notas curtas e práticas sobre não cair em phishing. sem alarmismo, só a checklist.
Cerca de metade das pessoas que encontram um pendrive o conecta e abre arquivos: um experimento de campo mediu 48 por cento. Um olhar sobre a história do golpe, o estudo por trás dos números, o hardware de isca moderno e as regras que realmente ajudam.
Extensões de navegador listadas em lojas oficiais funcionaram repetidamente como ladrões de credenciais e cookies. Um olhar sobre campanhas documentadas, a lacuna de revisão que permite que pacotes aprovados mudem de comportamento e uma rotina prática de defesa.
Registros roubados raramente vão direto do vazamento até a ferramenta que os explora. Corretores, agregadores, enriquecedores e reempacotadores mantêm o material circulando, e cada elo dessa cadeia tem um ponto em que os defensores podem quebrá-la.
Redes ALPR permitem que uma única consulta alcance dezenas de milhares de câmeras, e carros conectados enviam dados de posição a corretores de dados. Ações da FTC, logs de auditoria vazados e casos documentados de perseguição mostram por que a localização do veículo deve ser tratada como permanentemente comprometida.
O Google entrou com ação legal contra os servidores de comando e controle do x.cpe, um backdoor de firmware que a TrendAI contabilizou em 1.472.554 dispositivos Android de 206 modelos. Segundo o Google, a fabricante de Shenzhen Videostrong criou e vendeu acesso ao botnet, e a empresa foi banida de hardware Android certificado.
Recrutadores falsos no LinkedIn e sites de entrevista falsos transformam candidaturas em infecções por malware. Um panorama das campanhas documentadas — Operation DreamJob, Contagious Interview, Graphalgo —, seus sinais de alerta e o que verificar antes de executar qualquer teste de código.
A Cisco Talos documentou um infostealer para Windows que envia os dados roubados de cada vítima a modelos do OpenRouter e pede uma avaliação classificada de quanto a pessoa vale e de quão boa é a sua opsec. A amostra é distribuída como um build por cliente, sem infraestrutura própria do atacante.
Kits adversary-in-the-middle retransmitem em tempo real códigos de uso único e cookies de sessão, mas uma passkey está vinculada ao único domínio que a emitiu, então o proxy não tem nada para retransmitir. Por que o mecanismo se sustenta, onde ainda falha e como está a adoção.
Coordenadas GPS EXIF, strings de produtor de PDF e campos de autor do Word já encerraram mais carreiras pseudônimas do que qualquer exploit. Um olhar sobre os casos documentados — e sobre o que realmente remove metadados e o que apenas aparenta.
A criptografia de ponta a ponta protege o conteúdo, mas a entrega deixa rastros: tempos de conexão, endereços IP e identificadores. Um olhar sóbrio sobre o que Signal, SimpleX, Session e XMPP federado realmente veem — e onde as divulgações publicadas sustentam as afirmações.
Hotspots falsos com nomes como "Airport_Free_WiFi" e portais cativos imitados continuam a ser um risco real de viagem. Os processos australianos por Wi-Fi evil twin em aeroportos e voos domésticos mostram o que o golpe colhe, o que o HTTPS impede e o que não impede.
O phishing de código de dispositivo induz as vítimas a digitar o código do invasor em uma página de login legítima e aprovar o acesso elas mesmas, entregando uma sessão válida sem senha. Como a técnica contorna totalmente a MFA, os sinais de alerta e as defesas que funcionam.
