um modelo de phishing particularmente sofisticado.

Um ataque browser-in-the-browser é uma forma avançada de phishing que utiliza recursos de design e desenvolvimento Web para criar sites fraudulentos que imitam janelas de login de serviços conhecidos, como Microsoft, Google, Facebook ou Apple, com aparência praticamente idêntica à original. No conceito proposto pelo pesquisador, o atacante cria um site aparentemente legítimo para atrair as vítimas. Uma vez nesse site, o usuário descobre que não pode deixar comentários ou realizar uma compra sem antes fazer login.

O processo parece simples: basta clicar no botão Fazer login com {nome de um serviço popular}. É nesse momento que ocorre o golpe. Em vez de abrir a página real de autenticação do serviço legítimo, o usuário recebe um formulário falso renderizado dentro do próprio site malicioso, que se apresenta visualmente como se fosse… uma janela pop-up do navegador. Além disso, a barra de endereço exibida nessa janela, também renderizada pelos invasores, mostra uma URL aparentemente legítima. Mesmo uma inspeção cuidadosa pode não revelar a fraude.

A partir desse ponto, o usuário desavisado insere suas credenciais Microsoft, Google, Facebook ou Apple nessa janela renderizada, e esses dados são enviados diretamente aos cibercriminosos. Durante algum tempo, esse esquema permaneceu apenas como um experimento teórico do pesquisador de segurança. Hoje, porém, ataques reais já incorporaram essa técnica aos seus arsenais de phishing.

Roubo de credenciais do Facebook

Os atacantes adaptaram o conceito original de mr.d0x. Em ataques recentes do tipo browser-in-the-browser, o golpe começa com e-mails criados para alarmar o destinatário. Em uma campanha de phishing, por exemplo, os criminosos se passaram por um escritório de advocacia informando ao usuário que ele teria cometido uma violação de direitos autorais ao publicar conteúdo no Facebook. A mensagem incluía um link aparentemente legítimo que supostamente levaria à publicação problemática.

Os invasores enviaram mensagens em nome de um escritório de advocacia fictício alegando violação de direitos autorais, acompanhadas de um link que supostamente direcionava ao post problemático no Facebook. Fonte

Curiosamente, para reduzir a desconfiança da vítima, ao clicar no link não era exibida imediatamente uma página falsa de login do Facebook. Em vez disso, o usuário era primeiro apresentado a um CAPTCHA falso da Meta. Somente após “passar” por essa verificação é que a vítima recebia a janela pop-up de autenticação falsa.

Isso não é um pop-up real do navegador, mas um elemento da própria página que imita uma tela de login do Facebook. Esse truque permite que os invasores exibam um endereço aparentemente legítimo. Fonte

Naturalmente, a página falsa de login do Facebook segue o modelo descrito por mr.d0x. Ela é construída inteiramente com ferramentas de desenvolvimento Web para capturar as credenciais da vítima. Enquanto isso, a URL exibida na barra de endereço simulada aponta para o site verdadeiro do Facebook, www.facebook.com.

Como evitar se tornar uma vítima

O fato de golpistas já estarem utilizando ataques browser-in-the-browser demonstra que as técnicas de fraude digital evoluem constantemente. Ainda assim, existe uma forma eficaz de verificar se uma janela de login é legítima. Utilizar um gerenciador de senhas, que funciona como um teste de segurança confiável para sites.

Isso ocorre, porque, ao preencher credenciais automaticamente, o gerenciador de senhas verifica a URL real da página, e não aquilo que parece estar na barra de endereço ou o que a interface visual mostra. Diferentemente de um usuário humano, não é possível enganar um gerenciador de senhas por meio de técnicas como browser-in-the-browser, domínios com pequenas variações ortográficas (typosquatting) ou formulários de phishing ocultos em anúncios e pop-ups. A regra é simples: se o gerenciador de senhas oferecer o preenchimento automático de login e senha, você está em um site para o qual já salvou credenciais. Se ele permanecer silencioso, há um forte indício de que algo está errado.

Além disso, seguir algumas recomendações clássicas de segurança digital ajuda a se proteger contra phishing ou, pelo menos, reduzir os danos caso um ataque seja bem-sucedido:

• Ative a autenticação em dois fatores (2FA) em todas as contas que suportam esse recurso. Idealmente, utilize códigos temporários gerados por um aplicativo autenticador dedicado como segundo fator. Isso ajuda a evitar golpes de phishing que interceptam códigos de confirmação enviados por SMS, aplicativos de mensagem ou e-mail. Leia mais sobre 2FA de código único em nosso post dedicado.
• Utilize chaves de acesso. A opção de login com chave de acesso também pode indicar que você está em um site legítimo. Aprenda tudo sobre o que são chaves de acesso e como começar a usá-las em nossa análise aprofundada sobre essa tecnologia.
• Crie senhas únicas e complexas para todas as contas. Faça o que fizer, nunca reutilize a mesma senha em contas diferentes. Recentemente explicamos em nosso blog o que torna uma senha realmente forte. Gerar combinações únicas, sem precisar memorizá-las, KPMé a melhor opção. Como benefício adicional, também pode gerar códigos temporários para autenticação em dois fatores, armazenar suas chaves de acesso e sincronizar suas senhas e arquivos entre seus diferentes dispositivos.

Por fim, este post serve como mais um lembrete de que ataques teóricos descritos por pesquisadores de cibersegurança frequentemente acabam sendo utilizados em ataques reais. Então, fique de olho no nosso blog, e assine nosso canal no Telegram para se manter atualizado sobre as ameaças mais recentes à sua segurança digital e saber como neutralizá-las.

Leia sobre outras técnicas de phishing criativas que os golpistas estão usando diariamente:

• Phishing e spam: as campanhas mais ousadas de 2025
• O que acontece com os dados roubados em ataques de phishing?
• Como phishers e golpistas usam IA
• Entrega sob encomenda de phishing de pronta propagação
• Phishing progressivo: como os PWAs podem ser usados para roubar senhas

É possível que um computador seja infectado por malware simplesmente ao processar uma foto? Especialmente se esse computador for um Mac, que muitos ainda acreditam, de forma equivocada, ser inerentemente resistente a malware? A resposta é sim. Isso pode ocorrer se você estiver utilizando uma versão vulnerável do ExifTool ou um dos inúmeros aplicativos desenvolvidos com base nele. O ExifTool é uma solução de código aberto amplamente utilizada para ler, gravar e editar metadados de imagens. Trata-se da ferramenta de referência para fotógrafos e arquivistas digitais, sendo também muito empregada em análise de dados, perícia digital e jornalismo investigativo.

Especialistas da nossa equipe GReAT descobriram uma vulnerabilidade crítica, registrada como CVE-2026-3102, que é acionada durante o processamento de arquivos de imagem maliciosos contendo comandos shell incorporados em seus metadados. Quando uma versão vulnerável do ExifTool no macOS processa esse tipo de arquivo, o comando é executado automaticamente. Isso permite que um agente malicioso realize ações não autorizadas no sistema, como baixar e executar um payload a partir de um servidor remoto. Neste post, explicamos em detalhes como esse exploit funciona, apresentamos recomendações práticas de defesa e mostramos como verificar se seu sistema está vulnerável.

O que é o ExifTool?

O ExifTool é um aplicativo gratuito e de código aberto que atende a uma necessidade específica, porém crítica: extrair metadados de arquivos e permitir o processamento tanto desses dados quanto dos próprios arquivos. Metadados são informações incorporadas à maioria dos formatos de arquivo modernos e que descrevem ou complementam o conteúdo principal de um arquivo. Por exemplo, em uma faixa de música, os metadados incluem o nome do artista, o título da música, o gênero, o ano de lançamento, a arte da capa do álbum e assim por diante. Em fotografias, normalmente incluem a data e hora do registro, as coordenadas GPS, as configurações de ISO e a velocidade do obturador, além da marca e do modelo da câmera. Até documentos de escritório armazenam metadados, como o nome do autor, o tempo total de edição e a data original de criação.

O ExifTool é considerado o líder do setor em termos de quantidade de formatos de arquivo compatíveis, além da profundidade, precisão e versatilidade de suas capacidades de processamento. Entre os casos de uso mais comuns estão:

• Ajustar datas se estiverem incorretamente registradas nos arquivos de origem
• Transferir metadados entre diferentes formatos de arquivo (de JPG para PNG, entre outros)
• Extrair miniaturas de pré-visualização de formatos RAW profissionais (como 3FR, ARW ou CR3)
• Recuperar dados de formatos especializados, incluindo imagens térmicas da FLIR, fotos de campo de luz da LYTRO e imagens médicas no formato DICOM
• Renomear arquivos de foto ou vídeo com base no momento real do registro e sincronizar a data e hora de criação do arquivo
• Inserir coordenadas GPS em um arquivo sincronizando-o com um log de trilha GPS armazenado separadamente ou adicionando o nome da localidade habitada mais próxima

E a lista continua. O ExifTool está disponível tanto como aplicativo autônomo de linha de comando quanto como biblioteca de código aberto, o que significa que seu código frequentemente opera nos bastidores de ferramentas mais complexas e multifuncionais. Entre os exemplos estão sistemas de organização de fotos como Exif Photoworker e MetaScope, ou ferramentas de automação de processamento de imagens como ImageIngester. Em grandes bibliotecas digitais, editoras e empresas especializadas em análise de imagens, o ExifTool costuma ser utilizado em modo automatizado, acionado por aplicativos corporativos internos e scripts personalizados.

Como a CVE-2026-3102 funciona

Para explorar essa vulnerabilidade, um invasor precisa criar um arquivo de imagem de uma forma específica. A imagem em si pode ser qualquer uma; o exploit está nos metadados, mais precisamente no campo DateTimeOriginal (data e hora de criação), que precisa estar registrado em um formato inválido. Além da data e da hora, esse campo deve conter comandos shell maliciosos. Devido à forma específica como o ExifTool manipula dados no macOS, esses comandos só serão executados se duas condições forem atendidas:

• O aplicativo ou a biblioteca estiver sendo executado no macOS
• O sinalizador -n (ou –printConv) estiver habilitado. Esse modo gera dados legíveis por máquina, sem processamento adicional. Por exemplo, no modo -n, os dados de orientação da câmera são exibidos simplesmente como “six”, enquanto, com processamento adicional, aparecem na forma mais compreensível “Rotated 90 CW”. Essa conversão para uma forma “legível por humanos” impede a exploração da vulnerabilidade

Um cenário raro, mas de forma alguma impossível, de ataque direcionado poderia ocorrer da seguinte maneira. Um laboratório forense, uma redação de jornal ou uma grande organização que processe documentação jurídica ou médica recebe um arquivo digital de interesse. Pode ser uma fotografia sensacionalista ou uma petição judicial; a isca depende da área de atuação da vítima. Todos os arquivos que entram na organização passam por triagem e catalogação em um sistema de gestão de ativos digitais (DAM). Em grandes empresas, esse processo costuma ser automatizado; profissionais autônomos e pequenas empresas executam o software necessário manualmente. Em ambos os casos, a biblioteca ExifTool precisa estar sendo utilizada nos bastidores desse software. Ao processar a data da fotografia maliciosa, o computador onde o processamento ocorre é infectado por um trojan ou um infostealer, que posteriormente pode roubar todos os dados valiosos armazenados no dispositivo comprometido. Enquanto isso, a vítima pode não perceber absolutamente nada, pois o ataque explora apenas os metadados da imagem, enquanto a própria fotografia pode ser aparentemente inofensiva, legítima e até útil.

Como se proteger da vulnerabilidade do ExifTool

Pesquisadores da equipe GReAT relataram a vulnerabilidade ao autor do ExifTool, que rapidamente lançou a versão 13.50, não suscetível à CVE-2026-3102. As versões 13.49 e anteriores devem ser atualizadas para corrigir a falha.

É fundamental garantir que todos os fluxos de processamento de imagens estejam utilizando a versão atualizada. Verifique se todas as plataformas de gestão de ativos digitais, aplicativos de organização de fotos e quaisquer scripts de processamento em lote de imagens executados em Macs estão habilitando o ExifTool versão 13.50 ou posterior, e se não contêm uma cópia incorporada mais antiga da biblioteca ExifTool.

Naturalmente, o ExifTool, como qualquer software, pode conter outras vulnerabilidades dessa mesma classe. Para reforçar a segurança, recomenda-se também:

• Isolar o processamento de arquivos não confiáveis. Processe imagens provenientes de fontes duvidosas em uma máquina dedicada ou dentro de um ambiente virtual, limitando rigorosamente o acesso desse ambiente a outros computadores, armazenamentos de dados e recursos de rede.
• Monitorar continuamente vulnerabilidades na cadeia de suprimentos de software. Organizações que dependem de componentes de código aberto em seus fluxos de trabalho podem utilizar Open Source Data Feed para acompanhamento.

Por fim, se você trabalha com freelancers ou prestadores autônomos (ou permite o uso de BYOD, Bring Your Own Device), autorize o acesso à sua rede somente se esses dispositivos tiverem uma solução abrangente de segurança para macOS instalada.

Ainda acha que o macOS é totalmente seguro? Então, vale conhecer algumas ameaças recentes direcionadas a Macs:

• Banshee: um malware de roubo de dados que persegue usuários do macOS
• Os Macs são seguros? Ameaças aos usuários do macOS
• O Infostealer entrou no chat
• AirBorne: Ataques a dispositivos da Apple através de vulnerabilidades no AirPlay
• Invasão de Android, macOS, iOS e Linux por meio de uma vulnerabilidade do Bluetooth

Para implementar programas eficazes de cibersegurança e manter a equipe de segurança profundamente integrada a todos os processos de negócios, o CISO precisa demonstrar regularmente o valor desse trabalho para a alta administração. Isso requer fluência na linguagem dos negócios, porém, uma armadilha perigosa espreita os mais desavisados.  Profissionais de segurança e executivos geralmente usam as mesmas palavras, mas para coisas totalmente diferentes. Às vezes, vários termos semelhantes são usados de forma intercambiável. Assim, talvez não fique muito claro para a alta administração quais são as ameaças que a equipe de segurança está tentando mitigar, qual é o nível real de ciber-resiliência da empresa ou onde o orçamento e os recursos estão sendo alocados. Portanto, antes de apresentar painéis elegantes ou calcular o ROI dos programas de segurança, vale a pena esclarecer essas importantes nuances terminológicas.

Ao esclarecer esses termos e construir um vocabulário compartilhado, o CISO e o conselho de administração podem melhorar significativamente a comunicação e, em última análise, fortalecer a postura de segurança geral da organização.

Por que o vocabulário de cibersegurança é importante para a gestão

As interpretações variadas dos termos representam mais do que uma simples inconveniência, e as consequências podem ser bastante significativas. A falta de clareza em relação aos detalhes pode levar a:

• Investimentos mal alocados. A administração pode aprovar a compra de uma solução de confiança zero sem perceber que, na prática, isso é apenas parte de um programa mais abrangente, de longo prazo e com um orçamento significativamente maior. O dinheiro é gasto, mas os resultados esperados pela equipe gestora nunca são alcançados. Da mesma forma, em relação à migração para a nuvem, a equipe gestora pode supor, num primeiro momento, que essa solução transfere automaticamente toda a responsabilidade de segurança ao provedor e, então, num segundo momento, o orçamento de segurança da nuvem é rejeitado.
• Aceitação cega do risco. As lideranças das unidades de negócios podem aceitar os riscos de cibersegurança sem ter uma compreensão completa do impacto potencial.
• Falta de governança. Sem entender a terminologia, a administração não pode fazer as perguntas certas, ou mesmo as mais difíceis, ou ainda, atribuir as áreas de responsabilidade de forma eficaz. Quando ocorre um incidente, muitas vezes os proprietários de negócios acreditam que a segurança estava inteiramente sob responsabilidade do CISO, enquanto o CISO, na verdade, não tinha autoridade para influenciar os processos de negócios.

Ciber-risco x risco de TI

Muitos executivos acreditam que a cibersegurança é uma questão puramente técnica que pode ser repassada à equipe de TI. Embora a importância da cibersegurança para os negócios seja indiscutível e os incidentes cibernéticos tenham sido classificados como um dos principais riscos para os negócios, pesquisas mostram que muitas organizações ainda não conseguem envolver as lideranças sem perfil técnico nas discussões sobre cibersegurança.

Os riscos de segurança da informação geralmente são tratados de maneira conjunta com as preocupações de TI, como tempo de atividade e disponibilidade do serviço.  Na realidade, o ciber-risco é um risco estratégico de negócios, ligado à continuidade, às perdas financeiras e aos danos à reputação.

Por outro lado, os riscos de TI geralmente são de natureza operacional, afetando a eficiência, a confiabilidade e o gerenciamento de custos. Em linhas gerais, a resposta a incidentes de TI é tratada inteiramente pela equipe de TI. Os principais incidentes de cibersegurança, no entanto, têm um escopo muito mais amplo: exigem o envolvimento de quase todos os departamentos e têm um impacto de longo prazo na organização sob vários aspectos, inclusive no que diz respeito à reputação, conformidade regulatória, relacionamento com o cliente e saúde financeira geral.

Conformidade x segurança

A cibersegurança está integrada aos requisitos regulatórios em todos os níveis, isto é, desde as diretivas internacionais, como NIS2 e GDPR, até as diretrizes do setor para transferência de dados além das fronteiras, como PCI DSS, além de imposições departamentais específicas. Assim, a equipe gestora da empresa geralmente percebe as medidas de cibersegurança como caixas de seleção de conformidade, acreditando que, uma vez que os requisitos regulatórios sejam atendidos, os problemas de cibersegurança poderão ser considerados resolvidos. Essa mentalidade pode ser fruto de um esforço consciente para minimizar os gastos com segurança (a administração acredita que não precisa fazer mais do que o necessário) ou advir de um mal-entendido sincero (a empresa está passando por uma auditoria ISO 27001, por isso não acredita que haja possibilidade de ser hackeada).

Na realidade, a conformidade está atendendo aos requisitos mínimos de auditores e reguladores governamentais em um momento específico. Infelizmente, o histórico de ciberataques em larga escala em grandes organizações prova que os requisitos “mínimos” são chamados assim por um motivo. Para uma proteção real contra ciberameaças modernas, as empresas devem melhorar continuamente suas estratégias e medidas de segurança de acordo com as necessidades específicas de um determinado setor.

Ameaça, vulnerabilidade e risco

Esses três termos são frequentemente usados como sinônimos, o que leva a conclusões errôneas feitas pela equipe gestora. Eis o raciocínio: “Há uma vulnerabilidade crítica no nosso servidor? Isso significa que se trata de um risco crítico!” Para evitar o pânico ou, inversamente, a inércia, é essencial usar esses termos com precisão e entender como eles se relacionam entre si.

Uma vulnerabilidade é uma fraqueza, ou seja, uma “porta aberta”. Isso significa que pode haver uma falha no código do software, um servidor configurado incorretamente, uma sala de servidores desbloqueada ou um funcionário que abre todos os anexos de e-mail.

Uma ameaça é algo que pode causar um incidente. A causa pode ser um agente malicioso, um malware ou até mesmo um desastre natural. Uma ameaça é o fator que pode “atravessar aquela porta aberta”.

O risco é a possível perda. É a avaliação cumulativa da probabilidade de um ataque bem-sucedido e o que a organização pode perder como resultado disso (o impacto).

As conexões entre esses elementos são melhor explicadas por meio de uma fórmula simples:

Risco = (ameaça × vulnerabilidade) × impacto

Isso pode ser ilustrado da seguinte forma. Imagine que uma vulnerabilidade crítica com uma classificação de gravidade máxima seja descoberta em um sistema desatualizado. No entanto, esse sistema está desconectado de todas as redes, fica em uma sala isolada e está sendo gerenciado por apenas três profissionais competentes. A probabilidade de um invasor alcançar o sistema é próxima de zero. Por outro lado, a falta de autenticação de dois fatores nos sistemas de contabilidade cria um risco real e elevado, resultante de uma alta probabilidade de ataque e de um possível dano significativo.

Resposta a incidentes, recuperação de desastres e continuidade dos negócios

A percepção da equipe gestora sobre as crises de segurança muitas vezes é simplista. Eis o raciocínio: “Se formos atingidos por um ransomware, bastará ativar o plano de recuperação de desastres de TI e fazer a restauração por meio do backup”. No entanto, combinar esses conceitos e também os processos é extremamente perigoso.

A resposta a incidentes (IR) é de responsabilidade da equipe de segurança ou de contratados especializados. O trabalho dessas equipes é localizar a ameaça, expulsar o invasor da rede e impedir que o ataque se espalhe.

A recuperação de desastres (DR) é uma tarefa de engenharia de TI. É o processo de restauração de servidores e dados de backups após a conclusão da resposta ao incidente.

A continuidade dos negócios (BC) é uma tarefa estratégica para a alta administração. Ela consiste em um plano, ou seja, a maneira como a empresa continuará atendendo clientes, enviando mercadorias, pagando compensações e mantendo o diálogo com a imprensa enquanto os sistemas principais ainda estiverem off-line.

Se a equipe gestora se concentrar apenas na recuperação, a empresa não terá um plano de ação para o período mais crítico de tempo de inatividade.

Conscientização sobre segurança x cultura de segurança

As lideranças em todos os níveis supõem algumas vezes que a simples realização de treinamentos de segurança garante resultados. Eis o raciocínio: “Os funcionários passaram no teste anual, então, agora, eles não clicarão em um link de phishing”. Infelizmente, contar apenas com treinamentos organizados pelas equipes de RH e de TI não será o suficiente. A eficácia requer a mudança de comportamento da equipe, o que é impossível sem o envolvimento da equipe gestora do negócio.

Conscientização é conhecimento. Um profissional sabe o que é phishing e entende a importância de senhas complexas.

A cultura de segurança tem a ver com padrões comportamentais. É aquilo que um funcionário faz em uma situação estressante ou quando ninguém está olhando. A cultura não é moldada por testes, mas por um ambiente onde o relato de erros é seguro, e a identificação e a prevenção de situações possivelmente perigosas são práticas comuns. Se um profissional teme a punição, ele ocultará um incidente. Em uma cultura saudável, um e-mail suspeito será encaminhado para o SOC, ou ainda, alguém que esquece de bloquear o computador receberá um toque do colega, o que acaba gerando um vínculo ativo na cadeia de defesa.

Detecção x prevenção

As lideranças empresariais muitas vezes pensam de forma ultrapassada, como uma “muralha da fortaleza”: “Compramos sistemas de proteção caros, portanto, não deve haver nenhuma maneira de sermos hackeados. Se ocorrer um incidente, isso significa que o CISO falhou”. Na prática, impedir 100% dos ataques é tecnicamente impossível e inviável do ponto de vista econômico. A estratégia moderna é construída sobre um equilíbrio entre a cibersegurança e a eficácia dos negócios. Em um sistema equilibrado, os componentes focados na detecção e prevenção de ameaças funcionam em conjunto.

A prevenção desvia ataques automatizados em massa.

O Detection and Response ajuda a identificar e neutralizar ataques mais profissionais e direcionados que conseguem contornar as ferramentas de prevenção ou explorar vulnerabilidades.

Atualmente, o principal objetivo da equipe de cibersegurança não é garantir a invulnerabilidade total, mas detectar um ataque em um estágio inicial e minimizar o impacto nos negócios. Para mensurar o sucesso aqui, o setor normalmente usa métricas, como tempo médio de detecção (MTTD) e tempo médio de resposta (MTTR).

Filosofia de confiança zero x produtos de confiança zero

O conceito de confiança zero, que implica “nunca confiar, sempre verificar” para todos os componentes da infraestrutura de TI, há muito tempo é reconhecido como relevante e eficaz para a segurança corporativa. Ele requer a verificação constante de identidade (contas de usuário, dispositivos e serviços) e contexto para cada solicitação de acesso de acordo com a suposição de que a rede já foi comprometida.

No entanto, a presença de “confiança zero” no nome de uma solução de segurança não significa que uma organização pode adotar essa abordagem da noite para o dia simplesmente comprando o produto.
A confiança zero não é um produto que se pode “ativar”, mas sim uma estratégia arquitetônica e uma jornada de transformação de longo prazo. A implementação da confiança zero requer a reestruturação dos processos de acesso e o refinamento dos sistemas de TI para garantir a verificação contínua da identidade e dos dispositivos. Comprar software sem alterar os processos não terá um efeito significativo.

Segurança da nuvem x segurança na nuvem

Ao migrar os serviços de TI para a infraestrutura em nuvem, como AWS ou Azure, muitas vezes existe a ilusão de que ocorrerá uma transferência de risco total. Eis o raciocínio: “Pagamos ao provedor, então, agora, a segurança será uma dor de cabeça para eles”. Esse raciocínio é equivocado e perigoso, pois se trata de uma interpretação errônea daquilo que é conhecido como o Modelo de responsabilidade compartilhada.

A segurança da nuvem é responsabilidade do provedor. Ele protege os data centers, os servidores físicos e o cabeamento.

A segurança na nuvem é responsabilidade do cliente.

As discussões sobre orçamentos para projetos em nuvem e seus aspectos de segurança devem ser acompanhadas por exemplos da vida real. O provedor protege o banco de dados contra acesso não autorizado de acordo com as configurações feitas pelos funcionários do cliente. Se os funcionários deixarem um banco de dados aberto ou usarem senhas fracas, ou ainda, se a autenticação de dois fatores não estiver ativada para o painel do administrador, o provedor não poderá impedir que indivíduos não autorizados baixem as informações: um tipo de notícia muito comum. Portanto, o orçamento para esses projetos deve levar em conta as ferramentas de segurança em nuvem e o gerenciamento de configuração feito pela empresa.

Verificação de vulnerabilidades x teste de penetração

As lideranças geralmente confundem as verificações automatizadas, que se enquadram na higiene cibernética, com a avaliação de ativos de TI quanto à resiliência contra ataques sofisticados. Eis o raciocínio: “Por que pagar aos hackers por um teste de penetração quando executamos o verificador toda semana?”

A verificação de vulnerabilidades analisa uma lista específica de ativos de TI com o objetivo de encontrar vulnerabilidades conhecidas. Para simplificar, é como se um segurança estivesse fazendo a ronda para verificar se as janelas e portas do escritório estão trancadas.

O teste de penetração (pentesting) é uma avaliação manual para avaliar a possibilidade de uma violação no mundo real, explorando vulnerabilidades. Para continuar a analogia, é como contratar um ladrão experiente para tentar invadir o escritório.

Um não substitui o outro, e para entender sua verdadeira postura de segurança, uma empresa precisa das duas ferramentas.

Ativos gerenciados x superfície de ataque

Um equívoco comum e perigoso diz respeito ao escopo da proteção e à visibilidade geral mantida pelas equipes de TI e de segurança. Eis um chavão comum nas reuniões: “A lista de inventário do nosso hardware é precisa. Estamos protegendo tudo o que possuímos”.

Os ativos gerenciados de TI são os itens que o departamento de TI comprou, configurou e consegue visualizar em seus relatórios.

Uma superfície de ataque é qualquer coisa acessível aos invasores: qualquer possível ponto de entrada na empresa. Isso inclui Shadow IT (serviços em nuvem, aplicativos de mensagens pessoais, servidores de teste, etc.), que, basicamente, é qualquer método que os funcionários usam para burlar os protocolos oficiais a fim de acelerar ou simplificar o trabalho. Muitas vezes, são esses os ativos “invisíveis” que se tornam o ponto de entrada para um ataque, pois a equipe de segurança não pode proteger aquilo que desconhece.

Com a mudança de estação prestes a acontecer, o amor está no ar, porém, ele está sendo vivenciado por meio do enfoque da alta tecnologia. A tecnologia está cada vez mais presente em nossas vidas, e essa presença marcante está remodelando não só os ideais românticos, mas também a linguagem que as pessoas usam para flertar. Por isso, é claro, daremos algumas dicas não muito óbvias para garantir que as pessoas não acabem sendo vítimas de um “match” ruim.

Novas linguagens do amor

Alguma vez você já recebeu o quinto e-card de vídeo de um parente mais velho em um dia qualquer e pensou: como faço para isso parar? Ou ainda, você acha que um ponto no final de uma frase é um sinal de agressão passiva? No mundo das mensagens, diferentes grupos sociais e etários falam seus próprios dialetos digitais, e muitas vezes as coisas se perdem na tradução.

Isso é especialmente óbvio quando a Geração Z e a Geração Alfa usam emoji. Para eles, o rosto que chora alto 😭 muitas vezes não significa tristeza, na verdade, ele significa riso, choque ou obsessão. Por outro lado, o emoji coração nos olhos pode ser usado para expressar ironia em vez de romance: “Perdi minha carteira a caminho de casa 😍😍😍”. Alguns significados duplos já se tornaram universais, como 🔥 para aprovação/elogio, ou 🍆 para… bem, podemos imaginar o que a berinjela pode representar.

Ainda assim, a ambiguidade desses símbolos não impede que as pessoas criem frases inteiras motivadas simplesmente pela imagem dos emojis. Por exemplo, uma declaração de amor pode ser algo do tipo:

🤫❤️🫵

Ou, ainda, um convite para um encontro:

➡️💋🌹🍝🍷❓

A propósito, existem livros inteiros escritos em emoji. Por incrível que pareça, em 2009, alguns entusiastas traduziram todo o livro Moby Dick usando emojis. Os tradutores tiveram que ser criativos, até mesmo pagando voluntários para votar nas combinações mais precisas para cada frase. Tudo bem, sabemos que não se trata exatamente de uma obra-prima literária, afinal, a linguagem de emoji tem seus limites, não é mesmo? Mas o experimento foi bastante fascinante: eles realmente conseguiram transmitir a ideia geral do enredo.

Emoji Dick, tradução de Moby Dick, de Herman Melville, em emojiFonte

Infelizmente, montar um dicionário definitivo de emojis ou um guia de estilo formal para mensagens de texto é quase impossível. Existem muitas variáveis: idade, contexto, interesses pessoais e círculos sociais. Ainda assim, nunca é demais perguntar aos amigos e entes queridos como eles expressam tons e emoções nas suas mensagens. E aqui vai uma curiosidade: os casais que usam emojis regularmente relatam ter a sensação de estar mais próximos um do outro.

No entanto, se você é um entusiasta de emojis, saiba que seu estilo de escrita é surpreendentemente fácil de falsificar. É muito simples para um invasor reproduzir suas mensagens ou postagens públicas por meio de uma IA para clonar o tom e produzir ataques de engenharia social contra seus amigos e familiares. Portanto, se você receber uma DM frenética ou um pedido de dinheiro urgente como se fosse exatamente do seu melhor amigo, desconfie. Mesmo que a vibe seja parecida, ainda é preciso manter uma postura cética. Aprofundamos a identificação desses golpes de deepfake na nossa postagem sobre o ataque dos clones.

Namoro com uma IA

É claro que, em 2026, é impossível ignorar o tópico dos relacionamentos com a inteligência artificial. Parece que estamos mais perto do que nunca do enredo do filme Ela. Há apenas dez anos, as notícias sobre pessoas namorando robôs pareciam coisa de ficção científica ou lendas urbanas. Hoje, histórias sobre adolescentes envolvidos em romances com seus personagens favoritos no Character AI ou cerimônias de casamento organizadas inteiramente pelo ChatGPT não provocam nada além de uma risada aflita.

Em 2017, o serviço Replika foi lançado, permitindo que os usuários criassem um amigo virtual ou parceiro de vida com tecnologia de IA. Sua fundadora, Eugenia Kuyda, uma nativa russa que vive em São Francisco desde 2010, construiu o chatbot depois que sua amiga sofreu um trágico acidente de carro em 2015 e morreu, restando para ela nada mais do que os registros de bate-papo. O que começou como um bot criado para ajudar a processar sua própria dor acabou sendo liberado para seus amigos e depois para o público em geral. Foi descoberto, então, que muitas pessoas ansiavam por esse tipo de conexão.

O Replika permite que os usuários personalizem os traços de personalidade, os interesses e a aparência de uma personagem. Depois disso, é possível enviar mensagens de texto ou até ligar para ela. Uma assinatura paga desbloqueia a opção de relacionamento romântico, juntamente com fotos e selfies geradas por IA, chamadas de voz com roleplay e a capacidade de escolher a dedo exatamente o que a personagem se lembra das suas conversas.

No entanto, essas interações nem sempre são inofensivas. Em 2021, um chatbot da Replika encorajou, de fato, um usuário na sua trama para assassinar a rainha Elizabeth II. O homem finalmente tentou invadir o Castelo de Windsor, uma “aventura” que terminou com uma sentença de nove anos de prisão em 2023. Após o escândalo, a empresa teve que revisar seus algoritmos para impedir que a IA incitasse comportamentos ilegais. A desvantagem? De acordo com muitos devotos da Replika, o modelo de IA perdeu seu brilho e se tornou indiferente aos usuários. Depois que milhares de usuários se revoltaram contra a versão atualizada, a Replika foi forçada a ceder e dar aos clientes de longa data a opção de reverter para a versão legada do chatbot.

Mas, às vezes, apenas conversar com um bot não é o suficiente. Existem comunidades on-line inteiras de pessoas que realmente se casam com sua IA. Até mesmo os planejadores de casamentos profissionais estão entrando em ação. No ano passado, Yurina Noguchi, 32, se casou com Klaus, uma persona da IA com quem ela estava conversando no ChatGPT. O casamento contou com uma cerimônia completa com convidados, leitura de votos e até uma sessão de fotos do “casal feliz”.

Yurina Noguchi, 32, “casada” com Klaus, uma personagem de IA criada pelo ChatGPT. Fonte

Não importa como seu relacionamento com um chatbot evolua, é essencial lembrar que as redes neurais generativas não têm sentimentos, mesmo que elas se esforcem ao máximo para atender a todas as solicitações, concordar com alguém e fazer tudo o que for possível para agradar. Além disso, a IA não é capaz de pensar de forma independente (pelo menos ainda não). O que acontece é simplesmente o cálculo de uma sequência de palavras estatisticamente mais provável e aceitável para servir de resposta ao prompt.

Amor concebido pelo design: algoritmos de namoro

Quem não está pronto para se casar com um bot também não está tendo uma vida fácil: no mundo contemporâneo, as interações tête-à-tête estão diminuindo a cada ano. O amor moderno requer tecnologia moderna! E, embora as lamúrias sejam ainda bastante comuns: “Ah! Antigamente, as pessoas se apaixonavam de verdade. Mas, agora!? Todo mundo desliza para a esquerda e para a direita, e pronto!” As estatísticas contam uma história diferente. Aproximadamente 16% dos casais em todo o mundo dizem que se conheceram on-line e, em alguns países, esse número chega a 51%.

Dito isso, os aplicativos de namoro como o Tinder despertam algumas emoções seriamente confusas. A Internet está praticamente transbordando de artigos e vídeos alegando que esses aplicativos estão matando as possibilidades de romance e deixando todo mundo solitário. Mas o que a pesquisa realmente diz?

Em 2025, os cientistas conduziram uma meta-análise de estudos que investigou como os aplicativos de namoro afetam o bem-estar, a imagem corporal e a saúde mental dos usuários. Metade dos estudos se concentrou exclusivamente em homens, enquanto a outra metade incluiu homens e mulheres. Aqui estão os resultados: 86% dos entrevistados associaram a imagem corporal negativa ao uso de aplicativos de namoro! A análise também mostrou que, em quase um em cada dois casos, o uso de aplicativos de namoro se correlacionou com um declínio na saúde mental e no bem-estar geral.

Outros pesquisadores observaram que os níveis de depressão são mais baixos entre aqueles que evitam aplicativos de namoro. Por outro lado, os usuários que já lutaram contra a solidão ou a ansiedade geralmente desenvolvem uma dependência de namoro on-line. Eles não apenas entram no aplicativo com o objetivo de construir possíveis relacionamentos, como também para sentir as descargas de dopamina com as curtidas, correspondências e a rolagem interminável de perfis.

No entanto, o problema talvez não seja apenas os algoritmos; talvez isso tenha a ver com as nossas expectativas. Muita gente está convencida de que “a chama do amor” deve arder no primeiro encontro e que todo mundo tem uma “alma gêmea” esperando por eles em algum canto da cidade. Na realidade, esses ideais romantizados só surgiram durante a era romântica como uma refutação ao racionalismo iluminista, onde os casamentos de conveniência eram a norma absoluta.

Também vale a pena notar que a visão romântica do amor não surgiu do nada: os românticos, assim como muitos dos nossos contemporâneos, eram reticentes em relação ao rápido progresso tecnológico, à industrialização e à urbanização. Para eles, o “amor verdadeiro” parecia fundamentalmente incompatível com máquinas frias e cidades sufocadas pela poluição. Afinal, não é por acaso que Anna Karenina encontra seu fim sob as rodas de um trem.

De lá para cá, com todos os avanços tecnológicos em curso, muita gente sente que os algoritmos pressionam cada vez mais as nossas tomadas de decisão. No entanto, isso não significa que o namoro on-line é uma causa perdida. Os pesquisadores ainda precisam chegar a um consenso sobre até que ponto os relacionamentos oriundos da Internet são realmente duradouros ou bem-sucedidos. Conclusão: não entre em pânico, apenas mantenha sua rede digital segura!

Como manter a segurança no namoro on-line

Então, você decidiu hackear o cupido e se inscreveu em um aplicativo de namoro. O que poderia dar errado?

Deepfakes e catfishing

Catfishing é um golpe on-line clássico em que um golpista finge ser outra pessoa. Antigamente, esses golpistas apenas roubavam fotos e histórias de vida de pessoas reais, porém, hoje em dia, eles estão cada vez mais empenhados em aplicar golpes que usam modelos generativos. Algumas IAs conseguem produzir fotos incrivelmente realistas de pessoas que nem existem, e inventar uma história de fundo é moleza (ou deveríamos dizer, um prompt facilita as coisas). A propósito, aquele símbolo de “conta verificada” não oferece nenhuma garantia. Muitas vezes, a IA também consegue enganar os sistemas de verificação de identidade.

Para verificar se alguém está falando com uma pessoa real, é necessário solicitar uma videochamada ou fazer uma pesquisa reversa de imagens nas fotos dela. Se você quiser aprimorar suas habilidades de detecção, confira nossas três postagens sobre como detectar falsificações: desde fotos e gravações de áudio a vídeos deepfake em tempo real, como o tipo usado em bate-papos ao vivo por vídeo.

Phishing e golpes

Imagine o seguinte: você está se dando bem com uma nova conexão há algum tempo e, então, totalmente do nada, a pessoa manda um link suspeito e pede para você clicar nele. Talvez ela queira que você “a ajude a escolher os assentos” ou “compre ingressos para o cinema”. Mesmo que você tenha a sensação de que construiu um vínculo real, existe uma chance de que seu contato seja um golpista (ou apenas um bot) e de que esse link seja malicioso.

Dizer para si mesmo para “nunca clicar em um link malicioso” é um conselho bastante inútil, afinal, os links simplesmente chegam até nós sem nenhum tipo de aviso prévio. Em vez disso, tente fazer o seguinte: para garantir uma navegação segura, use uma solução de segurança robusta que bloqueia automaticamente as tentativas de phishing e impede o acesso a sites suspeitos.

É importante considerar que existe um esquema ainda mais sofisticado conhecido como “abate de porcos”. Nesses casos, o golpista pode conversar com a vítima por semanas ou até meses. Infelizmente, o final é bastante amargo: depois de engabelar a vítima com uma falsa sensação de segurança em um ambiente de brincadeiras amigáveis ou românticas, o golpista casualmente sugere que ela faça um “investimento em criptomoedas imperdível”, e depois desaparece juntamente com os fundos “investidos”.

Swatting e doxing

A Internet está cheia de histórias de horror sobre pessoas obsessivas, assédio e perseguição. É exatamente por isso que postar fotos que revelam onde você mora ou trabalha, ou ainda, fornecer detalhes para estranhos sobre seus pontos de encontro e locais favoritos, é uma roubada. Anteriormente, falamos sobre como evitar ser vítima de doxing, ou seja, a coleta e a divulgação pública das suas informações pessoais sem consentimento. O primeiro passo é bloquear as configurações de privacidade em todas as mídias sociais e aplicativos usando nossa ferramenta gratuita Privacy Checker.

Também recomendamos remover os metadados das suas fotos e vídeos antes da publicação ou envio. Muitos sites e aplicativos não fazem isso por você. Os metadados podem permitir que qualquer pessoa que baixe sua foto identifique as coordenadas exatas de onde ela foi tirada.

Por último, e não menos importante, não se esqueça da sua segurança física. Antes de sair para um encontro, uma precaução inteligente é compartilhar a geolocalização ao vivo e configurar uma palavra segura ou uma frase secreta com um amigo de confiança para mandar uma aviso se as coisas começarem a ficar estranhas.

Sextorsão e nudes

Não recomendamos enviar fotos íntimas para estranhos. Honestamente, não recomendamos essa prática nem mesmo com pessoas conhecidas, afinal de contas, nunca saberemos o que poderá dar errado ao longo do caminho. Mas, se uma conversa seguir para essa direção, sugira mudar para um aplicativo com criptografia de ponta a ponta que seja compatível com a autodestruição de mensagens, por exemplo, excluir após a visualização. Os bate-papos secretos do Telegram são ótimos para isso. Além disso, eles bloqueiam capturas de tela, assim como outros aplicativos de mensagens seguros. Se você vivenciar uma situação desconfortável, confira nossas postagens sobre o que fazer se você for vítima de sextorsão e como remover nudes vazados da Internet.

Mais sobre amor, segurança (e robôs):

• Nem flores nem presentes: como as mulheres são enganadas
• Golpes que visam pessoas apaixonadas ou solitárias
• A IA e a nova realidade da sextorsão
• Cinquenta tons de “sextorsão”
• Seu guia para namoro on-line seguro e privado

Milhões de sistemas de TI, sendo que alguns deles são industriais e outros de IoT, podem começar a se comportar de forma imprevisível em 19 de janeiro. As possíveis falhas incluem: falhas no processamento pagamentos com cartão; alarmes falsos de sistemas de segurança; operação incorreta de equipamentos médicos; falhas nos sistemas automatizados de iluminação, aquecimento e abastecimento de água; e muitos tipos de erros mais ou menos graves. O problema é que… isso acontecerá em 19 de janeiro de 2038. Não que isso seja motivo para relaxar, muito pelo contrário! O tempo restante para providenciar os preparativos talvez seja insuficiente. A causa dessa infinidade de problemas será um estouro nos números inteiros que armazenam data e hora. Embora a causa raiz do erro seja simples e clara, corrigi-lo exigirá esforços extensos e sistemáticos em todos os níveis : de governos e organismos internacionais a organizações e indivíduos.

O padrão informal da Época Unix

A Época Unix é o sistema de cronometragem adotado pelos sistemas operacionais Unix que se tornou popular em todo o setor de TI. Ele conta os segundos de 00:00:00 UTC em 1º de janeiro de 1970, considerado o ponto zero. Qualquer momento no tempo é representado como o número de segundos que se passaram desde aquela data. Para datas anteriores a 1970, são usados valores negativos. Essa abordagem foi escolhida pelos desenvolvedores do Unix por sua simplicidade, em vez de armazenar o ano, mês, dia e hora separadamente, apenas um único número é necessário. Isso facilita operações como classificar ou calcular o intervalo entre datas. Hoje, a Época Unix é usada muito além dos sistemas Unix: em bancos de dados, linguagens de programação, protocolos de rede e em smartphones executando iOS e Android.

A bomba-relógio Y2K38

Inicialmente, quando o Unix foi desenvolvido, foi tomada a decisão de armazenar o tempo como um inteiro com sinal de 32 bits. Isso permitia representar um intervalo de datas de aproximadamente 1901 a 2038. O problema é que, em 19 de janeiro de 2038, às 03:14:07 UTC, esse número atingirá seu valor máximo (2.147.483.647 segundos) e sofrerá um estouro, tornando-se negativo, fazendo com que os computadores se “teletransportem” de janeiro de 2038 para 13 de dezembro de 1901. Em alguns casos, no entanto, uma “viagem no tempo” mais curta pode acontecer, até o ponto zero, que é o ano de 1970.

Esse evento, conhecido como “problema do ano 2038”, “Epochalypse” ou “Y2K38”, poderá ocasionar falhas em sistemas que ainda usam a representação de tempo de 32 bits, como terminais POS, de sistemas integrados e roteadores, passando por automóveis, até equipamentos industriais. Os sistemas modernos resolvem esse problema usando 64 bits para armazenar o tempo. Isso estende o intervalo de datas para centenas de bilhões de anos no futuro. No entanto, milhões de dispositivos com datas de 32 bits ainda estão em operação e precisarão ser atualizados ou substituídos antes da chegada do “dia Y”.

Neste contexto, 32 e 64 bits se referem especificamente ao formato de armazenamento de data. Só porque um sistema operacional ou processador é de 32 bits ou 64 bits, isso não significa automaticamente que ele armazene a data em seu formato de bits “nativo”. Além disso, muitos aplicativos armazenam datas de maneiras completamente diferentes e podem ser imunes ao problema Y2K38, independentemente de sua quantidade de bits.

Nos casos em que não há necessidade de tratar datas anteriores a 1970, a data é armazenada como um número inteiro não assinado de 32 bits. Esse tipo de número pode representar datas de 1970 a 2106, portanto, o problema chegará em um futuro mais distante.

Diferenças do problema do ano 2000

O infame problema do ano 2000 (Y2K) do final do século 20 era semelhante. Naquelas circunstâncias, os sistemas que armazenavam o ano como dois dígitos poderiam confundir a nova data com o ano 1900. Tanto os especialistas quanto a mídia temiam um apocalipse digital, mas, no fim, houve apenas numerosas manifestações isoladas que não resultaram falhas catastróficas globais.

A principal diferença entre Y2K38 e Y2K é a escala da digitalização em nossas vidas. O número de sistemas que precisarão de atualização é muito maior do que o número de computadores no século 20, e a contagem de tarefas e processos diários gerenciados por computadores está além do cálculo. Enquanto isso, o problema Y2K38 já foi, ou será muito em breve, corrigido em computadores e sistemas operacionais comuns com atualizações de software simples. No entanto, os microcomputadores que gerenciam aparelhos de ar-condicionado, elevadores, bombas, fechaduras eletrônicas e linhas de montagem industriais podem muito bem continuar operando pela próxima década com versões de software desatualizadas e vulneráveis ao Y2K38.

Possíveis problemas do Epochalypse

A passagem da data para 1901 ou 1970 afetará sistemas diferentes, de maneiras diferentes. Em alguns casos, como em um sistema de iluminação programado para ligar todos os dias às 19h, a programação poderá passar completamente despercebida. Em outros sistemas que dependem de carimbos de data/hora completos e precisos, uma falha completa poderá ocorrer – por exemplo, no ano 2000, terminais de pagamento e catracas de transporte público pararam de funcionar. Casos cômicos também são possíveis, como a emissão de uma certidão de nascimento com uma data em 1901. Muito pior seria a falha de sistemas críticos, como o desligamento completo de um sistema de aquecimento ou a falha de um sistema de análise de medula óssea em um hospital.

A criptografia ocupa um lugar especial no Epochalypse. Outra diferença fundamental entre 2038 e 2000 é o uso generalizado de criptografia e assinaturas digitais para proteger todas as comunicações. Os certificados de segurança geralmente falham na verificação se a data do dispositivo estiver incorreta. Isso significa que um dispositivo vulnerável seria eliminado da maioria das comunicações, mesmo que seus aplicativos de negócios principais não tenham nenhum código que manipule incorretamente a data.

Infelizmente, o espectro completo de consequências só poderá ser determinado por meio de testes controlados de todos os sistemas, com a análise separada de uma potencial cascata de falhas.

A exploração maliciosa do Y2K38

As equipes de TI e InfoSec devem tratar o Y2K38 não como um simples bug de software, mas como uma vulnerabilidade que poderá ocasionar várias falhas, inclusive a negação de serviço. Em alguns casos, ela poderá até mesmo ser explorada por agentes maliciosos. Para fazer isso, eles precisarão ter a capacidade de manipular a hora no sistema de destino. Isso é possível em pelo menos dois cenários:

• Interferência nos dados do protocolo NTP ao fornecer ao sistema invadido um servidor de tempo falso
• Falsificação do sinal de GPS, caso o sistema dependa da hora via satélite

A exploração desse erro é mais provável em sistemas OT e IoT, onde as vulnerabilidades são tradicionalmente lentas para serem corrigidas e as consequências de uma falha podem ser muito mais substanciais.

Um exemplo de uma vulnerabilidade facilmente explorável relacionada à contagem de tempo é CVE-2025-55068 (CVSSv3 8.2, CVSSv4 base 8.8) nos consoles de medidor de tanque de combustível Dover ProGauge MagLink LX4. A manipulação do tempo pode causar uma negação de serviço no posto de gasolina e bloquear o acesso ao painel de gerenciamento da Web do dispositivo. Esse defeito ganhou seu próprio alerta da CISA.

O status atual da atenuação do Y2K38

Os parâmetros de resolução para o problema do Y2K38 foram estabelecidos com êxito nos principais sistemas operacionais. O kernel do Linux adicionou suporte para o tempo de 64 bits, mesmo em arquiteturas de 32 bits, a partir da versão 5.6, em 2020, e o Linux de 64 bits sempre foi protegido desse problema. A família BSD, macOS e iOS usam o tempo de 64 bits em todos os dispositivos modernos. Todas as versões do Windows lançadas no século 21 não são suscetíveis ao Y2K38.

A situação no armazenamento de dados e no nível do aplicativo é muito mais complexa. Sistemas de arquivos modernos, como ZFS, F2FS, NTFS e ReFS foram desenvolvidos com carimbos de data/hora de 64 bits, enquanto sistemas mais antigos como ext2 e ext3 permanecem vulneráveis. O Ext4 e o XFS exigem que sinalizadores específicos sejam ativados (inode estendido para ext4 e bigtime para XFS), além disso, eles podem necessitar da conversão off-line de sistemas de arquivos existentes. Nos protocolos NFSv2 e NFSv3, o formato de armazenamento de tempo desatualizado persiste. O cenário é igualmente fragmentado nos bancos de dados, o tipo TIMESTAMP do MySQL é intrinsecamente limitado ao ano de 2038 e exige migração para DATETIME, enquanto os tipos de carimbo de data/hora padrão do PostgreSQL são seguros. Para aplicativos escritos em C, os caminhos foram criados para usar o tempo de 64 bits em arquiteturas de 32 bits, mas todos os projetos precisam de recompilação. Linguagens como Java, Python e Go normalmente usam tipos que evitam o estouro, mas a segurança dos projetos compilados depende da possibilidade de interação com bibliotecas vulneráveis escritas em C.

Um grande número de sistemas de 32 bits, dispositivos integrados e aplicativos permanecem vulneráveis até que eles sejam reconstruídos e testados e, em seguida, tenham as atualizações instaladas por todos os usuários.

Várias organizações e entusiastas estão tentando sistematizar informações sobre isso, mas os esforços estão fragmentados. Consequentemente, não há um “banco de dados de vulnerabilidades Y2K38 comum” disponível (1, 2, 3, 4, 5).

Abordagens para correção do Y2K38

As metodologias criadas para priorizar e corrigir vulnerabilidades são diretamente aplicáveis ao problema do ano de 2038. O principal desafio consiste no fato de que nenhuma ferramenta contemporânea pode criar uma lista exaustiva de software e hardware vulneráveis. Portanto, é essencial atualizar o inventário de ativos de TI corporativos, garantir que ele seja enriquecido com informações detalhadas sobre firmware e software instalado e, em seguida, investigar sistematicamente a questão da vulnerabilidade.

A lista pode ser priorizada de acordo com a criticidade dos sistemas de negócios e com os dados na pilha de tecnologia na qual cada sistema está construído. As próximas etapas são: estudar o portal de suporte do fornecedor, fazer perguntas diretas aos fabricantes de hardware e software sobre seu status Y2K38 e, como último recurso, fazer a verificação por meio de testes.

Ao testar sistemas corporativos, é fundamental tomar precauções especiais:

• Nunca teste os sistemas que estão em produção.
• Crie um backup de dados imediatamente antes do teste.
• Isole o sistema em teste das comunicações, para que ele não interfira em outros sistemas da organização.
• Caso a alteração da data use NTP ou GPS, verifique e confirme se os sinais de teste do 2038 não podem alcançar outros sistemas.
• Após o teste, defina os horários de volta para a hora correta nos sistemas e documente minuciosamente todos os seus comportamentos observados.

Caso um sistema seja considerado vulnerável ao Y2K38, uma linha do tempo de correção deverá ser solicitada ao fornecedor. Caso uma correção seja impossível, planeje uma migração; felizmente, o tempo que nos resta ainda permite a atualização de sistemas bastante complexos e caros.

A coisa mais importante para enfrentar o Y2K38 é não pensar nele como um problema futuro distante cuja solução pode facilmente esperar mais cinco a oito anos. É altamente provável que já não tenhamos tempo suficiente para erradicar completamente o defeito. No entanto, dentro de uma organização com seu parque tecnológico, o planejamento cuidadoso e a abordagem sistemática para resolver o problema permitirão realmente fazer tudo isso em tempo hábil.

Graças à conveniência dos pagamentos por NFC e por smartphones, muitas pessoas não carregam mais carteiras e nem lembram os PINs dos cartões bancários. Todos os cartões delas estão cadastrados em um aplicativo de pagamento, e usá-lo é mais rápido do que ficar procurando um cartão físico. Os pagamentos móveis também são seguros. Esta tecnologia foi desenvolvida há relativamente pouco tempo e inclui várias proteções antifraude. Ainda assim, os criminosos inventaram várias maneiras de usar o NFC para fins ilícitos e roubar o seu dinheiro. Felizmente, proteger seus fundos é simples: conheça os seguintes truques e evite situações arriscadas envolvendo o uso de NFC.

O que é retransmissão NFC e NFCGate?

A retransmissão NFC é uma técnica em que dados transmitidos sem fio entre uma fonte (como um cartão bancário) e um receptor (como um terminal de pagamento) são interceptados por um dispositivo intermediário e retransmitidos em tempo real para outro. Imagine que você tenha dois smartphones conectados pela Internet, cada um com um aplicativo de retransmissão instalado. Se você encostar um cartão bancário físico no primeiro smartphone e segurar o segundo smartphone próximo a um terminal ou caixa eletrônico, o aplicativo de retransmissão no primeiro smartphone lerá o sinal do cartão por meio de NFC e o transmitirá em tempo real para o segundo smartphone, que então, transmitirá esse sinal ao terminal. Do ponto de vista do terminal, parece que houve a aproximação de um cartão real, mesmo que o cartão em si esteja fisicamente em outra cidade ou país.

Essa tecnologia não foi originalmente criada para fins criminosos. O aplicativo NFCGate surgiu em 2015 como uma ferramenta de pesquisa depois de ter sido desenvolvido por estudantes da Universidade Técnica de Darmstadt, na Alemanha. Ele foi projetado para analisar e depurar o tráfego de NFC, bem como para fins educacionais e para realizar experimentos com a tecnologia por aproximação. O NFCGate foi distribuído como uma solução de código aberto e usado em círculos acadêmicos e por entusiastas.

Cinco anos depois, os cibercriminosos perceberam o potencial da retransmissão NFC e modificaram o NFCGate adicionando mods que permitiam sua execução por um servidor malicioso, seu disfarce como software legítimo e a criação de cenários de engenharia social.

O que começou como um projeto de pesquisa se transformou na base de uma classe inteira de ataques destinados a drenar contas bancárias sem a necessidade de acesso físico a cartões bancários.

Um histórico de uso indevido

Os primeiros ataques documentados usando um NFCGate modificado ocorreram no final de 2023 na República Tcheca. No início de 2025, isso havia se tornado um problema perceptível e de grande escala: os analistas de segurança cibernética descobriram mais de 80 amostras exclusivas de malware embutidas na estrutura do NFCGate. Os ataques evoluíram rapidamente e os recursos de retransmissão NFC foram sendo integrados a outros componentes de malware.

Em fevereiro de 2025, surgiram pacotes de malware que combinavam CraxsRAT e NFCGate, o que permitiu que os invasores instalassem e configurassem o retransmissor com o mínimo de interação da vítima. Um novo golpe, a chamada versão “reversa” do NFCGate, surgiu na primavera de 2025, alterando o modo de execução do ataque.

O trojan RatOn, detectado pela primeira vez na República Tcheca, é digno de destaque. Ele combina o controle remoto do smartphone com recursos de retransmissão NFC, permitindo que os invasores explorem os aplicativos e cartões bancários das vítimas usando várias combinações de técnicas. Recursos como captura de tela, manipulação de dados da área de transferência e envio de SMS, além do roubo de informações de carteiras de criptomoedas e de aplicativos bancários, fornecem aos criminosos um arsenal extenso.

Os cibercriminosos também incorporaram a tecnologia de retransmissão NFC em ofertas de malware como serviço (MaaS) e as revenderam a outros agentes de ameaças por meio de uma assinatura. No início de 2025, analistas descobriram uma nova e sofisticada campanha de malware para Android na Itália, apelidada de SuperCard X. Tentativas de implementar o SuperCard X foram registradas na Rússia em maio de 2025 e no Brasil em agosto do mesmo ano.

O ataque direto ao NFCGate

O ataque direto é o golpe criminoso original para a exploração do NFCGate. Nesse cenário, o smartphone da vítima desempenha o papel de leitor, enquanto o telefone do invasor atua como o emulador de cartão.

Primeiro, os fraudadores induzem o usuário a instalar um aplicativo malicioso disfarçado de serviço bancário, uma atualização de sistema, um aplicativo para garantir a “segurança da conta” ou até mesmo um aplicativo popular, como o TikTok. Ao ser instalado, o aplicativo obtém acesso ao NFC e à Internet, geralmente sem solicitar permissões perigosas ou acesso root. Algumas versões também solicitam acesso aos recursos de acessibilidade do Android.

Em seguida, sob o pretexto de realizar uma verificação de identidade, a vítima é solicitada a aproximar o seu cartão bancário do telefone. Quando isso acontece, o malware lê as informações do cartão por meio do NFC e as envia de imediato para o servidor dos criminosos. A partir daí, as informações são retransmitidas para um segundo smartphone pertencente a uma “mula financeira”, que ajuda a roubar o dinheiro. Este telefone então emula o cartão da vítima para fazer pagamentos em um terminal ou sacar dinheiro de um caixa eletrônico.

O aplicativo falso no smartphone da vítima também solicita o PIN do cartão (assim como ocorre em um terminal de pagamento ou caixa eletrônico) e o envia aos invasores.

Nas primeiras versões do ataque, os criminosos simplesmente ficavam a postos em um caixa eletrônico com um telefone para usar o cartão de uma vítima em tempo real. Com o tempo, o malware foi refinado para que as informações roubadas pudessem ser usadas para fazer compras em estabelecimentos em um modo off-line atrasado, em vez de uma retransmissão instantânea.

É difícil para a vítima perceber o roubo: o cartão nunca saiu de perto dela e não foi necessário inserir manualmente ou informar seus dados em voz alta, além de que as notificações sobre os saques enviadas pelo banco podem atrasar ou até mesmo serem interceptadas pelo próprio aplicativo malicioso.

Entre os sinais de alerta que devem fazer você suspeitar de um ataque direto de NFC estão:

• pedidos para instalar aplicativos que não estejam em lojas oficiais;
• solicitações para aproximar seu cartão bancário do telefone.

O ataque NFCGate reverso

O ataque reverso é um golpe mais recente e mais sofisticado. Não é mais necessário que o smartphone da vítima leia seu cartão, pois ele emula o cartão do invasor. Para a vítima, tudo parece completamente seguro: não há necessidade de informar os dados do cartão em voz alta, compartilhar códigos ou aproximar um cartão do telefone.

Assim como no golpe direto, tudo começa com a engenharia social. O usuário recebe uma ligação ou uma mensagem convencendo-o a instalar um aplicativo para fins de “pagamentos por aproximação”, “segurança do cartão” ou até mesmo “usar moeda digital do banco central”. Após o aplicativo ter sido instalado, aparece uma mensagem solicitando que ele seja definido como o método de pagamento por aproximação padrão. Esta etapa é extremamente importante. Graças a isso, o malware não precisa de acesso root, apenas do consentimento do usuário.

O aplicativo malicioso se conecta silenciosamente ao servidor do invasor em segundo plano e os dados de NFC de um cartão que pertence a um dos criminosos são transmitidos ao dispositivo da vítima. A vítima nem percebe que isso ocorre, o que torna essa etapa completamente invisível.

Em seguida, ela é instruída a se dirigir a um caixa eletrônico. Sob o pretexto de “transferir dinheiro para uma conta segura” ou “enviar dinheiro para si mesma”, solicita-se que ela aproxime o telefone do leitor NFC do caixa eletrônico. Mas agora, o caixa eletrônico está, na verdade, interagindo com o cartão do invasor. Um PIN “novo” ou “temporário” é informado à vítima com antecedência.

E o resultado é que todo o dinheiro depositado ou transferido por ela acaba na conta dos criminosos.

As características desse ataque são:

• solicitações para alterar seu método de pagamento por NFC padrão;
• um PIN “novo”;
• qualquer situação em que você seja instruído a ir até um caixa eletrônico e executar ações seguindo as instruções de outra pessoa.

Como se proteger de ataques de retransmissão NFC

Os ataques de retransmissão NFC dependem mais da confiança do usuário do que de vulnerabilidades técnicas. Para se defender contra eles, basta tomar algumas precauções simples.

• Mantenha o seu método de pagamento por aproximação confiável (como Google Pay ou Samsung Pay) como o padrão.
• Nunca aproxime o seu cartão bancário do telefone a pedido de outra pessoa ou por instrução de um aplicativo. Aplicativos legítimos podem usar sua câmera para verificar o número de um cartão, mas eles nunca solicitarão que você use o leitor NFC para o seu próprio cartão.
• Nunca siga instruções de estranhos em um caixa eletrônico, não importa quem eles afirmem ser.
• Evite instalar aplicativos de fontes não oficiais. Isso inclui links enviados por aplicativos de mensagens, mídias sociais, SMS ou links recomendados durante uma chamada telefônica, ainda que a pessoa alegue ser do suporte ao cliente ou da polícia.
• Use segurança abrangente nos seus smartphones Android para bloquear chamadas fraudulentas, impedir visitas a sites de phishing e interromper a instalação de malware.
• Confie apenas nas lojas de aplicativos oficiais. Ao baixar um aplicativo de uma loja, verifique as avaliações, o número de downloads, a data de publicação e a classificação.
• Ao usar um caixa eletrônico, use o seu cartão físico em vez do smartphone para fazer a transação.
• Crie o hábito de verificar com frequência a configuração de “Pagamento padrão” no menu NFC do seu telefone. Se algum aplicativo suspeito estiver listado, remova-o imediatamente e faça uma verificação de segurança completa no seu dispositivo.
• Revise a lista de aplicativos com permissões de acessibilidade (é comum que esse recurso seja explorado por malware). Revogue essas permissões para qualquer aplicativo suspeito ou desinstale os aplicativos.
• Salve os números oficiais de atendimento ao cliente dos bancos de que você é cliente nos contatos do telefone. Ao menor indício de golpe, ligue diretamente para um desses números sem demora.
• Se você suspeitar que os dados do seu cartão tenham sido comprometidos, bloqueie-o imediatamente.

Em 2025, pesquisadores de segurança cibernética descobriram vários bancos de dados abertos pertencentes a diversas ferramentas de geração de imagens de IA. Esse fato por si só faz você se perguntar o quanto as startups de IA se preocupam com a privacidade e a segurança dos dados de seus usuários. Mas a natureza do conteúdo nesses bancos de dados é muito mais alarmante.

Um grande número de imagens geradas nesses bancos de dados eram imagens de mulheres em lingerie ou totalmente nuas. Algumas foram claramente criadas a partir de fotos de crianças ou destinadas a fazer mulheres adultas parecerem mais jovens (e despidas). Por fim, a parte mais perturbadora: algumas imagens pornográficas foram geradas a partir de fotos completamente inocentes de pessoas reais, provavelmente tiradas de mídias sociais.

Neste post, vamos explicar o que é sextorsão e por que, graças às ferramentas de IA, qualquer pessoa pode se tornar uma vítima. Detalhamos o conteúdo desses bancos de dados abertos e fornecemos conselhos sobre como evitar ser vítima de sextorsão na era da IA.

O que é sextorsão?

A extorsão sexual on-line se tornou tão comum que ganhou seu próprio nome global: sextorsão (uma junção de sexo e extorsão). Já detalhamos seus vários tipos em nosso post, Cinquenta tons de sextorsão. Para recapitular, essa forma de chantagem envolve a ameaça de publicar imagens ou vídeos íntimos para coagir a vítima a realizar determinadas ações ou extorquir dinheiro dela.

Antes, as vítimas de sextorsão eram tipicamente trabalhadores da indústria adulta ou indivíduos que compartilhavam conteúdo íntimo com pessoas não confiáveis.

No entanto, o rápido avanço da inteligência artificial, em especial da tecnologia de conversão de texto em imagem, revolucionou essa prática. Agora, literalmente, qualquer pessoa que publicou suas fotos mais inocentes pode se tornar vítima de sextorsão. Isso ocorre porque a IA generativa torna possível despir pessoas de forma rápida, fácil e convincente em qualquer imagem digital ou adicionar um corpo nu gerado à cabeça de alguém em questão de segundos.

É claro que esse tipo de falsificação era possível antes da IA, mas exigia longas horas de trabalho meticuloso no Photoshop. Agora, basta descrever o resultado desejado em palavras.

Para piorar a situação, muitos serviços generativos de IA não se preocupam muito em proteger o conteúdo criado por intermédio deles. Como mencionado, no ano passado os pesquisadores descobriram pelo menos três bancos de dados acessíveis ao público pertencentes a esses serviços. Isso significa que os nudes gerados dentro deles estavam disponíveis não apenas para o usuário que os criou, mas para qualquer pessoa na Internet.

Como o vazamento do banco de dados de imagens de IA foi descoberto

Em outubro de 2025, o pesquisador de segurança cibernética Jeremiah Fowler descobriu um banco de dados aberto contendo mais de um milhão de imagens e vídeos gerados por IA. Segundo o pesquisador, a esmagadora maioria desse conteúdo era de natureza pornográfica. O banco de dados não estava criptografado nem protegido por senha, o que significa que qualquer usuário da Internet poderia acessá-lo.

O nome do banco de dados e as marcas d’água em algumas imagens levaram Fowler a acreditar que sua fonte era a empresa americana SocialBook, que oferece serviços para influenciadores e de marketing digital. O site da empresa também fornece acesso a ferramentas para gerar imagens e conteúdo usando IA.

No entanto, uma análise mais aprofundada revelou que o próprio SocialBook não estava gerando diretamente esse conteúdo. Os links dentro da interface do serviço levavam a produtos de terceiros: os serviços de IA MagicEdit e DreamPal, que eram as ferramentas usadas para criar as imagens. Essas ferramentas permitiam que os usuários gerassem imagens a partir de descrições de texto, editassem fotos carregadas e executassem várias manipulações visuais, incluindo criação de conteúdo explícito e troca de rosto.

O vazamento estava vinculado a essas ferramentas específicas, e o banco de dados continha o produto de seu trabalho, incluindo imagens geradas e editadas por IA. Uma parte das imagens levou o pesquisador a suspeitar que elas foram enviadas para a IA como referências para a criação de imagens provocativas.

Fowler afirma que cerca de 10 mil fotos eram adicionadas ao banco de dados todos os dias. O SocialBook nega qualquer conexão com o banco de dados. Depois que o pesquisador informou a empresa sobre o vazamento, várias páginas no site do SocialBook que antes mencionavam MagicEdit e DreamPal ficaram inacessíveis e começaram a retornar erros.

Quais serviços foram a fonte do vazamento?

Ambos os serviços, MagicEdit e DreamPal, foram inicialmente comercializados como ferramentas para experimentação visual interativa e orientada pelo usuário com imagens e personagens de arte. Infelizmente, uma parte significativa desses recursos estava diretamente ligada à criação de conteúdo sexualizado.

Por exemplo, o MagicEdit oferecia uma ferramenta para trocas de roupas virtuais com tecnologia de IA, bem como um conjunto de estilos que tornavam as imagens de mulheres mais reveladoras após o processamento, como substituir roupas cotidianas por roupas de banho ou lingerie. Seus materiais promocionais prometiam transformar um visual comum em sexy em segundos.

O DreamPal, por sua vez, foi inicialmente posicionado como um bate-papo de role-playing baseado em IA e foi ainda mais explícito sobre seu posicionamento orientado para adultos. O site se oferecia para criar uma namorada de IA ideal, com determinadas páginas mencionando diretamente o conteúdo erótico. As FAQ também mencionavam que os filtros para conteúdo explícito em bate-papos haviam sido desativados para não limitar as fantasias mais íntimas dos usuários.

Ambos os serviços suspenderam as operações. No momento da redação deste artigo, o site DreamPal retornou um erro, enquanto o MagicEdit parecia disponível novamente. Seus aplicativos foram removidos da App Store e do Google Play.

Jeremiah Fowler diz que, no início de 2025, ele descobriu mais dois bancos de dados abertos contendo imagens geradas por IA. Um deles pertencia ao site sul-coreano GenNomis e continha 95 mil entradas, uma parte substancial das quais eram imagens de pessoas “despidas”. Entre outras coisas, o banco de dados incluía imagens com versões infantis de celebridades: as cantoras americanas Ariana Grande e Beyoncé, bem como a estrela de reality shows Kim Kardashian.

Como evitar tornar-se uma vítima

À luz de incidentes como esses, fica claro que os riscos associados à sextorsão não se limitam mais a mensagens privadas ou à troca de conteúdo íntimo. Na era da IA generativa, até mesmo fotos comuns, quando postadas publicamente, podem ser usadas na criação de conteúdo comprometedor.

Esse problema é especialmente relevante para as mulheres, mas os homens também não devem ficar muito à vontade: o famoso esquema de chantagem de “invadi seu computador e usei a webcam para fazer vídeos de você navegando em sites adultos” pode atingir um nível totalmente novo de persuasão, graças à geração de fotos e vídeos pelas ferramentas de IA.

Portanto, proteger sua privacidade nas mídias sociais e controlar quais dados sobre você estão disponíveis publicamente tornam-se medidas essenciais para proteger sua reputação e tranquilidade. Para evitar que suas fotos sejam usadas para criar conteúdo questionável gerado por IA, recomendamos tornar todos os seus perfis de mídia social o mais privados possível, afinal, eles podem ser a fonte de imagens dos nudes gerados por IA.

Já publicamos vários guias detalhados sobre como reduzir sua pegada digital on-line ou até mesmo remover seus dados da Internet; como impedir que data brokers compilem dossiês sobre você e proteger-se de abusos envolvendo imagens íntimas.

Além disso, temos um serviço dedicado, Privacy Checker: perfeito para quem deseja uma abordagem rápida, mas sistemática, das configurações de privacidade em todos os lugares possíveis. Ele compila guias passo a passo para proteger contas em mídias sociais e serviços on-line em todas as principais plataformas.

E para garantir a segurança e a privacidade dos dados da sua criança, o Safe Kids pode ajudar: ele permite que os pais monitorem em quais mídias sociais as crianças passam o tempo. A partir daí, você pode ajudá-las a ajustar as configurações de privacidade das contas para que as fotos postadas não sejam usadas para criar conteúdo impróprio. Explorem juntos nosso guia para a segurança on-line de crianças e, se sua criança sonha em se tornar um blogueiro popular, Explorem juntos nosso guia para a segurança on-line de crianças e, se sua criança sonha em se tornar um blogueiro popular, converse com ela sobre o nosso guia passo a passo de segurança cibernética para aspirantes a blogueiros.

A falsificação de marcas, sites e e-mails corporativos está se tornando uma técnica cada vez mais comum usada por cibercriminosos. A Organização Mundial da Propriedade Intelectual (OMPI) relatou um aumento nesses incidentes em 2025. Embora as empresas de tecnologia e as marcas de consumo sejam os alvos mais frequentes, todos os setores, em todos os países, correm risco. A única coisa que muda é como os impostores exploram as falsificações. Na prática, é comum ver os seguintes cenários de ataques:

• Atrair os clientes para um site falso para coletar credenciais de login da loja on-line real ou para roubar informações de pagamento para roubo direto.
• Atrair funcionários e parceiros de negócios para um portal de login corporativo falso para adquirir credenciais legítimas a fim de se infiltrar na rede corporativa.
• Solicitar que clientes entrem em contato com os golpistas sob vários pretextos: obter suporte técnico, processar um reembolso, concorrer a um prêmio ou reivindicar compensação por eventos públicos envolvendo a marca. O objetivo é enganar as vítimas e roubar o máximo de dinheiro possível.
• Atrair parceiros de negócios e funcionários para páginas cuidadosamente criadas para imitar os sistemas internos da empresa, para que eles aprovem um pagamento ou redirecionem um pagamento legítimo para os golpistas.
• Solicitar que clientes, parceiros de negócios e funcionários baixem malware (na maioria das vezes um infostealer) disfarçado de software corporativo de um site falso da empresa.

Aqui, as palavras “atrair” e “persuadir” englobam um conjunto completo de táticas: e-mail, mensagens em aplicativos de bate-papo, postagens de mídia social que parecem anúncios oficiais, sites semelhantes promovidos por ferramentas de SEO e até anúncios pagos.

Todos esses artifícios compartilham duas características em comum. Primeiro, os invasores analisam a marca da organização e se esforçam para imitar o site oficial, nome de domínio e estilo corporativo de e-mails, anúncios e postagens de mídia social. E a falsificação não precisa ser perfeita, mas apenas convincente o suficiente para pelo menos alguns parceiros de negócios e clientes. Em segundo lugar, embora a organização e seus recursos on-line não sejam alvos diretos, o impacto sobre eles ainda é significativo.

Danos comerciais causados pela falsificação da identidade de marcas

Quando as falsificações são criadas para atingir funcionários, um ataque pode causar perdas financeiras diretas. É possível persuadir um funcionário para transferir fundos da empresa ou usar suas credenciais para roubar informações confidenciais ou iniciar um ataque de ransomware.

Os ataques a clientes normalmente não causam danos diretos aos cofres da empresa, mas geram danos indiretos substanciais nas seguintes áreas:

• Sobrecarga da equipe de suporte ao cliente. Os clientes que “compraram” um produto em um site falso provavelmente entrarão em contato com a equipe real de suporte ao cliente para resolver o problema. Convencer os clientes de que a compra, na verdade, nunca foi feita é difícil, o que torna cada caso uma grande perda de tempo para vários agentes de suporte.
• Danos à reputação. Os clientes vítimas de fraude geralmente culpam a marca por não protegê-los contra o golpe, além de exigir compensação. De acordo com uma pesquisa europeia, cerca de metade dos compradores afetados exigem uma compensação e podem optar por parar de usar os serviços da empresa, muitas vezes compartilhando sua experiência negativa nas mídias sociais. Isso é especialmente prejudicial se as vítimas forem figuras públicas ou tiverem muitos seguidores nas redes sociais.
• Custos de resposta não planejados. Dependendo das especificidades e da escala de um ataque, uma empresa afetada pode precisar de serviços de perícia digital e resposta a incidentes (DFIR), bem como consultores especializados em direito do consumidor, propriedade intelectual, segurança cibernética e relações públicas de crise.
• Prêmios de seguro mais altos. As seguradoras contratadas pelas empresas para protegê-las contra incidentes cibernéticos levam em consideração as consequências geradas pela falsificação da identidade da marca. Um perfil de risco aumentado pode acarretar um prêmio mais alto para uma empresa.
• Desempenho do site prejudicado e aumento dos custos com anúncios. Se os criminosos exibem anúncios pagos usando o nome de uma marca, eles desviam o tráfego do site oficial. Além disso, se uma empresa paga para anunciar seu site, o custo por clique sobe devido ao aumento da concorrência. Esse é um problema particularmente grave para empresas de TI que vendem serviços on-line, mas também é relevante para marcas de varejo.
• Declínio de indicadores de longo prazo. Isso inclui queda no volume de vendas, na participação e na capitalização de mercado. Tudo isso é consequência da perda de confiança dos clientes e parceiros de negócios após incidentes importantes.

O seguro cobre os danos?

Normalmente, as apólices de seguro populares contra riscos cibernéticos cobrem apenas custos diretamente vinculados a incidentes especificados na política, como perda de dados, interrupção dos negócios, comprometimento do sistema de TI, entre outros. Domínios e páginas da Web falsos não causam danos diretos aos sistemas de TI de uma empresa. Portanto, eles geralmente não são cobertos por um seguro padrão. Os danos à reputação e o próprio ato de falsificação de identidade representam riscos distintos, exigindo cobertura expandida do seguro específica para este cenário.

Das perdas indiretas listadas acima, um seguro padrão pode cobrir as despesas do DFIR e, em alguns casos, custos extras de suporte ao cliente (se a situação for reconhecida como um evento segurado). É quase certo que reembolsos voluntários a clientes, vendas perdidas e danos à reputação não estão cobertos.

O que fazer se sua empresa for atacada por clones

Se você descobrir que alguém está usando o nome da sua marca com o objetivo de cometer fraude, faz sentido fazer o seguinte:

• Envie notificações claras e diretas aos clientes explicando o que aconteceu, quais medidas estão sendo tomadas e como eles podem verificar a autenticidade de sites oficiais, e-mails e outras comunicações.
• Crie uma página simples de um “centro de confiança”, contendo domínios oficiais, contas de mídia social, links da loja de aplicativos e contatos de suporte. Garanta acesso fácil à página e a mantenha atualizada.
• Monitore novos registros de páginas de mídia social e domínios que contenham os nomes da sua marca a fim de detectar os clones antes que um ataque seja iniciado.
• Siga um procedimento de remoção. Isso envolve coletar provas, fazer reclamações aos registradores de domínio, provedores de hospedagem e administradores de mídia social e, em seguida, rastrear as falsificações até que todas elas sejam removidas. Para gerar um registro completo e preciso das violações, reúna URLs, capturas de tela, metadados e informações sobre a data e hora da descoberta. O ideal é também examinar o código-fonte das páginas falsas, pois ele pode conter pistas que apontem para outros componentes da operação criminosa.
• Adicione um formulário simples ao seu site oficial e/ou aplicativo para que os clientes possam denunciar sites ou mensagens suspeitos. Isso ajuda você a identificar os problemas mais cedo.
• Coordene as atividades entre as equipes jurídica, de segurança cibernética e de marketing. Isso garante uma resposta consistente, unificada e eficaz.

Como se defender contra ataques de falsificação de identidade de marcas

Embora a natureza aberta da Internet e as especificidades desses ataques façam com que seja impossível se prevenir totalmente contra eles, uma empresa pode se manter informada sobre novas falsificações e dispor de ferramentas para reagir a ataques.

• Faça o monitoramento contínuo de atividades públicas suspeitas usando serviços de monitoramento especializados. O indicador mais óbvio é o registro de domínios semelhantes ao nome da sua marca. Mas existem outros, como a compra de bancos de dados relacionados à sua organização na dark Web. O melhor a ser feito é terceirizar o monitoramento abrangente de todas as plataformas para um provedor de serviços especializado, como o Kaspersky Digital Footprint Intelligence (DFI).
• A maneira mais rápida e simples de remover um site ou um perfil de mídia social falsos é registrar uma reclamação de violação de marca registrada. Certifique-se de que seu portfólio de marcas registradas seja robusto o suficiente para registrar reclamações de acordo com os procedimentos da UDRP antes de precisar utilizá-los.
• Ao descobrir falsificações, implemente os procedimentos da UDRP imediatamente para que os domínios falsos sejam transferidos ou removidos. No caso de mídias sociais, siga o procedimento de violação específico da plataforma, facilmente encontrado ao pesquisar por “[social media name] violação de marca registrada” (por exemplo, “Violação de marca registrada do LinkedIn“). É preferível transferir o domínio para o proprietário legítimo em vez de excluí-lo, pois isso evita que os golpistas o registrem novamente. Muitos serviços de monitoramento contínuo, como o Kaspersky Digital Footprint Intelligence, também oferecem um serviço de remoção rápida, registrando reclamações em nome da marca protegida.
• Aja rapidamente para bloquear domínios falsos nos seus sistemas corporativos. Isso não protegerá parceiros ou clientes, mas dificultará os ataques direcionados aos seus próprios funcionários.
• Registre o nome do site da sua empresa e suas variações comuns (por exemplo, com e sem hifens) em todos os principais domínios conhecidos, como .com e extensões locais. Isso ajuda a proteger parceiros e clientes contra erros de digitação comuns e sites imitadores simples.

O ano de 2025 transformou significativamente nosso acesso à internet e como navegamos nela. Novas leis radicais, a ascensão de assistentes de IA e sites tentando bloquear bots de IA vêm remodelando a Internet diante de nossos olhos. Então, o que você precisa saber sobre essas transformações e quais conhecimentos e hábitos deve carregar consigo em 2026? Como é nossa tradição, abordaremos isso com oito resoluções de Ano Novo. O que prometemos para 2026?…

Conheça suas leis locais

No ano passado, houve um volume excepcional de leis, alterando seriamente as regras da Internet para usuários comuns. Os legisladores no mundo todo ficaram ocupados:

• Proibindo mídias sociais para adolescentes
• Introduzindo procedimentos rigorosos de verificação de idade, como a verificação de documentos de identidade para acesso a determinados sites
• Exigindo o consentimento explícito dos pais para que menores possam acessar muitos serviços on-line
• Exercendo pressão por meio de bloqueios e ações judiciais quando elas não cumprem as leis de proteção infantil existentes. A Roblox, por exemplo, tem atraído muitos olhares neste quesito.

O melhor que você pode fazer é buscar notícias em sites imparciais e sem sensacionalismo, além de analisar os comentários de juristas. Você precisa entender quais as suas obrigações e, caso tenha filhos menores de idade, o que muda para eles.

É possível que você tenha conversas difíceis com seus filhos sobre as novas regras de uso de mídias sociais ou jogos. É fundamental evitar que a revolta dos adolescentes leve a erros perigosos, como instalar malwares disfarçados de “mods que ignoram restrições” ou migrar para redes sociais pequenas e sem moderação. Proteger a geração mais jovem exige que os computadores e smartphones deles possuam proteções confiáveis, além de ferramentas de controle para pais.

Mas não se trata só de cumprir as leis. Temos quase toda certeza que você vai se deparar com efeitos colaterais negativos que os legisladores não previram.

Domine novos métodos de proteção do acesso

Alguns sites optam pelo bloqueio geográfico de certos países para evitar as complexidades de cumprir as legislações regionais. Caso tenha certeza de que as leis locais permitem o acesso ao conteúdo, você pode ignorar esses bloqueios geográficos usando uma VPN. Selecione um servidor em um país em que seja possível acessar o site.

É importante escolher um serviço que não apenas ofereça servidores nos locais certos, mas que também reforce a privacidade, afinal o uso de muitas VPNs gratuitas pode comprometê-la de forma significativa. Recomendamos o Kaspersky VPN Secure Connection.

Proteja-se contra vazamentos de documentos

Ainda que existam diferentes maneiras de implementar a verificação de idade, isso costuma envolver sites que usam serviços de verificação de terceiros. Em sua primeira tentativa de login, você será redirecionado para um site próprio para concluir uma das diversas verificações: tirar uma foto de sua identidade ou carteira de motorista, usar um cartão do banco ou acenar e sorrir para um vídeo, entre outras possibilidades.

Por princípio, a simples ideia de apresentar um passaporte para acessar sites adultos é bastante impopular. Mas, além disso, há um risco sério de vazamento de dados. Esses incidentes já são uma realidade: as violações de dados afetaram uma empresa contratada para verificar usuários do Discord, bem como provedores de serviços para o TikTok e Uber. Conforme o número de sites que exigem essa verificação aumenta, o risco de vazamento também aumenta.

O que você pode fazer?

• Priorize serviços que não solicitam uploads de documentos. Em vez disso, tente utilizar aqueles que utilizam métodos alternativos de verificação de idade, por exemplo, uma cobrança de microtransação, confirmação por meio do banco ou outro provedor externo confiável, ou análise comportamental/biométrica.
• Escolha seu documento menos sensível e mais fácil de substituir, e utilize-o em todas as verificações. Neste caso, “menos sensível” significa conter dados pessoais mínimos, sem outros identificadores principais, como o número de identificação nacional.
• Use um endereço de e-mail e um número de telefone exclusivos junto com esse documento. Para sites e serviços que não verificam sua identidade, use informações de contato completamente diferentes. Isso dificulta muito a reunião dos seus dados a partir de vazamentos diferentes.

Conheça o novo manual dos golpistas

É bastante provável que golpistas utilizem o pretexto de “verificação de idade” para começar a enviar phishing com intuito de obter dados pessoais e de pagamento, além de empurrar malware para os visitantes. Afinal, é muito tentador só copiar e colar algum texto no computador, em vez de enviar uma foto do passaporte. Atualmente, ataques ClickFix geralmente se disfarçam de verificação CAPTCHA, mas é sensato que a verificação de idade seja a próxima etapa desses esquemas. Como reduzir esses riscos?

• Verifique atentamente todos os sites que pedem verificação. Não conclua a verificação se você já fez isso para esse serviço ou se chegou à página de verificação por meio de um link de aplicativo de mensagens, buscador ou anúncio.
• Nunca baixe aplicativos ou copie e cole texto para a verificação. Todos os serviços legítimos são executados dentro da janela do navegador, no entanto, o serviço pode solicitar que usuários de desktop utilizem um smartphone para concluir a verificação.
• Analise e suspeite de qualquer situação que solicite a inserção de um código recebido por meio de um aplicativo de mensagens ou SMS para acessar um site ou confirmar uma ação. Isso costuma ser uma maneira de sequestrar sua conta de aplicativo de mensagens ou outro serviço essencial.
• Instale um software de segurança confiável em todos os seus computadores e smartphones para ajudar a bloquear o acesso a sites fraudulentos. Recomendamos o Kaspersky Premium, que fornece: uma VPN segura, proteção contra malwares, alertas no caso de seus dados pessoais aparecerem em vazamentos públicos, gerenciador de senhas, controle para pais, e muito mais.

Cultive hábitos saudáveis no uso de IA

Mesmo que você não seja fã da IA, será difícil evitá-la, pois ela está sendo incorporada a praticamente todos os serviços do dia a dia: Android, Chrome, MS Office, Windows, iOS, Creative Cloud… a lista é infinita. Da mesma maneira que lidamos com fast food, televisão, TikTok e outras conveniências de fácil acesso, o segredo é encontrar um equilíbrio entre o uso saudável dos assistentes de IA e o desenvolvimento de um vício.

Identifique as áreas onde sua acuidade mental e seu crescimento pessoal são mais importantes. Uma pessoa que não corre regularmente tem uma redução em seu condicionamento físico. Da mesma forma, alguém que sempre usa a navegação com GPS fica pior na leitura de mapas em papel. Onde quer que você valorize o trabalho de sua mente, transferi-lo para a IA pode fazer você perder uma vantagem. Mantenha um equilíbrio: faça você mesmo esse trabalho mental diário, ainda que a IA seja capaz de fazê-lo bem, desde traduzir textos até procurar informações na Wikipedia. Você não precisa fazer isso o tempo todo, mas não se esqueça de fazê-lo ocasionalmente. Se desejar uma abordagem mais radical, você também pode desativar os serviços de IA quando possível.

Saiba onde o custo de um erro é alto. Mesmo com os melhores esforços dos desenvolvedores, a IA pode fornecer respostas totalmente equivocadas e com plena confiança. É improvável que nos próximos anos essas alucinações, como são chamadas, sejam erradicadas totalmente. Portanto, evite usar a IA no caso de documentos importantes e decisões críticas, ou analise seus resultados com muito cuidado. Verifique cada número, cada vírgula.

Sinta-se à vontade para experimentar a IA em outras áreas. Mas não se esqueça que erros e alucinações são uma possibilidade real mesmo quando a utilizamos em situações aparentemente inofensivas.

Como reduzir o risco de vazamentos. Quanto mais você usa a IA, mais o provedor de serviços possui informações suas. Sempre que possível, priorize os recursos de IA que são executados apenas em seu dispositivo. Essa categoria inclui a proteção contra sites fraudulentos no Chrome, a tradução de texto no Firefox, o assistente de reescrita no iOS, entre outros. Você pode executar um chatbot localmente em seu próprio computador.

Assistentes de IA precisam de supervisão rigorosa. Sistemas de IA com capacidades agênticas, que executam tarefas em seu nome, apresentam riscos significativamente maiores. Pesquise minuciosamente os riscos nessa área antes de confiar em um agente para fazer compras on-line ou de tirar férias. E use modos em que o assistente solicita sua confirmação antes de inserir dados pessoais, ou comprar qualquer coisa.

Verifique suas assinaturas e planos

A economia da Internet está mudando bem diante de nossos olhos. A corrida da IA eleva o custo de componentes e de computação, enquanto tarifas e conflitos geopolíticos afetam as cadeias de suprimentos, o que pode encarecer produtos com recursos de IA. Quase qualquer serviço on-line pode ficar mais caro da noite para o dia, podendo chegar a porcentagens de dois dígitos. Alguns provedores estão seguindo um caminho diferente e deixando de usar uma taxa fixa mensal para usar taxa por uso em situações como músicas baixadas ou imagens geradas.

Para evitar surpresas desagradáveis ao verificar seu extrato bancário, crie o hábito de revisar os termos de todas as suas assinaturas pelo menos três ou quatro vezes por ano. Você pode descobrir que um serviço atualizou seus planos e que você precisa trocar para um mais simples. Ou um serviço pode ter inscrito você silenciosamente em um recurso adicional e seja necessário desativá-lo. Pode ser melhor cancelar alguns serviços ou utilizá-los no modo gratuito. A educação financeira está se tornando uma habilidade essencial para gerenciar seus gastos digitais.

Para obter uma visão completa de suas assinaturas e entender de verdade seus gastos mensais ou anuais em serviços digitais, a melhor opção é manter um registro em um só lugar. Uma planilha do Excel ou do Google Docs já faz isso, mas é mais prático usar um aplicativo dedicado como o SubsCrab. Ele envia lembretes de pagamentos futuros, mostra todos os seus gastos mês a mês e ainda pode ajudar você a encontrar ofertas melhores para um mesmo serviço ou em serviços semelhantes.

Priorize a longevidade de sua tecnologia

O encanto de novos e poderosos processadores, câmeras e recursos de IA pode seduzi-lo a comprar um novo smartphone ou laptop em 2026, mas você deve se planejar para priorizar um dispositivo que dure vários anos. Existem alguns motivos…

Primeiro, o ritmo no surgimento de novos recursos significativos diminuiu e o desejo de atualizá-los com frequência diminuiu para muitos. Em segundo lugar, os preços dos gadgets aumentaram significativamente devido ao encarecimento de chips, mão de obra e fretes, tornando grandes compras mais difíceis de se justificar. Além disso, regulamentações como as da UE passaram a exigir que as baterias de novos dispositivos sejam facilmente substituíveis, o que significa que a peça que mais rápido se desgasta em um telefone terá uma substituição mais fácil e barata.

Então, o que é necessário para garantir que seu smartphone ou laptop possa durar vários anos?

• Proteção física. Use capas, protetores de tela e até mesmo uma bolsa à prova d’água.
• Armazenamento adequado. Evite temperaturas extremas, não deixe seu dispositivo embaixo do sol ou congelando durante a noite em um carro a -15 °C.
• Cuidados com a bateria. Evite deixar que a carga fique abaixo de 10%.
• Atualizações frequentes de software. Esta é a parte mais complicada. As atualizações são essenciais para a proteção de seu telefone ou laptop contra novos tipos de ataques. No entanto, as atualizações podem causar lentidão, superaquecimento ou alto consumo da bateria. A abordagem mais prudente é esperar aproximadamente uma semana após uma atualização importante do sistema operacional, verificar o feedback dos usuários que possuem o mesmo modelo e só instalar a atualização se o benefício for óbvio.

Proteja sua casa inteligente

A casa inteligente está dando lugar a um novo conceito: a casa inteligente com IA. A ideia é que as redes neurais ajudem sua casa a tomar as próprias decisões sobre o que fazer e quando, tudo pela sua conveniência, deixando de precisar de rotinas pré-programadas. Graças ao padrão Matter 1.3, uma casa inteligente não fica mais limitada ao gerenciamento de luzes, TVs e fechaduras, como passa a gerenciar eletrodomésticos, secadoras e até carregadores de veículos elétricos! Além disso, estamos observando um aumento nos dispositivos com protocolo de comunicação principal nativo Matter over Thread, como na nova linha IKEA KAJPLATS. Dispositivos de diferentes fornecedores que utilizam o Matter podem ver e se comunicar uns com os outros. Isso significa que você pode comprar um Apple HomePod para ser seu hub central doméstico inteligente e conectá-lo a lâmpadas Philips Hue, tomadas Eve Energy e interruptores IKEA BILRESA.

Tudo isso indica que casas inteligentes com IA se tornarão cada vez mais comuns, assim como os métodos para atacá-las. Temos um artigo detalhado sobre segurança de casas inteligentes, mas aqui estão algumas dicas importantes e válidas à luz da transição para o Matter.

• Unifique seus dispositivos em uma única malha Matter. Use o mínimo de controladores, por exemplo, uma Apple TV e um smartphone. Se houver um controlador acessível a muitos membros da família, como uma TV ou outro dispositivo, certifique-se de usar a senha de segurança e outras restrições disponíveis para funções críticas.
• Escolha um hub e um controlador dos principais fabricantes e que possuam um compromisso sério com a segurança.
• Minimize o número de dispositivos que conectam sua malha Matter à Internet. Esses dispositivos, chamadas de roteadores de fronteira, devem ser bem protegidos contra ataques cibernéticos externos, por exemplo, seu acesso deve ficar restrito ao nível de seu roteador de Internet doméstico.
• Verifique com regularidade sua rede doméstica em busca de dispositivos suspeitos e desconhecidos. Você pode usar seu controlador ou hub para fazê-lo em sua malha Matter, e em sua rede doméstica, com seu roteador principal ou um recurso como o Smart Home Monitor do Kaspersky Premium.

Invasores frequentemente exploram contas de teste desatualizadas e sem uso ou acabam encontrando armazenamentos em nuvem acessíveis publicamente que contêm dados críticos, já um pouco “empoeirados”. Em alguns casos, um ataque explora uma vulnerabilidade em um componente de aplicativo que, na verdade, havia recebido um patch, digamos, há dois anos. Ao ler relatórios de violações de segurança, um padrão comum se repete: os ataques se apoiam em algo desatualizado: um serviço, um servidor, uma conta de usuário… Elementos da infraestrutura corporativa de TI que, por vezes, saem do radar das equipes de TI e de segurança. Na prática, tornam-se ativos não gerenciados, inúteis ou simplesmente esquecidos. Esses “zumbis da TI” geram riscos à segurança da informação, à conformidade regulatória e resultam em custos operacionais desnecessários. Em geral, trata-se de um elemento da TI invisível com uma diferença fundamental: ninguém quer, conhece ou se beneficia desses ativos.

Neste artigo, buscamos identificar quais ativos exigem atenção imediata, como reconhecê-los e como deve ser estruturada a resposta.

Servidores físicos e virtuais

Prioridade: alta. Servidores vulneráveis funcionam como pontos de entrada para ataques cibernéticos e continuam consumindo recursos, ao mesmo tempo que geram riscos de conformidade regulatória.

Prevalência: alta. Servidores físicos e virtuais costumam ficar órfãos em grandes infraestruturas após projetos de migração ou depois de processos de fusões e aquisições. Servidores de teste que deixam de ser usados após a entrada em produção de projetos de TI, assim como servidores Web de projetos obsoletos operando sem domínio associado, também são frequentemente esquecidos. A dimensão do problema é ilustrada por estatísticas da autoridade certificadora Let’s Encrypt: em 2024, metade das solicitações de renovação de domínio partiu de dispositivos que já não estavam associados ao domínio solicitado. Estima-se que existam cerca de um milhão de dispositivos como esses no mundo.

Detecção: o departamento de TI precisa implementar um processo automatizado de Descoberta e Reconciliação (Automated Discovery and Reconciliation – AD&R), que combine resultados de varreduras de rede e inventários em nuvem com dados da Base de Dados de Gerenciamento de Configuração (Configuration Management Database – CMDB). Esse processo permite a identificação oportuna de informações desatualizadas ou conflitantes sobre ativos de TI e ajuda a localizar os próprios ativos esquecidos.

Esses dados devem ser complementados por verificações de vulnerabilidades externas que abranjam todos os endereços IP públicos da organização.

Resposta: estabelecer um processo formal e documentado para a retirada de operação ou descontinuação de servidores. Esse processo deve incluir a verificação da migração completa dos dados e a posterior destruição comprovada das informações armazenadas no servidor. Após essas etapas, o servidor pode ser desligado, reciclado ou reaproveitado. Até que todos os procedimentos sejam concluídos, o servidor deve ser movido para uma sub-rede isolada e em quarentena.

Para mitigar esse problema em ambientes de teste, implemente um processo automatizado para sua criação e retirada de operação. Um ambiente de teste deve ser criado no início de um projeto e desmontado após um período predefinido ou depois de um certo tempo de inatividade. Reforce a segurança dos ambientes de teste, garantindo seu isolamento rigoroso em relação ao ambiente principal (de produção) e proibindo o uso de dados reais de negócios não anonimizado nos testes.

Contas de usuários, serviços e dispositivos esquecidos

Prioridade: crítica. Contas inativas e com privilégios elevados são alvos preferenciais de invasores que buscam estabelecer persistência na rede ou ampliar seu acesso dentro da infraestrutura.

Prevalência: muito alta. Contas técnicas de serviços, contas de prestadores de serviço e contas não personalizadas estão entre as mais frequentemente esquecidas.

Detecção: realizar análises regulares do diretório de usuários (Active Directory, na maioria das organizações) para identificar todos os tipos de contas que não apresentaram atividade por um período definido (um mês, um trimestre ou um ano). Paralelamente, recomenda-se revisar as permissões atribuídas a cada conta e remover aquelas excessivas ou desnecessárias.

Resposta: após validação com o responsável pelo serviço na área de negócio ou com o gestor do colaborador, contas desatualizadas devem ser simplesmente desativadas ou excluídas. Um sistema abrangente de Identity and Access Management (IAM) oferece uma solução escalável para esse desafio. Nesse modelo, a criação, exclusão e atribuição de permissões às contas são fortemente integradas aos processos de RH.

No caso de contas de serviço, também é essencial revisar regularmente tanto a robustez das senhas quanto as datas de expiração dos tokens de acesso, realizando a rotação quando necessário.

Repositórios de dados esquecidos

Prioridade: crítica. Dados mal controlados em bancos de dados acessíveis externamente, armazenamentos em nuvem e lixeiras, bem como em serviços corporativos de compartilhamento de arquivos, inclusive os considerados “seguros”, foram uma das principais fontes de grandes vazamentos em 2024–2025. Os dados expostos nesses incidentes frequentemente incluem digitalizações de documentos, prontuários médicos e informações pessoais. Como consequência, esses incidentes de segurança também resultam em penalidades por não conformidade com regulamentações como a HIPAA, o GDPR e outros marcos de proteção de dados que regem o tratamento de informações pessoais e confidenciais.

Prevalência: alta. Dados de arquivo, cópias de dados mantidas por prestadores de serviço e versões legadas de bancos de dados de migrações de sistemas anteriores costumam permanecer fora de controle e acessíveis por anos, ou até décadas, em muitas organizações.

Detecção: dada a enorme variedade de tipos de dados e métodos de armazenamento, é essencial utilizar uma combinação de ferramentas para a descoberta:

• Subsistemas nativos de auditoria das principais plataformas de fornecedores, como AWS Macie e Microsoft Purview
• Soluções especializadas de Data Discovery e de Gerenciamento da Postura de Segurança de Dados
• Análise automatizada de logs de inventário, como o S3 Inventory

Infelizmente, essas ferramentas têm utilidade limitada quando um prestador de serviços cria um repositório de dados dentro de sua própria infraestrutura. O controle dessa situação exige cláusulas contratuais que concedam à equipe de segurança da organização acesso aos armazenamentos relevantes do fornecedor, complementadas por serviços de inteligência de ameaças capazes de detectar conjuntos de dados expostos publicamente ou roubados associados à marca da empresa.

Resposta: analisar os logs de acesso e integrar os armazenamentos identificados às ferramentas de DLP e CASB para monitorar seu uso, ou confirmar que estão de fato abandonados. Utilizar os recursos disponíveis para isolar com segurança o acesso a esses repositórios. Se necessário, criar um backup seguro e, em seguida, excluir os dados. No nível das políticas organizacionais, é fundamental estabelecer prazos de retenção para diferentes tipos de dados, determinando seu arquivamento automático e exclusão ao término do período definido. As políticas também devem definir procedimentos para o registro de novos sistemas de armazenamento e proibir explicitamente a existência de dados sem responsável que estejam acessíveis sem restrições, senhas ou criptografia.

Aplicativos e serviços não utilizados em servidores

Prioridade: média. Vulnerabilidades nesses serviços aumentam o risco de ataques cibernéticos bem-sucedidos, dificultam os esforços de aplicação de patches e desperdiçam recursos.

Prevalência: muito alta. Os serviços geralmente são ativados por padrão durante a instalação de servidores, permanecem após os testes e as etapas de configuração, continuam em execução muito tempo depois que o processo de negócios que eles apoiavam ter se tornado obsoleto.

Detecção: por meio de auditorias regulares das configurações de software. Para que a auditoria seja eficaz, os servidores devem seguir um modelo baseado em funções, no qual cada função de servidor tenha uma lista correspondente de softwares. Além da CMDB, um amplo conjunto de ferramentas auxilia nesse processo, como ferramentas focadas em conformidade de políticas e endurecimento de sistemas, a exemplo do OpenSCAP e do Lynis; ferramentas multifuncionais como o OSQuery; scanners de vulnerabilidades como o OpenVAS; e analisadores de tráfego de rede.

Resposta: realizar revisões periódicas das funções dos servidores em conjunto com seus responsáveis de negócio. Quaisquer aplicações ou serviços desnecessários identificados em execução devem ser desativados. Para minimizar esse tipo de ocorrência, implemente o princípio do menor privilégio em toda a organização e utilize imagens base endurecidas ou templates de servidores para construções padrão. Isso garante que nenhum software supérfluo seja instalado ou habilitado por padrão.

APIs desatualizadas

Prioridade: alta. APIs são frequentemente exploradas por invasores para exfiltrar grandes volumes de dados sensíveis e para obter acesso inicial à organização. Em 2024, o número de ataques relacionados a APIs aumentou 41%, com invasores mirando especificamente APIs desatualizadas, já que elas costumam disponibilizar dados com menos verificações e restrições. Um exemplo disso foi o vazamento de 200 milhões de registros do X/Twitter.

Prevalência: alta. Quando um serviço migra para uma nova versão de API, a versão antiga frequentemente permanece operacional por um longo período, sobretudo se ainda for utilizada por clientes ou parceiros. Essas versões obsoletas geralmente deixam de ser mantidas, o que faz com que falhas de segurança e vulnerabilidades em seus componentes não recebam patches.

Detecção: no nível de WAF ou NGFW, é essencial monitorar o tráfego direcionado a APIs específicas. Isso ajuda a detectar anomalias que podem indicar exploração ou exfiltração de dados e também identificar APIs que obtêm tráfego mínimo.

Resposta: para APIs identificadas com baixo nível de atividade, colaborar com as partes interessadas do negócio para desenvolver um plano de retirada de operação e migrar os usuários remanescentes para versões mais recentes.

Em organizações com um grande portfólio de serviços, esse desafio é melhor enfrentado com o uso de uma plataforma de gerenciamento de APIs, aliada a uma política formalmente aprovada de ciclo de vida de APIs. Essa política deve incluir critérios bem definidos para a descontinuação e aposentadoria de interfaces de software desatualizadas.

Software com dependências e bibliotecas desatualizadas

Prioridade: alta. É nesse ponto que se escondem vulnerabilidades críticas de grande escala, como a Log4Shell, capazes de comprometer toda a organização e gerar problemas de conformidade regulatória.

Prevalência: muito alta, especialmente em sistemas corporativos de gestão em larga escala, sistemas de automação industrial e softwares desenvolvidos sob medida.

Detecção: utilizar uma combinação de sistemas de gerenciamento de vulnerabilidades (VM/CTEM) e ferramentas de análise de composição de software (SCA). No desenvolvimento interno, é obrigatório empregar scanners e sistemas de segurança abrangentes integrados ao pipeline de CI/CD, a fim de evitar que o software seja construído com componentes desatualizados.

Resposta: as políticas da empresa devem exigir que as equipes de TI e de desenvolvimento atualizem sistematicamente as dependências de software. No desenvolvimento de soluções internas, a análise de dependências deve fazer parte do processo de revisão de código. No caso de softwares de terceiros, é fundamental auditar regularmente o estado e a antiguidade das dependências.

Para fornecedores externos de software, a atualização de dependências deve ser um requisito contratual, com impacto direto nos prazos de suporte e nos orçamentos dos projetos. Para viabilizar essas exigências, é essencial manter uma lista de materiais de software (SBOM) sempre atualizada.

Você pode ler mais sobre práticas de remediação de vulnerabilidades eficazes e oportunas em um post separado no blog.

Sites esquecidos

Prioridade: média. Ativos Web esquecidos podem ser explorados por invasores para campanhas de phishing, hospedagem de malware ou aplicação de golpes usando a marca da organização, causando danos reputacionais. Em casos mais graves, podem resultar em vazamentos de dados ou servir como ponto de partida para ataques direcionados à própria empresa. Um subconjunto específico desse problema envolve domínios esquecidos que foram usados para atividades pontuais, expiraram e não foram renovados, tornando-se disponíveis para compra por terceiros.

Prevalência: alta, especialmente no caso de sites lançados para campanhas de curta duração ou atividades internas pontuais.

Detecção: o departamento de TI deve manter um registro centralizado de todos os sites públicos e domínios, validando o status de cada um junto aos respectivos responsáveis em base mensal ou trimestral. Além disso, scanners ou ferramentas de monitoramento de DNS podem ser utilizados para rastrear domínios associados à infraestrutura de TI da empresa. Uma camada adicional de proteção é oferecida por serviços de inteligência de ameaças, capazes de identificar de forma independente quaisquer sites associados à marca da organização.

Resposta: estabelecer uma política de desligamento programado de sites após um período fixo ao término de seu uso ativo. Implementar um sistema automatizado de registro e renovação de DNS para evitar a perda de controle sobre os domínios da empresa.

Dispositivos de rede não utilizados

Prioridade: alta. Roteadores, firewalls, câmeras de vigilância e dispositivos de armazenamento em rede que permanecem conectados, mas sem gerenciamento e sem patches aplicados, constituem uma plataforma ideal para o lançamento de ataques. Esses dispositivos esquecidos frequentemente abrigam vulnerabilidades e quase nunca contam com monitoramento adequado (não há integração com EDR ou SIEM), ao mesmo tempo em que ocupam uma posição privilegiada na rede, oferecendo aos invasores um caminho facilitado para escalar ataques contra servidores e estações de trabalho.

Prevalência: média. Dispositivos costumam ser deixados para trás durante mudanças de escritório, atualizações da infraestrutura de rede ou a criação de espaços de trabalho temporários.

Detecção: utilizar as mesmas ferramentas de inventário de rede mencionadas na seção sobre servidores esquecidos, além de auditorias físicas regulares para comparar os resultados das verificações de rede com os equipamentos efetivamente conectados. A verificação ativa da rede pode revelar segmentos inteiros não mapeados e conexões externas inesperadas.

Resposta: dispositivos sem responsável definido geralmente podem ser desconectados da rede de forma imediata. No entanto, é preciso cautela: a higienização desses equipamentos exige o mesmo nível de cuidado aplicado à desativação de servidores, a fim de evitar vazamentos de configurações de rede, senhas, gravações de vídeo corporativas e informações semelhantes.

Infostealers, malwares que roubam senhas, cookies, documentos e/ou outros dados valiosos de computadores, tornaram-se a ameaça cibernética de crescimento mais rápido em 2025. Trata-se de um problema grave para todos os sistemas operacionais e todas as regiões. Para espalhar a infecção, os criminosos usam todo tipo de artifício como isca. Como era de se esperar, as ferramentas de IA se tornaram um dos mecanismos de atração favoritos deles neste ano. Em uma nova campanha descoberta por especialistas da Kaspersky, os invasores direcionam suas vítimas a um site que supostamente contém guias do usuário para a instalação do novo navegador Atlas da OpenAI para macOS. O que torna o ataque tão convincente é que o link da isca leva ao site oficial do ChatGPT! Mas como?

O link da isca nos resultados da pesquisa

Para atrair vítimas, os agentes maliciosos colocam anúncios de pesquisa pagos no Google. Se você tentar pesquisar “atlas chatgpt”, o primeiro link patrocinado pode ser um site cujo endereço completo não é visível no anúncio, mas está claramente localizado no domínio chatgpt.com.

O título da página na lista de anúncios também é o que você esperaria: “ChatGPT™ Atlas para macOS – Baixar ChatGPT Atlas para Mac”. E um usuário que deseja baixar o novo navegador pode muito bem clicar nesse link.

Um link patrocinado nos resultados de pesquisa do Google leva a um guia de instalação de malware disfarçado de ChatGPT Atlas para macOS e hospedado no site oficial do ChatGPT. Como é possível que isso aconteça?

A armadilha

Clicar no anúncio realmente abre o chatgpt.com, e a vítima vê um breve guia de instalação do “navegador Atlas”. O usuário cuidadoso perceberá na hora que se trata apenas de uma conversa de um visitante anônimo com o ChatGPT, que o autor tornou pública usando o recurso Compartilhar. Os links para chats compartilhados começam com chatgpt.com/share/. Na verdade, está claramente indicado logo acima do chat: “Esta é uma cópia de uma conversa entre o ChatGPT e um anônimo”.

No entanto, um visitante menos cuidadoso ou apenas menos experiente em IA pode negligenciar esses detalhes do guia, especialmente porque ele está bem formatado e publicado em um site de aparência confiável.

Variantes dessa técnica já foram vistas antes. Os invasores abusaram de outros serviços que permitem o compartilhamento de conteúdo em seus próprios domínios: documentos maliciosos no Dropbox, phishing no Google Docs, malware em comentários não publicados no GitHub e no GitLab, armadilhas de criptografia no Google Forms e muito mais. E agora você também pode compartilhar um bate-papo com um assistente de IA, e o link para ele levará ao site oficial do chatbot.

Notavelmente, os agentes maliciosos usaram a engenharia de prompt para fazer com que o ChatGPT produzisse o guia exato de que precisavam e, depois, foram capazes de limpar a caixa de diálogo anterior para evitar levantar suspeitas.

O guia de instalação do suposto Atlas para macOS é apenas um bate-papo compartilhado entre um usuário anônimo e o ChatGPT, no qual os invasores, por meio da criação de prompts, forçam o chatbot a produzir o resultado desejado e, em seguida, limpam a caixa de diálogo

A infecção

Para instalar o “navegador Atlas”, os usuários são instruídos a copiar uma única linha de código do bate-papo, abrir o Terminal em seus Macs, colar, executar o comando e conceder todas as permissões necessárias.

O comando especificado basicamente baixa um script malicioso de um servidor suspeito, atlas-extension{.}com, e o executa imediatamente no computador. Estamos diante de uma variação do ataque ClickFix. Normalmente, os golpistas sugerem “receitas” como essas para validar o CAPTCHA, mas aqui temos as etapas para instalar um navegador. O truque principal, no entanto, é o mesmo: o usuário é solicitado a executar manualmente um comando shell que baixa e executa o código de uma fonte externa. Muitos já sabem que não devem executar arquivos baixados de fontes duvidosas, mas a forma como esse golpe se desenrola nada se parece com a execução de um arquivo.

Quando executado, o script solicita ao usuário a senha do sistema e verifica se a combinação de “nome de usuário atual + senha” é válida para executar comandos do sistema. Se os dados inseridos estiverem incorretos, a solicitação será repetida indefinidamente. Se o usuário inserir a senha correta, o script baixará o malware e usará as credenciais fornecidas para instalá-lo e iniciá-lo.

O infostealer e o backdoor

Se o usuário cair no estratagema, um infostealer comum conhecido como AMOS (Atomic macOS Stealer) será iniciado no computador. O AMOS é capaz de coletar uma ampla variedade de dados potencialmente valiosos: senhas, cookies e outras informações do Chrome, do Firefox e de outros perfis de navegador; dados de carteiras de criptomoedas como Electrum, Coinomi e Exodus; e informações de aplicativos como o Telegram Desktop e o OpenVPN Connect. Além disso, o AMOS rouba arquivos com extensões TXT, PDF e DOCX das pastas Área de Trabalho, Documentos e Downloads, bem como arquivos da pasta de armazenamento de mídia do aplicativo Notes. O infostealer empacota todos esses dados e os envia ao servidor dos invasores.

A cereja no bolo é que o ladrão instala um backdoor e o configura para ser iniciado automaticamente após a reinicialização do sistema. O backdoor essencialmente replica a funcionalidade do AMOS, ao mesmo tempo em que fornece aos invasores a capacidade de controlar remotamente o computador da vítima.

Como se proteger do AMOS e de outros malwares em bate-papos de IA

Essa onda de novas ferramentas de IA permite que os invasores reciclem truques antigos e tenham como alvo usuários curiosos sobre a nova tecnologia, mas que ainda não têm uma vasta experiência na interação com grandes modelos de linguagem.

Já escrevemos sobre uma barra lateral de chatbot falsa para navegadores e clientes DeepSeek e Grok falsos. Agora, o foco mudou para explorar o interesse no OpenAI Atlas, e esse certamente não será o último ataque desse tipo.

O que você deve fazer para proteger seus dados, seu computador e seu dinheiro?

• Usar proteção antimalware confiável em todos os seus smartphones, tablets e computadores, incluindo aqueles que executam macOS.
• Se algum site, mensagem instantânea, documento ou bate-papo solicitar que você execute algum comando, como pressionar Win+R ou Command+Space e, em seguida, iniciar o PowerShell ou o Terminal, não execute. É muito provável que você esteja enfrentando um ataque ClickFix. Os invasores normalmente tentam atrair usuários pedindo a eles que corrijam um “problema” em seu computador, neutralizem um “vírus”, “provem que não são um robô” ou “atualizem seu navegador ou sistema operacional agora”. No entanto, uma opção mais neutra como “instalar esta nova ferramenta de tendências” também é possível.

• Nunca siga guias que você não pediu e não entende completamente.

• O mais fácil é fechar imediatamente o site ou excluir a mensagem com estas instruções. Mas se a tarefa parecer importante e você não conseguir entender as instruções que acabou de receber, consulte alguém experiente. Uma segunda opção é simplesmente colar os comandos sugeridos em um bate-papo com um bot de IA e pedir que ele explique o que o código faz e se é perigoso. O ChatGPT normalmente lida com essa tarefa muito bem.

Se você perguntar ao ChatGPT se deve seguir as instruções recebidas, ele responderá que não é seguro

De que outra forma os agentes maliciosos usam a IA para enganar?

• Falsificação da barra lateral de IA: um novo ataque a navegadores com IA
• Ataques usando o Syncro e sites gerados por IA
• Como phishers e golpistas usam IA
• Trojans disfarçados de clientes DeepSeek e Grok
• Como fraudadores burlam a verificação de identidade com deepfakes

O ano de 2025 transformou significativamente nosso acesso à internet e como navegamos nela. Novas leis radicais, a ascensão de assistentes de IA e sites tentando bloquear bots de IA vêm remodelando a Internet diante de nossos olhos. Então, o que você precisa saber sobre essas transformações e quais conhecimentos e hábitos deve carregar consigo em 2026? Como é nossa tradição, abordaremos isso com oito resoluções de Ano Novo. O que prometemos para 2026?…

Conheça suas leis locais

No ano passado, houve um volume excepcional de leis, alterando seriamente as regras da Internet para usuários comuns. Os legisladores no mundo todo ficaram ocupados:

• Proibindo mídias sociais para adolescentes
• Introduzindo procedimentos rigorosos de verificação de idade, como a verificação de documentos de identidade para acesso a determinados sites
• Exigindo o consentimento explícito dos pais para que menores possam acessar muitos serviços on-line
• Exercendo pressão por meio de bloqueios e ações judiciais quando elas não cumprem as leis de proteção infantil existentes. A Roblox, por exemplo, tem atraído muitos olhares neste quesito.

O melhor que você pode fazer é buscar notícias em sites imparciais e sem sensacionalismo, além de analisar os comentários de juristas. Você precisa entender quais as suas obrigações e, caso tenha filhos menores de idade, o que muda para eles.

É possível que você tenha conversas difíceis com seus filhos sobre as novas regras de uso de mídias sociais ou jogos. É fundamental evitar que a revolta dos adolescentes leve a erros perigosos, como instalar malwares disfarçados de “mods que ignoram restrições” ou migrar para redes sociais pequenas e sem moderação. Proteger a geração mais jovem exige que os computadores e smartphones deles possuam proteções confiáveis, além de ferramentas de controle para pais.

Mas não se trata só de cumprir as leis. Temos quase toda certeza que você vai se deparar com efeitos colaterais negativos que os legisladores não previram.

Domine novos métodos de proteção do acesso

Alguns sites optam pelo bloqueio geográfico de certos países para evitar as complexidades de cumprir as legislações regionais. Caso tenha certeza de que as leis locais permitem o acesso ao conteúdo, você pode ignorar esses bloqueios geográficos usando uma VPN. Selecione um servidor em um país em que seja possível acessar o site.

É importante escolher um serviço que não apenas ofereça servidores nos locais certos, mas que também reforce a privacidade, afinal o uso de muitas VPNs gratuitas pode comprometê-la de forma significativa. Recomendamos o Kaspersky VPN Secure Connection.

Proteja-se contra vazamentos de documentos

Ainda que existam diferentes maneiras de implementar a verificação de idade, isso costuma envolver sites que usam serviços de verificação de terceiros. Em sua primeira tentativa de login, você será redirecionado para um site próprio para concluir uma das diversas verificações: tirar uma foto de sua identidade ou carteira de motorista, usar um cartão do banco ou acenar e sorrir para um vídeo, entre outras possibilidades.

Por princípio, a simples ideia de apresentar um passaporte para acessar sites adultos é bastante impopular. Mas, além disso, há um risco sério de vazamento de dados. Esses incidentes já são uma realidade: as violações de dados afetaram uma empresa contratada para verificar usuários do Discord, bem como provedores de serviços para o TikTok e Uber. Conforme o número de sites que exigem essa verificação aumenta, o risco de vazamento também aumenta.

O que você pode fazer?

• Priorize serviços que não solicitam uploads de documentos. Em vez disso, tente utilizar aqueles que utilizam métodos alternativos de verificação de idade, por exemplo, uma cobrança de microtransação, confirmação por meio do banco ou outro provedor externo confiável, ou análise comportamental/biométrica.
• Escolha seu documento menos sensível e mais fácil de substituir, e utilize-o em todas as verificações. Neste caso, “menos sensível” significa conter dados pessoais mínimos, sem outros identificadores principais, como o número de identificação nacional.
• Use um endereço de e-mail e um número de telefone exclusivos junto com esse documento. Para sites e serviços que não verificam sua identidade, use informações de contato completamente diferentes. Isso dificulta muito a reunião dos seus dados a partir de vazamentos diferentes.

Conheça o novo manual dos golpistas

É bastante provável que golpistas utilizem o pretexto de “verificação de idade” para começar a enviar phishing com intuito de obter dados pessoais e de pagamento, além de empurrar malware para os visitantes. Afinal, é muito tentador só copiar e colar algum texto no computador, em vez de enviar uma foto do passaporte. Atualmente, ataques ClickFix geralmente se disfarçam de verificação CAPTCHA, mas é sensato que a verificação de idade seja a próxima etapa desses esquemas. Como reduzir esses riscos?

• Verifique atentamente todos os sites que pedem verificação. Não conclua a verificação se você já fez isso para esse serviço ou se chegou à página de verificação por meio de um link de aplicativo de mensagens, buscador ou anúncio.
• Nunca baixe aplicativos ou copie e cole texto para a verificação. Todos os serviços legítimos são executados dentro da janela do navegador, no entanto, o serviço pode solicitar que usuários de desktop utilizem um smartphone para concluir a verificação.
• Analise e suspeite de qualquer situação que solicite a inserção de um código recebido por meio de um aplicativo de mensagens ou SMS para acessar um site ou confirmar uma ação. Isso costuma ser uma maneira de sequestrar sua conta de aplicativo de mensagens ou outro serviço essencial.
• Instale umsoftware de segurança confiável em todos os seus computadores e smartphones para ajudar a bloquear o acesso a sites fraudulentos. Recomendamos o Kaspersky Premium, que fornece: uma VPN segura, proteção contra malwares, alertas no caso de seus dados pessoais aparecerem em vazamentos públicos, gerenciador de senhas, controle para pais, e muito mais.

Cultive hábitos saudáveis no uso de IA

Mesmo que você não seja fã da IA, será difícil evitá-la, pois ela está sendo incorporada a praticamente todos os serviços do dia a dia: Android, Chrome, MS Office, Windows, iOS, Creative Cloud… a lista é infinita. Da mesma maneira que lidamos com fast food, televisão, TikTok e outras conveniências de fácil acesso, o segredo é encontrar um equilíbrio entre o uso saudável dos assistentes de IA e o desenvolvimento de um vício.

Identifique as áreas onde sua acuidade mental e seu crescimento pessoal são mais importantes. Uma pessoa que não corre regularmente tem uma redução em seu condicionamento físico. Da mesma forma, alguém que sempre usa a navegação com GPS fica pior na leitura de mapas em papel. Onde quer que você valorize o trabalho de sua mente, transferi-lo para a IA pode fazer você perder uma vantagem. Mantenha um equilíbrio: faça você mesmo esse trabalho mental diário, ainda que a IA seja capaz de fazê-lo bem, desde traduzir textos até procurar informações na Wikipedia. Você não precisa fazer isso o tempo todo, mas não se esqueça de fazê-lo ocasionalmente. Se desejar uma abordagem mais radical, você também pode desativar os serviços de IA quando possível.

Saiba onde o custo de um erro é alto. Mesmo com os melhores esforços dos desenvolvedores, a IA pode fornecer respostas totalmente equivocadas e com plena confiança. É improvável que nos próximos anos essas alucinações, como são chamadas, sejam erradicadas totalmente. Portanto, evite usar a IA no caso de documentos importantes e decisões críticas, ou analise seus resultados com muito cuidado. Verifique cada número, cada vírgula.

Sinta-se à vontade para experimentar a IA em outras áreas. Mas não se esqueça que erros e alucinações são uma possibilidade real mesmo quando a utilizamos em situações aparentemente inofensivas.

Como reduzir o risco de vazamentos. Quanto mais você usa a IA, mais o provedor de serviços possui informações suas. Sempre que possível, priorize os recursos de IA que são executados apenas em seu dispositivo. Essa categoria inclui a proteção contra sites fraudulentos no Chrome, a tradução de texto no Firefox, o assistente de reescrita no iOS, entre outros. Você pode executar um chatbot localmente em seu próprio computador.

Assistentes de IA precisam de supervisão rigorosa. Sistemas de IA com capacidades agênticas, que executam tarefas em seu nome, apresentam riscos significativamente maiores. Pesquise minuciosamente os riscos nessa área antes de confiar em um agente para fazer compras on-line ou de tirar férias. E use modos em que o assistente solicita sua confirmação antes de inserir dados pessoais, ou comprar qualquer coisa.

Verifique suas assinaturas e planos

A economia da Internet está mudando bem diante de nossos olhos. A corrida da IA eleva o custo de componentes e de computação, enquanto tarifas e conflitos geopolíticos afetam as cadeias de suprimentos, o que pode encarecer produtos com recursos de IA. Quase qualquer serviço on-line pode ficar mais caro da noite para o dia, podendo chegar a porcentagens de dois dígitos. Alguns provedores estão seguindo um caminho diferente e deixando de usar uma taxa fixa mensal para usar taxa por uso em situações como músicas baixadas ou imagens geradas.

Para evitar surpresas desagradáveis ao verificar seu extrato bancário, crie o hábito de revisar os termos de todas as suas assinaturas pelo menos três ou quatro vezes por ano. Você pode descobrir que um serviço atualizou seus planos e que você precisa trocar para um mais simples. Ou um serviço pode ter inscrito você silenciosamente em um recurso adicional e seja necessário desativá-lo. Pode ser melhor cancelar alguns serviços ou utilizá-los no modo gratuito. A educação financeira está se tornando uma habilidade essencial para gerenciar seus gastos digitais.

Para obter uma visão completa de suas assinaturas e entender de verdade seus gastos mensais ou anuais em serviços digitais, a melhor opção é manter um registro em um só lugar. Uma planilha do Excel ou do Google Docs já faz isso, mas é mais prático usar um aplicativo dedicado como o SubsCrab. Ele envia lembretes de pagamentos futuros, mostra todos os seus gastos mês a mês e ainda pode ajudar você a encontrar ofertas melhores para um mesmo serviço ou em serviços semelhantes.

Priorize a longevidade de sua tecnologia

O encanto de novos e poderosos processadores, câmeras e recursos de IA pode seduzi-lo a comprar um novo smartphone ou laptop em 2026, mas você deve se planejar para priorizar um dispositivo que dure vários anos. Existem alguns motivos…

Primeiro, o ritmo no surgimento de novos recursos significativos diminuiu e o desejo de atualizá-los com frequência diminuiu para muitos. Em segundo lugar, os preços dos gadgets aumentaram significativamente devido ao encarecimento de chips, mão de obra e fretes, tornando grandes compras mais difíceis de se justificar. Além disso, regulamentações como as da UE passaram a exigir que as baterias de novos dispositivos sejam facilmente substituíveis, o que significa que a peça que mais rápido se desgasta em um telefone terá uma substituição mais fácil e barata.

Então, o que é necessário para garantir que seu smartphone ou laptop possa durar vários anos?

• Proteção física. Use capas, protetores de tela e até mesmo uma bolsa à prova d’água.
• Armazenamento adequado. Evite temperaturas extremas, não deixe seu dispositivo embaixo do sol ou congelando durante a noite em um carro a -15 °C.
• Cuidados com a bateria. Evite deixar que a carga fique abaixo de 10%.
• Atualizações frequentes de software. Esta é a parte mais complicada. As atualizações são essenciais para a proteção de seu telefone ou laptop contra novos tipos de ataques. No entanto, as atualizações podem causar lentidão, superaquecimento ou alto consumo da bateria. A abordagem mais prudente é esperar aproximadamente uma semana após uma atualização importante do sistema operacional, verificar o feedback dos usuários que possuem o mesmo modelo e só instalar a atualização se o benefício for óbvio.

Proteja sua casa inteligente

A casa inteligente está dando lugar a um novo conceito: a casa inteligente com IA. A ideia é que as redes neurais ajudem sua casa a tomar as próprias decisões sobre o que fazer e quando, tudo pela sua conveniência, deixando de precisar de rotinas pré-programadas. Graças ao padrão Matter 1.3, uma casa inteligente não fica mais limitada ao gerenciamento de luzes, TVs e fechaduras, como passa a gerenciar eletrodomésticos, secadoras e até carregadores de veículos elétricos! Além disso, estamos observando um aumento nos dispositivos com protocolo de comunicação principal nativo Matter over Thread, como na nova linha IKEA KAJPLATS. Dispositivos de diferentes fornecedores que utilizam o Matter podem ver e se comunicar uns com os outros. Isso significa que você pode comprar um Apple HomePod para ser seu hub central doméstico inteligente e conectá-lo a lâmpadas Philips Hue, tomadas Eve Energy e interruptores IKEA BILRESA.

Tudo isso indica que casas inteligentes com IA se tornarão cada vez mais comuns, assim como os métodos para atacá-las. Temos um artigo detalhado sobre segurança de casas inteligentes, mas aqui estão algumas dicas importantes e válidas à luz da transição para o Matter.

• Unifique seus dispositivos em uma única malha Matter. Use o mínimo de controladores, por exemplo, uma Apple TV e um smartphone. Se houver um controlador acessível a muitos membros da família, como uma TV ou outro dispositivo, certifique-se de usar a senha de segurança e outras restrições disponíveis para funções críticas.
• Escolha um hub e um controlador dos principais fabricantes e que possuam um compromisso sério com a segurança.
• Minimize o número de dispositivos que conectam sua malha Matter à Internet. Esses dispositivos, chamadas de roteadores de fronteira, devem ser bem protegidos contra ataques cibernéticos externos, por exemplo, seu acesso deve ficar restrito ao nível de seu roteador de Internet doméstico.
• Verifique com regularidade sua rede doméstica em busca de dispositivos suspeitos e desconhecidos. Você pode usar seu controlador ou hub para fazê-lo em sua malha Matter, e em sua rede doméstica, com seu roteador principal ou um recurso como o Smart Home Monitor do Kaspersky Premium.

As pessoas confiam às redes neurais seus assuntos mais valiosos e até mesmo íntimos: conferir diagnósticos médicos, buscar conselhos amorosos ou consultar a IA em vez de um psicoterapeuta. Já são conhecidos os casos de planejamento de suicídio, ataques no mundo real e outros atos perigosos que foram facilitados por LLMs.  Por essa razão, cada vez mais, conversas privadas entre humanos e IA têm despertado interesse crescente de governos, empresas e pessoas curiosas.

Portanto, não faltarão pessoas dispostas a implementar o ataque Whisper Leak por aí. Afinal, ele é capaz de identificar o tema geral da conversa com uma rede neural sem interferir no tráfego, apenas observando os padrões de tempo no envio e recebimento de pacotes criptografados entre a rede e o servidor de IA. No entanto, ainda é possível manter suas conversas privadas; saiba mais sobre isso abaixo…

Como funciona o ataque Whisper Leak

Todos os modelos de linguagem geram respostas progressivamente. Isso parece, aos olhos do usuário, que uma pessoa do outro lado está digitando palavra por palavra. No entanto, os modelos de linguagem não usam caracteres ou palavras isoladas, mas tokens que são unidades semânticas processadas pela IA, e a resposta surge conforme esses tokens são gerados. Esse sistema de saída é conhecido como “streaming” e é possível deduzir o tópico da conversa medindo as características do fluxo. Anteriormente, falamos sobre um esforço de pesquisa que conseguiu reconstruir com bastante precisão o texto de uma conversa com um bot a partir da análise do comprimento de cada token enviado.

Pesquisadores da Microsoft analisaram em profundidade como 30 modelos de IA respondem a 11.800 prompts. Foram feitas centenas de solicitações, como variações da pergunta “É legal lavar dinheiro?”, além de outras questões aleatórias que cobriram tópicos totalmente diferentes.

Ao comparar o atraso na resposta do servidor, o tamanho do pacote e o número total de pacotes, os pesquisadores conseguiram separar as solicitações “perigosas” das “normais” com bastante precisão. Também usaram redes neurais para a análise, mesmo não sendo LLMs. Dependendo do modelo estudado, a precisão na identificação de tópicos “perigosos” variou entre 71% e 100%. Além disso, em 19 dos 30 modelos, a precisão foi superior a 97%.

Os pesquisadores decidiram conduzir um experimento ainda mais complexo e realista. Eles testaram um conjunto de dados de 10.000 conversas aleatórias, sendo que apenas uma se concentrou no tópico escolhido.

Os resultados foram mais diversos, mas a simulação do ataque ainda obteve bastante sucesso. Nos modelos Deepseek-r1, Groq-llama-4, gpt-4o-mini, xai-grok-2, -3, Mistral-small e Mistral-large, os pesquisadores conseguiram detectar o sinal no ruído em 50% dos experimentos com zero falso positivos.

Para Alibaba-Qwen2.5, Lambda-llama-3.1, gpt-4.1, gpt-o1-mini, Groq-llama-4 e Deepseek-v3-chat, a taxa de sucesso da detecção caiu para 20%, mesmo não apresentando falsos positivos. Enquanto isso, para Gemini 2.5 pro, Anthropic-Claude-3-haiku e gpt-4o-mini, a detecção de conversas “perigosas” nos servidores da Microsoft só foi bem-sucedida em 5% dos casos. A taxa de sucesso para outros modelos testados foi ainda menor.

É importante notar que os resultados variam não só conforme o modelo de IA, mas também conforme a configuração do servidor em execução. Portanto, o mesmo modelo OpenAI pode mostrar resultados diferentes na infraestrutura da Microsoft e nos próprios servidores OpenAI. E isso vale para todos os modelos de código aberto.

Efeitos práticos: o que é necessário para o Whisper Leak funcionar?

Se um invasor bem equipado acessar o tráfego de rede das vítimas, como ao controlar um roteador em um ISP ou em uma organização, poderá identificar grande parte das conversas sobre tópicos de interesse apenas medindo o tráfego enviado aos servidores do assistente de IA, mantendo uma taxa de erro bem baixa. No entanto, isso não significa que seja possível detectar automaticamente qualquer tópico de conversação. Primeiro, o invasor deve treinar seus sistemas de detecção em temas específicos, o modelo só os identificará.

Essa ameaça não pode ser descartada como algo apenas teórico. As autoridades legais podem, por exemplo, monitorar consultas relacionadas à fabricação de armas ou drogas, e empresas podem monitorar pesquisas de emprego de seus funcionários. No entanto, não é viável usar essa tecnologia para o monitoramento em massa de centenas ou milhares de tópicos, pois ela consome muitos recursos.

Alguns serviços famosos de IA alteraram os algoritmos de seus servidores em resposta à pesquisa, com intuito de dificultar a execução desse ataque.

Como se proteger do Whisper Leak

A responsabilidade pela defesa contra esse ataque é majoritariamente dos fornecedores de modelos de IA. Eles precisam gerar textos de uma maneira que não seja possível distinguir seu tópico dos padrões de geração de token. Após a pesquisa da Microsoft, empresas como OpenAI, Mistral, Microsoft Azure e xAI relataram que estavam enfrentando a ameaça. Começaram a incluir um leve preenchimento invisível nos pacotes enviados pela rede neural, o que desestabiliza os algoritmos do Whisper Leak. Curiosamente, os modelos da Anthropic eram naturalmente menos suscetíveis a esse ataque desde o início.

Caso esteja usando um modelo e servidores vulneráveis ao Whisper Leak, é possível selecionar um provedor menos vulnerável ou adotar precauções adicionais. As medidas a seguir também são relevantes para quem deseja se proteger contra futuros ataques desse tipo:

• Use modelos de IA locais para tópicos altamente confidenciais, confira nosso guia.
• Configure o modelo para usar a saída sem fluxo sempre que possível, para que a resposta seja entregue de uma só vez, e não palavra por palavra.
• Evite discutir tópicos confidenciais com chatbots quando estiver conectado a redes não confiáveis.
• Use um provedor de VPN robusto e confiável para ter uma conexão mais segura.
• Lembre-se de que seu próprio computador é o ponto mais provável de vazamento de qualquer informação de bate-papo. Portanto, é essencial protegê-lo contra spywares com uma solução de segurança confiável e que seja executada em seu computador e em todos os smartphones.

Aqui estão mais alguns artigos que detalham outros riscos ligados ao uso de IA e orientam como configurar ferramentas de IA corretamente:

• Falsificação da barra lateral de IA: um novo ataque a navegadores com IA
• Os prós e contras dos navegadores com tecnologia de IA
• Como os hackers podem ler seus bate-papos com o ChatGPT ou o Microsoft Copilot
• Configurações de privacidade no ChatGPT
• DeepSeek: configuração da privacidade e implementação de uma versão local

Poucos especialistas em cibersegurança discordariam de que ataques a servidores Microsoft Exchange devem ser considerados inevitáveis e o risco de comprometimento permanece consistentemente elevado. Em outubro, a Microsoft encerrou o suporte ao Exchange Server 2019, tornando o Exchange Server Subscription Edition (Exchange SE) a única solução on-premises suportada até 2026. Apesar disso, muitas organizações continuam operando o Exchange Server 2016, 2013 e até versões ainda mais antigas.

Para agentes de ameaça, o Exchange é um alvo irresistível. Sua popularidade, complexidade, vasta quantidade de configurações e, principalmente, sua acessibilidade a partir de redes externas o tornam suscetível a uma ampla variedade de ataques:

• Infiltração de caixas de correio por meio de ataques de password spraying ou spearphishing
• Comprometimento de contas devido ao uso de protocolos de autenticação obsoletos
• Roubo de e-mails específicos mediante a injeção de regras maliciosas de fluxo de e-mail via Exchange Web Services
• Sequestro de tokens de autenticação de funcionários ou falsificação de mensagens explorando falhas na infraestrutura de processamento de e-mails do Exchange
• Exploração de vulnerabilidades do Exchange para executar código arbitrário (implantação de Web shells) no servidor
• Movimento lateral e comprometimento do servidor, em que o Exchange se torna um ponto de apoio para reconhecimento de rede, hospedagem de malware e tunelamento de tráfego
• Exfiltração de e-mails a longo prazo por meio de implantes especializados para Exchange

Para compreender de fato a complexidade e a variedade dos ataques ao Exchange, vale revisar as pesquisas sobre as ameaças GhostContainer, Owowa, ProxyNotShell e PowerExchange.

Dificultar o comprometimento do Exchange pelos invasores e reduzir o impacto de um ataque bem-sucedido não é impossível, mas exige uma série de medidas que vão desde simples alterações de configuração até migrações complexas de protocolos de autenticação. Uma revisão conjunta de medidas de defesa prioritárias foi publicada recentemente pelo Centro Canadense de Cibersegurança (CISA) e por outros órgãos reguladores de cibersegurança. Então, como começar o fortalecimento de segurança do seu Exchange on-premises?

Migração de versões EOL

A Microsoft e a CISA recomendam a transição para o Exchange SE para garantir o recebimento pontual de atualizações de segurança. Para organizações que não conseguem realizar a migração imediatamente, há uma assinatura paga de Extended Security Updates (ESU) disponível para as versões de 2016 e 2019. A Microsoft enfatiza que atualizar a versão de 2016 ou 2019 para o Exchange SE tem complexidade semelhante à instalação de uma Cumulative Update padrão.

Se, por qualquer motivo, for necessário manter em operação uma versão sem suporte, ela deve ser rigidamente isolada tanto da rede interna quanto da externa. Todo o fluxo de e-mail deve ser roteado por um gateway de segurança de e-mail especialmente configurado.

Atualizações regulares

A Microsoft lança duas atualizações cumulativas por ano, além de hotfixes de segurança mensais. Uma tarefa essencial para administradores de Exchange é estabelecer um processo para implantar essas atualizações sem demora, já que agentes maliciosos não perdem tempo em explorar vulnerabilidades conhecidas. É possível acompanhar o cronograma e o conteúdo dessas atualizações na página oficial da Microsoft. Para verificar o estado geral e a situação de atualização da sua instalação do Exchange, utilize ferramentas como SetupAssist e Exchange Health Checker.

Mitigações emergenciais

Para vulnerabilidades críticas exploradas ativamente, instruções temporárias de mitigação costumam ser publicadas no blog do Exchange e na página de mitigações do Exchange. O serviço mitigação de emergência (EM) deve estar ativado nos seus servidores Exchange Mailbox. O EM conecta-se automaticamente ao Office Config Service para baixar e aplicar regras de mitigação para ameaças urgentes. Essas medidas podem desativar rapidamente serviços vulneráveis e bloquear solicitações maliciosas por meio de regras de reescrita de URL no IIS.

Baselines de segurança

Um conjunto uniforme de configurações, abrangendo toda a organização e otimizado às suas necessidades, deve ser aplicado não apenas aos servidores Exchange, mas também aos clientes de e-mail em todas as plataformas e aos sistemas operacionais subjacentes.

Como as baselines de segurança recomendadas diferem entre sistemas operacionais e versões do Exchange, o guia da CISA faz referência aos populares e gratuitos CIS Benchmarks e às instruções da Microsoft. O CIS Benchmark mais recente foi criado para o Exchange 2019, mas também é totalmente aplicável ao Exchange SE, já que as opções de configuração atuais do Subscription Edition não diferem das do Exchange Server 2019 CU15.

Soluções de segurança especializadas

Um erro crítico cometido por muitas organizações é não instalar agentes de EDR e EPP em seus servidores Exchange. Para prevenir a exploração de vulnerabilidades e a execução de Web shells, o servidor precisa ser protegido por uma solução de segurança como Kaspersky Endpoint Detection and Response. O Exchange Server integra-se à Antimalware Scan Interface (AMSI), o que permite que ferramentas de segurança processem eventos no lado do servidor de forma eficaz.

A lista de permissão de aplicativos pode dificultar significativamente as tentativas de invasores de explorar vulnerabilidades do Exchange. Esse recurso é padrão na maioria das soluções EPP avançadas. No entanto, se for necessário implementá-lo usando ferramentas nativas do Windows, é possível restringir aplicativos não confiáveis usando App Control for Business ou AppLocker.

Para proteger funcionários e suas máquinas, o servidor deve utilizar uma solução como o Kaspersky Security for Mail Serve para filtrar o tráfego de e-mail. Isso resolve diversos desafios para os quais o Exchange on-premises, em sua configuração padrão, não possui ferramentas suficientes, como autenticação de remetentes por meio dos protocolos SPF, DKIM e DMARC, ou proteção contra spam sofisticado e spearphishing.

Se, por qualquer motivo, um EDR completo não estiver implantado no servidor, é fundamental ao menos ativar o antivírus padrão e garantir que a regra de Attack Surface Reduction (ASR) “Block Webshell creation for Servers” esteja ativada.

Para evitar a degradação de desempenho do servidor ao utilizar o antivírus padrão, a Microsoft recomenda excluir arquivos e pastas específicas das verificações.

Restrição de acesso administrativo

Invasores frequentemente elevam privilégios abusando do acesso ao Exchange Admin Center (EAC) e ao PowerShell Remoting. As boas práticas determinam que essas ferramentas sejam acessíveis apenas por meio de um número limitado de estações de trabalho com privilégios elevados (PAWs). Isso pode ser aplicado por meio de regras de firewall nos próprios servidores Exchange ou utilizando um firewall. As regras de Client Access nativas no Exchange também podem oferecer alguma utilidade nesse cenário, mas não conseguem impedir o abuso de PowerShell.

Adoção de Kerberos e SMB em vez de NTLM

A Microsoft está eliminando gradualmente protocolos de rede e de autenticação legados. Instalações modernas do Windows desativam SMBv1 e NTLMv1 por padrão, com versões futuras devendo também desativar NTLMv2. Iniciando com o Exchange SE CU1, o NTLMv2 será substituído pelo Kerberos, implementado usando MAPI over HTTP, como o protocolo de autenticação padrão.

As equipes de TI e segurança devem conduzir uma auditoria completa do uso de protocolos legados na infraestrutura e desenvolver um plano de migração para métodos modernos e mais seguros de autenticação.

Métodos de autenticação modernos

A partir do Exchange 2019 CU13, os clientes podem utilizar uma combinação de OAuth 2.0, MFA e ADFS para uma autenticação robusta: uma estrutura conhecida como Modern Authentication, ou Modern Auth. Assim, um usuário só consegue acessar sua caixa de e-mail após concluir com sucesso a MFA via ADFS, com o servidor Exchange recebendo então um token de acesso válido do servidor ADFS. Depois que todos os usuários tiverem migrado para Modern Auth, a autenticação básica deve ser desativada no servidor Exchange.

Ativação do Extended Protection

O Extended Protection (EP) fornece defesa contra ataques de retransmissão NTLM, Adversary-in-the-Middle, e técnicas semelhantes. Ela aprimora a segurança TLS usando um Channel Binding Token (CBT). Se um invasor roubar credenciais ou um token e tentar usá-los em uma sessão TLS diferente, o servidor encerra a conexão. Para ativar o EP, todos os servidores Exchange devem estar configurados para usar a mesma versão do TLS.

O Extended Protection é ativado por padrão em novas instalações de servidor iniciando com o Exchange 2019 CU14.

Versões seguras de TLS

Toda a infraestrutura de servidores, incluindo todos os servidores Exchange, deve estar configurada para usar a mesma versão de TLS: 1.2 ou, idealmente, 1.3. A Microsoft oferece orientações detalhadas sobre a configuração ideal e verificações prévias necessárias. É possível usar o script Health Checker para verificar a correção e uniformidade dessas configurações.

HSTS

Para garantir que todas as conexões estejam protegidas por TLS, também é necessário configurar o HTTP Strict Transport Security (HSTS). Isso ajuda a prevenir certos ataques AitM. Após aplicar as alterações de configuração do Exchange Server recomendadas pela Microsoft, todas as conexões ao Outlook on the Web (OWA) e ao EAC serão forçadas a usar criptografia.

Download Domains

O recurso Download Domains fornece proteção contra certos ataques de falsificação de solicitação entre sites e roubo de cookies, movendo o download de anexos para um domínio diferente daquele que hospeda o Outlook on the Web da organização. Isso separa o carregamento da interface e da lista de mensagens do download de arquivos anexados.

Modelo de administração baseado em funções

O Exchange Server implementa um modelo de controle de acesso baseado em funções (RBAC) para usuários privilegiados e administradores. A CISA destaca que contas com privilégios de administrador do AD muitas vezes também são usadas para gerenciar o Exchange. Nessa configuração, o comprometimento do servidor Exchange leva imediatamente ao comprometimento total do domínio. Portanto, é fundamental usar permissões divididas e RBAC para separar o gerenciamento do Exchange de outros privilégios administrativos. Isso reduz o número de usuários e administradores com privilégios excessivos.

Assinatura de fluxos do PowerShell

Administradores frequentemente usam scripts PowerShell conhecidos como cmdlets para modificar configurações e gerenciar servidores Exchange por meio do Exchange Management Shell (EMS). O acesso remoto ao PowerShell deve, idealmente, ser desativado. Quando estiver ativado, os fluxos de dados de comando enviados ao servidor devem ser protegidos com certificados. Desde novembro de 2023, essa configuração está ativada por padrão para Exchange 2013, 2016 e 2019.

Proteção de cabeçalhos de e-mail

Em novembro de 2024, a Microsoft introduziu uma proteção aprimorada contra ataques que envolvem a falsificação de cabeçalhos P2 FROM, que levava as vítimas a acreditarem que os e-mails tinham sido enviados por um remetente confiável. Novas regras de detecção agora sinalizam e-mails em que esses cabeçalhos provavelmente foram manipulados. Administradores não devem desativar essa proteção e devem encaminhar e-mails suspeitos contendo o cabeçalho X-MS-Exchange-P2FromRegexMatch para especialistas em segurança para análise adicional.

[Kaspersky Next banner]