VKSECURITY Cibersegurança
60 artigos
Um malware brasileiro instala uma extensão fantasma no Chrome e no Edge para assistir tudo
Pesquisadores detalharam uma campanha que atinge o Brasil em 98% dos casos: o malware chega como documento bancário, instala uma extensão que o navegador acha que é legítima e passa a capturar credenciais, cookies, telas e até o conteúdo das páginas visitadas. Quase todas as vítimas caíram executando um arquivo à mão.
LER ARTIGO
Um e-mail comum derruba o próprio sistema que filtra e-mails da empresa
Uma falha nota 9.8 no gateway de e-mail da Cisco permite executar comandos como administrador — bastando enviar um e-mail preparado para o endereço da empresa. Está sendo explorada desde antes de a Cisco saber, e não existe contorno: só a atualização resolve.
LER ARTIGO
Invadiram um provedor inteiro pela VPN do firewall — e deixaram uma porta para voltar
Pesquisadores reconstruíram uma invasão a um provedor de internet que começou por uma falha antiga na VPN do firewall. Os criminosos entraram, coletaram chaves e senhas, copiaram a base de clientes e instalaram uma ferramenta legítima de acesso remoto para voltar quando quisessem. A falha tinha correção desde 2024.
LER ARTIGO
Falha na AWS permitia driblar restrições e alcançar as credenciais da máquina
A Amazon corrigiu uma falha no agente que gerencia as máquinas na nuvem: um usuário autenticado conseguia contornar as restrições de encaminhamento de porta e alcançar o serviço interno que entrega as credenciais temporárias da instância. Atualizar o agente é simples, e vale conferir hoje.
LER ARTIGO
O arquivo de conversas que você exportou do Telegram pode estar guardando uma armadilha
Uma falha no Telegram para computador permitia que uma mensagem preparada escondesse código dentro do arquivo de conversas exportado. Ao abrir esse arquivo, o código rodava e podia enviar o conteúdo das conversas para fora. A correção saiu em julho, mas os arquivos antigos continuam contaminados.
LER ARTIGO
A extensão que prometia melhorar o Twitch entregou 31 mil contas — sem precisar da senha
Uma extensão disponível nas lojas oficiais do Chrome e do Firefox prometia transmissão em alta qualidade e sem anúncios. Em troca, desviava o token de acesso de quem a instalava para servidores de um serviço de robôs. Com o token, dá para entrar na conta sem senha e sem o segundo fator.
LER ARTIGO
Nota 10 de gravidade: a falha da Cisco que dá acesso total ao firewall já está sendo explorada
Uma falha com a nota máxima de gravidade no sistema que gerencia os firewalls da Cisco permite assumir o controle total sem senha nenhuma. A correção saiu em março, mas os ataques começaram em agosto — e alcançaram quem não aplicou. Se a sua empresa usa Cisco na borda, esta é a checagem da semana.
LER ARTIGO
Falha grave no firewall da Palo Alto: nota 9.2 e execução de código sem senha
A Palo Alto Networks corrigiu uma falha de nota 9.2 no PAN-OS que permite a um invasor sem senha executar código como administrador nos firewalls físicos. Ainda não há ataques conhecidos, o que torna esta a semana ideal para atualizar — antes que a engenharia reversa do remendo vire exploração.
LER ARTIGO
O PDF de cobrança que espera você abrir o banco para agir
Um trojan bancário que circula na América Latina chega por um PDF de fatura ou intimação, verifica se a vítima está no país-alvo e depois hiberna. Ele só acorda quando alguém abre o site do banco. Quem recebe boleto o dia inteiro — o financeiro da sua empresa — é o alvo perfeito.
LER ARTIGO
O ransomware de Android que trava o celular e transmite a tela da vítima ao vivo
Pesquisadores encontraram um malware de Android que junta tudo numa infecção só: criptografa os arquivos, grava e transmite a tela em tempo real, tira fotos sem avisar, rouba os códigos de verificação por mensagem e abre um chat para o criminoso negociar com a vítima. Ele só entra por um caminho — e esse caminho dá para fechar.
LER ARTIGO
Polícia lê WhatsApp e Signal sem quebrar a criptografia — e a técnica também serve ao golpista
Documentos publicados na Alemanha mostram autoridades lendo conversas de WhatsApp, Signal e Telegram sem atacar a criptografia: elas simplesmente vinculam um computador próprio à conta do investigado. O método é o mesmo de um golpe que já circula no Brasil — e a checagem que protege leva 15 segundos.
LER ARTIGO
A porta de entrada da IA da sua empresa aceitava a senha do manual — e 1 em cada 10 estava aberta
Três falhas no LiteLLM, o programa que muitas empresas usam para centralizar o acesso às IAs, permitem executar comandos com poder máximo e roubar as chaves da nuvem. Pior: quase 10% das instalações expostas aceitavam a senha de exemplo da documentação. A CISA confirmou ataques em andamento.
LER ARTIGO
Duas falhas nota 9.8 na VPN da Check Point: quem trabalha remoto entra por essa porta
A Check Point corrigiu duas falhas críticas que permitem executar código nos seus equipamentos sem nenhuma senha, aproveitando a checagem de certificado feita na hora de estabelecer a VPN. É a porta por onde o time remoto entra todo dia. Ainda não há ataques conhecidos — a janela para corrigir é agora.
LER ARTIGO
O GTA 6 que 'vazou' não existe — mas o vírus dentro dele é bem real
Arquivos de 100 GB prometendo o GTA 6 antes do lançamento circulam em torrents, fóruns e redes sociais. Dentro vêm três programas de controle remoto, um ladrão de senhas e um ransomware que destrói arquivos. Como o computador de casa costuma ser o mesmo do trabalho, o problema chega à empresa.
LER ARTIGO
Um ataque montado por agentes de IA em menos de 6 horas roubou 23,8 mil senhas e chaves
O Google documentou uma campanha em que o criminoso montou, com um assistente de programação e uma equipe de agentes autônomos, toda a operação de roubo de credenciais: planejou, programou e executou em menos de seis horas. O resultado foi um cofre com 23.800 senhas e chaves. A janela de reação do defensor encurtou de semanas para horas.
LER ARTIGO
Falha no firewall FortiGate está sendo explorada e já infectou 178 equipamentos
Uma falha no sistema dos firewalls FortiGate permite executar comandos sem senha e está sendo usada em ataques: 178 equipamentos confirmadamente infectados depois de varreduras contra mais de 30 mil endereços. A correção existe. O problema é o firewall ser, em muitas empresas, o aparelho que ninguém atualiza.
LER ARTIGO
Uma videochamada no WhatsApp abre as suas fotos com o celular bloqueado — e a correção ainda está chegando
Quem segura um Android bloqueado pode atender uma videochamada do WhatsApp, tocar em 'Efeitos' e, em três toques, abrir a galeria inteira de fotos — sem senha, sem digital. A Meta diz que a correção está sendo distribuída. Até chegar, há um ajuste de 20 segundos que fecha a porta.
LER ARTIGO
A TV box pirata está alugando a internet da sua casa para criminosos — e o endereço que aparece é o seu
Pesquisadores encontraram, dentro de aparelhos de TV pirata como o SuperBox, um software adormecido que transforma a conexão da casa num 'proxy': tráfego de terceiros — inclusive credenciais roubadas e ataques — passa a sair com o IP do morador. Para quem trabalha em casa, o aparelho barato do canal de futebol pode ser o elo mais fraco da rede da empresa.
LER ARTIGO
"Oi, aqui é o suporte de TI": o golpe que usa o Teams para tomar o computador do funcionário
Uma mensagem no Teams de um 'help desk', uma ligação em seguida, e o pedido para abrir uma ferramenta de suporte remoto. Em menos de 17 horas, uma dessas conversas terminou em ransomware. Entenda o golpe que transforma a confiança no TI em chave da rede — e por que quase toda empresa está exposta por padrão.
LER ARTIGO
Falha crítica no Exchange deixa 22 mil servidores de e-mail à mercê de invasores
Uma falha grave no Microsoft Exchange permite que um invasor assuma as caixas de e-mail de toda a empresa. A correção existe desde agosto, mas quase 22 mil servidores no mundo continuam abertos — e já há código de ataque público circulando. Quem ainda roda Exchange no próprio servidor precisa agir hoje.
LER ARTIGO
O grupo que invade empresas brasileiras e faz centenas de Pix fraudulentos direto da fonte
Um grupo criminoso com operadores no Brasil parou de mirar o consumidor e passou a invadir direto o sistema financeiro das empresas — bancos, fintechs, processadores de pagamento — para disparar centenas de Pix fraudulentos de dentro. O Google detalhou como eles entram, e a receita começa por um telefonema.
LER ARTIGO
Chrome tem o sexto zero-day do ano: atualize o navegador antes de fechar esta aba
O Google lançou uma correção de emergência para o Chrome depois de descobrir que uma falha já estava sendo usada em ataques reais — a sexta desse tipo em 2026. Atualizar leva 30 segundos e fecha uma porta que uma página maliciosa consegue abrir sozinha. Veja como conferir a sua versão.
LER ARTIGO
O 'verifique que você é humano' que entrega a sua empresa: o golpe que pede para colar um comando
Uma tela falsa de verificação — igual às que todo mundo já clicou — pede que o funcionário abra o terminal do Windows e cole um comando 'para confirmar que é humano'. Quem obedece abre um túnel para o atacante dentro da rede da empresa. A Microsoft alerta: é o caminho para o ransomware.
LER ARTIGO
Entraram em 5 mil contas do Dropbox sem saber a senha — o elo fraco era o 'entrar com' de outra empresa
Ninguém adivinhou senha, ninguém clicou em link. Bastou criar um cadastro na Lenovo com o e-mail da vítima e usar o botão 'entrar com Lenovo ID' no Dropbox. Cerca de 5 mil contas foram abertas assim em agosto — e o caso ensina o que perguntar sobre todo login 'facilitado' que a sua empresa usa.
LER ARTIGO
O acesso à sua empresa virou mercadoria: o malware brasileiro que rouba a porta e revende
Um malware brasileiro não quer o seu dinheiro na hora — quer a chave da sua rede para vendê-la. Ele rouba credenciais, mapeia o que a máquina tem de valioso e anuncia o acesso num mercado clandestino, onde outro criminoso compra para aplicar o ransomware.
LER ARTIGO
Atacaram a conta mais poderosa da AWS em 150 empresas — e o que impediu o desastre foi o básico
Uma campanha testou senhas contra a conta 'root' da AWS — a que manda em tudo — em mais de 150 organizações. Não conseguiram entrar em nenhuma. O que separou o susto do desastre é uma medida que cabe em cinco minutos: MFA na conta root.
LER ARTIGO
O 'golpe do Pix de R$ 0,01' não existe do jeito que dizem — mas o perigo vem logo depois
Circula o aviso de que receber um Pix de 1 centavo invade sua conta. Não invade — o Banco Central confirma. Mas ignorar de vez seria um erro: o centavo é a isca de um golpe que vem na sequência, pela conversa, não pela transferência.
LER ARTIGO
A porta não foi arrombada, foi aberta: como uma ligação roubou 284 milhões de registros médicos
Nenhum firewall foi vencido. Criminosos ligaram para funcionários se passando por suporte de TI, convenceram alguém a liberar o acesso ao login único da empresa e, por essa porta, baixaram até 284 milhões de registros de pacientes. O elo mais frágil atendeu o telefone.
LER ARTIGO
Quando o ataque apaga a luz: hackers deixam uma usina do Reino Unido quatro dias fora do ar
Um ataque cibernético tirou uma usina de energia britânica de operação por quatro dias — o primeiro caso conhecido do tipo no país. A rede nacional não correu risco, mas o episódio marca a fronteira em que o ataque digital vira consequência física.
LER ARTIGO
A falha no roteador que entrega a senha do Wi-Fi — e por que isso é problema do home office
Uma falha em um modelo de roteador D-Link permite que alguém na mesma rede troque a senha do administrador e recupere as credenciais do Wi-Fi, sem precisar de autenticação. O caso é pequeno; o princípio, não: a segurança da empresa hoje passa pelo roteador da casa do funcionário.
LER ARTIGO
19 extensões de navegador roubando senha e carteira: o perigo que sua equipe instala sozinha
Dezenove extensões do Chrome e do Edge foram flagradas roubando carteiras de criptomoeda, senhas e sessões. O truque: elas nasceram limpas, ganharam a confiança dos usuários e só depois, por atualização, viraram ladras. Uma delas chegou a 80 mil instalações.
LER ARTIGO
TeamViewer: um clique num link do chat pode entregar o computador ao atacante
A TeamViewer corrigiu duas falhas nos seus programas de acesso remoto. Na mais grave, um link malicioso enviado pelo chat da ferramenta executa comandos na máquina da vítima. A correção existe — falta o clique em 'atualizar'.
LER ARTIGO
A falha no Veeam ONE que ataca o seu plano B: quando o guardião do backup entrega a própria senha
O backup é o que salva a empresa quando o ransomware tranca tudo. Uma falha crítica no Veeam ONE pode forçar o sistema a expor a credencial da própria conta de serviço — e uma conta de backup comprometida é o pesadelo que o backup deveria evitar.
LER ARTIGO
O golpe que passa por qualquer filtro: 24.700 e-mails sem link e sem anexo miraram 9 mil empresas
Em 14 dias, uma campanha atingiu mais de 9.000 organizações com e-mails que não trazem link malicioso nem arquivo infectado — só texto e um número de telefone. Sem nada para bloquear, a mensagem entra. E o golpe começa quando a vítima liga.
LER ARTIGO
Atualize o Chrome: duas falhas críticas deixam um site malicioso fugir da jaula do navegador
O Google corrigiu 15 falhas no Chrome — e duas são do tipo mais raro e perigoso: permitem que uma simples página web maliciosa escape do isolamento do navegador e execute código no computador. Entenda o que é a 'sandbox', por que visitar um site basta, e como conferir em 10 segundos se o seu Chrome já está seguro.
LER ARTIGO
9.300 chaves da AWS esquecidas em público ainda funcionam — e 768 abrem empresas inteiras
Pesquisadores testaram milhares de chaves de acesso da nuvem da Amazon vazadas em repositórios públicos nos últimos 4 anos: 88% ainda autenticam. Centenas dão controle TOTAL da conta da empresa — e a idade média das chaves é de 5 anos. Não foi invasão: foi esquecimento. O que a sua empresa precisa checar ainda hoje.
LER ARTIGO
O malware que vê você digitar a senha do banco — e rouba dados até com o celular offline
O Manic, novo malware para Android, não mostra tela falsa: ele coloca uma camada invisível sobre o teclado do app verdadeiro do banco e grava onde você toca. E tem um truque inédito — se o celular estiver sem internet, ele envia os dados roubados usando outros celulares infectados por perto como ponte. O que isso significa para quem usa o celular pessoal no trabalho.
LER ARTIGO
CVSS 10 no login da Microsoft: a falha máxima no serviço que guarda as senhas da sua empresa
O Entra ID — o porteiro que valida todo login do Microsoft 365 — teve uma falha com a nota máxima de gravidade: execução de código sem precisar de senha. A Microsoft corrigiu na nuvem antes que você precisasse fazer qualquer coisa. E ainda sobrou uma lição sobre comunicação de incidentes: o alerta de 'explorada em ataques' que a própria Microsoft despublicou horas depois.
LER ARTIGO
Shell investiga roubo de 89 GB: a gangue que diz ter invadido dezenas de multinacionais por um único sistema
O grupo Cl0p colocou a Shell na sua vitrine de extorsão e afirma ter levado 89 GB — desenhos de engenharia, fotos de instalações e roadmaps. A porta de entrada da campanha, que teria atingido cerca de 50 empresas como Philips e GE, foi uma falha no ERP da Oracle. O que isso ensina a qualquer empresa que roda um sistema de gestão.
LER ARTIGO
Tenho MFA Microsoft, estou seguro? A campanha que invadiu 94 empresas sem roubar uma senha
Uma operação de phishing ativa há mais de um ano contorna a autenticação de dois fatores do Microsoft 365 sem descobrir nenhuma senha — ela rouba a sessão já autenticada. 94 contas corporativas em oito países. Entenda por que o segundo fator não basta.
LER ARTIGO
Nota 9.8 no VMware vCenter: a falha crítica que entrega todos seus servidores de uma só vez
A Broadcom corrigiu uma falha crítica no VMware vCenter em 29 de julho. Cinco dias depois começaram os ataques: mais de 360 servidores comprometidos em 47 países, com ransomware e acesso permanente instalado. O vCenter controla todos os servidores virtuais da empresa.
LER ARTIGO
300 mil sites WordPress expostos: a brecha está no formulário de contato
Uma falha crítica no Forminator, plugin de formulários de 600 mil sites WordPress, permite que um estranho sem senha assuma o site enviando um arquivo pelo formulário. A correção saiu em julho — e metade das instalações ainda não aplicou.
LER ARTIGO
A falha do Mac que já está sendo explorada — e instala minerador na máquina
Uma brecha no Compartilhamento de Tela do macOS aceitava conexão sem senha válida. A Apple corrigiu, mas invasores já estão usando a falha para obter controle total de Macs e instalar mineradores de criptomoeda.
LER ARTIGO
Ransomware por US$ 8 ao mês: o crime digital virou assinatura
Pesquisadores identificaram uma inteligência artificial vendida em fórum criminoso que fabrica ransomware, ladrões de senha e kits de phishing sob demanda — por menos que uma assinatura de streaming, sem cadastro e sem qualquer trava de segurança.
LER ARTIGO
Golpe do cartão por aproximação: como criminosos transformam seu celular em cúmplice
Um golpe em alta no Brasil usa um app falso do 'banco' e a função de aproximação do cartão para fazer compras à distância — com a vítima segurando o próprio cartão. Entenda o passo a passo e como se proteger.
LER ARTIGO
Firewall da Fortinet aceitava qualquer senha: entenda a falha e o que fazer
Uma falha crítica no FortiWeb (CVE-2026-26035, nota 8.8) deixava um invasor entrar no painel de administração com usuário e senha aleatórios. A correção já saiu — e a lição vale para todo equipamento de borda.
LER ARTIGO
Sete falhas no Exchange Server: o e-mail corporativo de novo na mira
A Microsoft corrigiu sete vulnerabilidades no Exchange Server, duas graves (uma já demonstrada ao vivo no Pwn2Own). Por que o servidor de e-mail é alvo nobre e o que fazer com urgência.
LER ARTIGO
935 ataques acima de 1 terabit: o semestre em que os DDoS gigantes viraram rotina
A Cloudflare bloqueou 935 ataques DDoS acima de 1 Tbps no primeiro semestre — cinco por dia. E o dado que mais importa para a sua empresa não é o recorde: é que 96% dos ataques são pequenos o bastante para mirar qualquer um.
LER ARTIGO
Falhas em aplicações web não param de crescer — e sua empresa publica mais rápido do que testa
O código nunca foi publicado tão rápido, e o teste de segurança não acompanhou. Por que as vulnerabilidades crescem a cada trimestre, quais portas se repetem e como fechar a janela antes do atacante.
LER ARTIGO
Windows, Zoom e Adobe: três falhas críticas em softwares que você usa toda semana
Em poucos dias, o antivírus do Windows, o Zoom e o Adobe ColdFusion ganharam correções para falhas graves — uma já sendo explorada. O que são e por que atualizar virou urgência.
LER ARTIGO
176 falhas num celular Samsung: o que isso ensina sobre os aparelhos que acessam seus dados
Uma empresa achou 176 brechas nos apps de fábrica da Samsung — e a Samsung corrigiu todas. As três lições para quem tem equipe usando celular no trabalho.
LER ARTIGO
A falsa vaga de emprego no LinkedIn que entrega sua empresa a espiões norte-coreanos
O grupo Lazarus mira o Brasil com vagas falsas e um zero-day do Windows. O que são 'zero-day' e 'APT' — e por que a técnica já desceu para o crime comum.
LER ARTIGO
Baixou o filme pirata, entregou a senha da empresa: como a pirataria vira porta de invasão
Falsas versões da 'Odisseia' espalham um vírus ladrão de dados. Por que software e mídia pirata são hoje um dos maiores riscos de segurança da empresa.
LER ARTIGO
A extensão de navegador que sua equipe instalou pode ser um espião
Removida por roubar conversas com IA após 300 mil instalações, a 'AI Sidebar' voltou à loja oficial do Chrome com um golpe novo. O que isso ensina.
LER ARTIGO
Golpe do Pix em nome da Receita Federal: como blindar sua equipe e seu financeiro
Páginas falsas com 'fazenda' no endereço cobram taxas de encomenda e do MEI. A regra de uma linha que resolve: governo não cobra por link.
LER ARTIGO
O ataque que envenenou 2 bilhões de downloads: o perigo escondido no software que você usa
Criminosos contaminaram peças de código baixadas por programadores no mundo todo. Por que isso é risco de quem contrata software, não só de quem programa.
LER ARTIGO
CVE, CVSS 10.0 e as siglas do noticiário: o guia de vulnerabilidades para quem não é de TI
Log4Shell, a falha de 18 anos no Linux, o 'CVSS 10' que pede pânico. O que essas siglas significam — e por que a defesa contra quase todas é a mesma coisa simples.
LER ARTIGO
Pentest: o teste que invade sua empresa antes do criminoso
Do Log4j à invasão da Uber: por que a porta de entrada nunca é a que a TI está olhando — e como contratar um teste de invasão que preste.
LER ARTIGO
Ransomware: o sequestro digital que parou o STJ, a Renner e o Fleury
Como o ataque funciona por dentro, quanto custa de verdade — e as três decisões tomadas ANTES que definem qual história será a sua.
LER ARTIGO
Verificação em duas etapas: a proteção mais barata que sua empresa ainda não ligou
Bloqueia mais de 99% dos ataques automatizados e já vem inclusa no que você paga. O plano de 4 semanas para ativar sem travar a operação.
LER ARTIGO