VKSECURITY nuvem
12 artigos
Invasão no OpenCode expõe chaves de API de IA e usuários relatam contas de até US$ 1.700 em uma noite
O OpenCode, agente de programação com IA de código aberto, confirmou que invasores alcançaram um sistema antigo do seu Console e podem ter levado chaves de API de OpenAI, Anthropic e Google de 1,4% dos usuários. Houve relatos de cobranças de centenas a mais de mil dólares numa só noite.
LER ARTIGO
GhostAction volta ao GitHub: 'auditoria de segurança' falsa vasculha o histórico inteiro dos repositórios atrás de chaves de nuvem e de IA
Em 8 de outubro, a campanha GhostAction usou contas comprometidas de dois mantenedores conhecidos para empurrar um arquivo chamado security-audit.yml a centenas de repositórios. O que ele faz é o oposto do nome: lê o histórico completo do projeto e envia para um servidor as chaves da AWS, de serviços de IA e de outros sistemas — inclusive as que alguém apagou achando que tinha resolvido.
LER ARTIGO
Japão em alerta: onda de invasões expõe dados de milhões, e bancos são orientados a não aceitar só a carteira de motorista
Lojas de conveniência, corretora, ferrovia, aluguel de carros e uma nuvem usada por 495 empresas e governos locais: em poucas semanas, o Japão acumulou ataques suficientes para o governo emitir um alerta nacional. Com imagens de documentos circulando, o regulador financeiro pediu que bancos aceitem só identidades com chip.
LER ARTIGO
Botnet instala um agente de IA dentro dos servidores invadidos e recebe ordens pelo Telegram
Pesquisadores da ThreatDown descrevem o CARBONATO, uma rede de máquinas invadidas que instala um agente de inteligência artificial em cada servidor comprometido. O agente recebe tarefas pelo Telegram, procura chaves de API de serviços de IA antes de qualquer outra coisa e varre a rede a cada cinco minutos em busca de novas vítimas.
LER ARTIGO
Falha na AWS permitia driblar restrições e alcançar as credenciais da máquina
A Amazon corrigiu uma falha no agente que gerencia as máquinas na nuvem: um usuário autenticado conseguia contornar as restrições de encaminhamento de porta e alcançar o serviço interno que entrega as credenciais temporárias da instância. Atualizar o agente é simples, e vale conferir hoje.
LER ARTIGO
A porta de entrada da IA da sua empresa aceitava a senha do manual — e 1 em cada 10 estava aberta
Três falhas no LiteLLM, o programa que muitas empresas usam para centralizar o acesso às IAs, permitem executar comandos com poder máximo e roubar as chaves da nuvem. Pior: quase 10% das instalações expostas aceitavam a senha de exemplo da documentação. A CISA confirmou ataques em andamento.
LER ARTIGO
Um ataque montado por agentes de IA em menos de 6 horas roubou 23,8 mil senhas e chaves
O Google documentou uma campanha em que o criminoso montou, com um assistente de programação e uma equipe de agentes autônomos, toda a operação de roubo de credenciais: planejou, programou e executou em menos de seis horas. O resultado foi um cofre com 23.800 senhas e chaves. A janela de reação do defensor encurtou de semanas para horas.
LER ARTIGO
Entraram em 5 mil contas do Dropbox sem saber a senha — o elo fraco era o 'entrar com' de outra empresa
Ninguém adivinhou senha, ninguém clicou em link. Bastou criar um cadastro na Lenovo com o e-mail da vítima e usar o botão 'entrar com Lenovo ID' no Dropbox. Cerca de 5 mil contas foram abertas assim em agosto — e o caso ensina o que perguntar sobre todo login 'facilitado' que a sua empresa usa.
LER ARTIGO
Atacaram a conta mais poderosa da AWS em 150 empresas — e o que impediu o desastre foi o básico
Uma campanha testou senhas contra a conta 'root' da AWS — a que manda em tudo — em mais de 150 organizações. Não conseguiram entrar em nenhuma. O que separou o susto do desastre é uma medida que cabe em cinco minutos: MFA na conta root.
LER ARTIGO
9.300 chaves da AWS esquecidas em público ainda funcionam — e 768 abrem empresas inteiras
Pesquisadores testaram milhares de chaves de acesso da nuvem da Amazon vazadas em repositórios públicos nos últimos 4 anos: 88% ainda autenticam. Centenas dão controle TOTAL da conta da empresa — e a idade média das chaves é de 5 anos. Não foi invasão: foi esquecimento. O que a sua empresa precisa checar ainda hoje.
LER ARTIGO
CVSS 10 no login da Microsoft: a falha máxima no serviço que guarda as senhas da sua empresa
O Entra ID — o porteiro que valida todo login do Microsoft 365 — teve uma falha com a nota máxima de gravidade: execução de código sem precisar de senha. A Microsoft corrigiu na nuvem antes que você precisasse fazer qualquer coisa. E ainda sobrou uma lição sobre comunicação de incidentes: o alerta de 'explorada em ataques' que a própria Microsoft despublicou horas depois.
LER ARTIGO
IA que caça falhas e falha que a IA achou: os dois lados do muro na segurança
A OpenAI lançou uma IA que encontra vulnerabilidades
LER ARTIGO