VKSECURITY vazamento de dados
24 artigos
58 mil câmeras de São Paulo a uma senha de distância: o vazamento do Smart Sampa e a falta que faz a segunda etapa de login
Logins e senhas do Smart Sampa, o sistema de videomonitoramento da Prefeitura de São Paulo, ficaram cerca de 11 meses num repositório público na internet. Com eles, a reportagem do UOL entrou na plataforma sem passar por autenticação em duas etapas e viu câmeras de ruas, creches e hospitais. A prefeitura culpa um servidor e nega falha; a segunda etapa de login só veio depois.
LER ARTIGO
Vazamento de dados custa em média R$ 7,44 milhões no Brasil, recorde da série — e na saúde a conta passa de R$ 12 milhões
O recorte brasileiro do relatório Cost of a Data Breach, da IBM, divulgado em 15 de outubro, aponta custo médio recorde de R$ 7,44 milhões por incidente, 3,5% acima do ano anterior. Phishing e ataques pela cadeia de fornecedores lideram as portas de entrada, e quem usa IA e automação na defesa gasta cerca de 30% menos.
LER ARTIGO
Burger King do Japão confirma vazamento de 11,18 milhões de cadastros do aplicativo — e o cartão escapou porque nunca foi guardado
A BK Japan, que opera o Burger King no Japão, informou que um invasor levou dados de cerca de 11,18 milhões de registros de membros do aplicativo, entre nome, telefone, data de nascimento e histórico de pedidos. Números de cartão ficaram de fora por um motivo simples: a empresa não os armazena.
LER ARTIGO
AT&T vai pagar US$ 177 milhões por dois vazamentos — e cada cliente deve receber entre US$ 7 e US$ 40
Um juiz federal do Texas deu aprovação final ao acordo de US$ 177 milhões que encerra as ações coletivas sobre os dois vazamentos que a AT&T reconheceu em 2024 — um com dados cadastrais de dezenas de milhões de clientes, outro com registros de chamadas e mensagens. A conta é alta para a empresa e baixa para cada pessoa: a estimativa é de US$ 7 a US$ 40 por cliente.
LER ARTIGO
Japão em alerta: onda de invasões expõe dados de milhões, e bancos são orientados a não aceitar só a carteira de motorista
Lojas de conveniência, corretora, ferrovia, aluguel de carros e uma nuvem usada por 495 empresas e governos locais: em poucas semanas, o Japão acumulou ataques suficientes para o governo emitir um alerta nacional. Com imagens de documentos circulando, o regulador financeiro pediu que bancos aceitem só identidades com chip.
LER ARTIGO
Corretora Brasil Bitcoin apura suposto vazamento de 657 mil clientes; anúncio inclui CPF e histórico de transferências
Um criminoso anunciou em fórum clandestino dados que diz ter extraído da corretora Brasil Bitcoin: 657.547 registros com nome, CPF, contatos e movimentações. A empresa afirma que investiga, que não houve acesso a fundos nem a senhas e que comunicará a ANPD se o material for confirmado. Mesmo sem senha, um vazamento assim é matéria-prima de golpe.
LER ARTIGO
Chave do VirusTotal à venda por US$ 350: o que um comprador enxergaria dos arquivos que a sua empresa já mandou analisar
Um anúncio em fórum criminoso, flagrado em 7 de outubro, oferece uma chave de API 'Enterprise' do VirusTotal por US$ 350. A venda não foi confirmada e não indica invasão ao serviço do Google — mas lembra um detalhe que muita empresa esquece: o conteúdo dos arquivos enviados ao VirusTotal pode ser acessado por clientes pagantes.
LER ARTIGO
Bancos da Coreia do Sul invadidos com ajuda de IA: CrowdStrike acha o 'diário' do atacante nas sessões do Claude Code
O presidente sul-coreano disse haver sinais de inteligência artificial nos ataques que expuseram dados de clientes de ao menos nove bancos. A CrowdStrike encontrou as ferramentas: um agente de invasão chinês, o DeepSeek e o Claude Code — e os registros das sessões, deixados abertos pelo próprio atacante.
LER ARTIGO
Dados de clientes do Goldman Sachs vazaram pela EY — e estavam anexados a chamados de suporte de TI
O Goldman Sachs não foi invadido, mas dados de clientes do banco saíram de uma plataforma de chamados de TI usada pela EY, que presta serviços fiscais a instituições financeiras. Documentos anexados a tickets de suporte foram baixados entre março e abril; a confirmação de que clientes do banco estavam entre os afetados só veio a público em outubro.
LER ARTIGO
Dinamarca: invasores usaram o acesso legítimo de uma empresa para copiar nome, endereço e número de identidade de 8,8 milhões de pessoas
O registro central de pessoas da Dinamarca, o CPR — parecido com o nosso CPF —, teve nome, endereço e número de identidade de 8,8 milhões de registros acessados ao longo de setembro. Ninguém arrombou o sistema: os invasores usaram a autorização de consulta de uma empresa privada. A ministra responsável chamou o caso de 'profundamente grave'.
LER ARTIGO
Lupo confirma invasão ao sistema de pedidos: nome, CPF e endereço de quem comprou entre 2020 e 2023 podem ter sido acessados
A fabricante de meias e roupas íntimas informou que invasores acessaram, entre 18 e 23 de setembro, o sistema que gerencia os pedidos da empresa. Dados de compras feitas de 2020 a 2023 — nome, CPF, telefone, endereço e detalhes do pedido — podem ter sido vistos. O risco agora é o golpe que já chega sabendo o que você comprou.
LER ARTIGO
Suspeito do ShinyHunters é detido na Jordânia e estaria ajudando o FBI a localizar o resto do grupo
Segundo a Reuters, um membro do ShinyHunters conhecido como Rey foi detido na Jordânia em 29 de setembro e está cooperando com o FBI — o mesmo grupo que diz ter roubado dados de todos os funcionários da agência e que, semanas atrás, voltou a invadir sistemas de RH e folha pelo Oracle PeopleSoft.
LER ARTIGO
Invasão a emissor de notas fiscais na Polônia expõe cadastros, contas bancárias e documentos de centenas de milhares de empresas
A Fakturownia, plataforma de emissão de faturas usada por centenas de milhares de empresas polonesas, confirmou que um invasor copiou grande parte do banco de dados: dados de contas, clientes, contas bancárias, pagamentos e parte dos documentos. O sistema fiscal nacional não foi atingido. O risco agora é o golpe da conta bancária trocada.
LER ARTIGO
Polícia derruba o ransomware KillSec, recolhe 110 terabytes de dados roubados e descobre que o líder tem 16 anos
A Operação KillSwitch, liderada pela polícia de Hamburgo com Europol e Eurojust, tirou do ar o site de vazamentos do KillSec, assumiu cinco servidores e prendeu três suspeitos. O grupo é ligado a cerca de mil ataques desde 2024. O suposto administrador é um adolescente de 16 anos.
LER ARTIGO
Falha em compartilhamento de arquivos expôs por nove meses os dados de pessoal de 3 milhões de militares dos EUA
O centro que guarda os cadastros de pessoal do Departamento de Defesa dos EUA começou a avisar mais de 3 milhões de pessoas: uma falha em um sistema de compartilhamento de arquivos deixou números de seguridade social, datas de nascimento e dados funcionais acessíveis — sem criptografia — de outubro de 2025 a julho de 2026.
LER ARTIGO
Sistema de RH e folha na mira: ataques ao Oracle PeopleSoft driblam o firewall trocando uma letra
O Google e a Mandiant descrevem uma nova onda de invasões ao Oracle PeopleSoft — o sistema que guarda cadastro de funcionários, folha e registros acadêmicos em grandes organizações. A falha foi corrigida em junho; o grupo voltou a explorá-la codificando uma única letra do endereço para passar pelo firewall de aplicação.
LER ARTIGO
Vazaram 23,6 milhões de contas de um serviço de capturas de tela — inclusive os tokens de login
Uma ferramenta de captura de tela usada informalmente em milhares de empresas teve 23,6 milhões de registros de usuários expostos: e-mails, senhas embaralhadas, tokens de integração e identificadores de sessão de login. Junto vieram 490 milhões de registros de metadados de imagens, com endereço de IP e localização.
LER ARTIGO
Revolut entregou passaporte e extrato de clientes a um e-mail que parecia do governo
Ninguém invadiu a Revolut. Criminosos apenas pediram os dados por e-mail, usando um domínio de órgão público com autenticação válida, e a fintech atendeu. Saíram cópias de passaporte, selfies de verificação e o histórico completo de transações. O caso é um roteiro do que toda empresa deveria revisar no seu processo de atender pedidos de autoridade.
LER ARTIGO
153 milhões de documentos de identidade à venda: o vazamento de quem foi contratado para conferir identidades
Um serviço na dark web vende scans de 153 milhões de carteiras de motorista, frente e verso, com imagens em infravermelho e ultravioleta, capturados por mais de um ano. A origem apontada: uma empresa contratada por lojas, locadoras e hotéis para verificar identidade. A lição vale para toda empresa brasileira que pede foto do RG e selfie — e guarda.
LER ARTIGO
Uso indevido de recursos da empresa: os sinais que aparecem antes do incidente
A maior parte dos vazamentos não começa com um hacker — começa com um funcionário resolvendo um problema do jeito mais fácil: o pen drive, a nuvem pessoal, a extensão de IA, o programa pirata. O relatório mais respeitado do setor mostra que 'conveniência' é o motivo número um. E ela deixa rastros que dá para ver a tempo.
LER ARTIGO
A porta não foi arrombada, foi aberta: como uma ligação roubou 284 milhões de registros médicos
Nenhum firewall foi vencido. Criminosos ligaram para funcionários se passando por suporte de TI, convenceram alguém a liberar o acesso ao login único da empresa e, por essa porta, baixaram até 284 milhões de registros de pacientes. O elo mais frágil atendeu o telefone.
LER ARTIGO
A extorsão automatizada: o ransomware que usa IA para ler os dados roubados e calcular quanto te cobrar
Um grupo de ransomware anuncia uma IA que vasculha tudo o que roubou da sua empresa — separa contrato, dado financeiro, informação pessoal — estima a multa de LGPD que você levaria e usa isso para decidir o valor do resgate. Parte é marketing de bandido; parte já é a nova realidade.
LER ARTIGO
Shell investiga roubo de 89 GB: a gangue que diz ter invadido dezenas de multinacionais por um único sistema
O grupo Cl0p colocou a Shell na sua vitrine de extorsão e afirma ter levado 89 GB — desenhos de engenharia, fotos de instalações e roadmaps. A porta de entrada da campanha, que teria atingido cerca de 50 empresas como Philips e GE, foi uma falha no ERP da Oracle. O que isso ensina a qualquer empresa que roda um sistema de gestão.
LER ARTIGO
Shadow AI: 93% das empresas flagram uso arriscado de IA todo mês — sem nenhum hacker envolvido
Não foi invasão: foi um funcionário colando dados de cliente no ChatGPT para trabalhar mais rápido. O novo relatório da Check Point mostra que o vazamento pela porta da frente virou rotina — e o que sua empresa precisa fazer antes que um prompt vire incidente de LGPD.
LER ARTIGO