notas curtas e práticas sobre não cair em phishing. sem alarmismo, só a checklist.
Quem tem uma senha válida pode inundar um telefone de pedidos de aprovação até alguém tocar em aprovar. Como funciona o MFA fatigue, o que os casos da Uber e da Cisco mostraram, e por que o number matching e as chaves de hardware mudam o resultado.
Kits de phishing AiTM e logs de infostealers negociam cada vez mais sessões autenticadas em vez de senhas: um cookie de sessão roubado já passou pelo muro da MFA. Um olhar sobre como o sequestro de sessão funciona e quais defesas realmente seguram.
Uma referência prática ao vocabulário dos mercados da darknet: o que exit scam, rug pull, vendor bond, finalize early, FUD, mirror, canary e OPSEC realmente nomeiam, e por que cada termo foi criado.
A equipe GReAT da Kaspersky liga o bootkit UEFI BlackX à APT41 e a uma campanha de espionagem contra organizações diplomáticas na Ásia Central. Ele explora o bypass do Secure Boot batizado de Baton Drop (CVE-2022-21894), que continua explorável quando a etapa manual de revogação foi pulada.
No início de setembro de 2026, o FBI abriu um inquérito sobre o Nexus, um serviço da darknet que vendia cópias digitais de mais de 153 milhões de cartas de condução dos EUA e do Canadá, aparentemente retiradas da empresa de verificação de identidade IDScan.net. O caso mostra porque os dados KYC são a mercadoria mais duradoura do comércio de dados na darknet, e o que fazer se a sua cópia estiver num vazamento.
O Citizen Lab relata que bastou exibir um anúncio segmentado para infectar os dispositivos de funcionários com spyware mercenário encomendado pela empresa israelense de ad tech Discover-Tech. As principais plataformas de anúncios e órgãos do setor cortaram o acesso da empresa desde então.
Com tokens de GitHub vazados de contas de desenvolvedores, atacantes publicaram em 21 de outubro de 2026 uma carga que rouba credenciais como litellm v1.107.0 no PyPI e no Docker Hub — o segundo comprometimento do pipeline do projeto em 2026, após o backdoor da TeamPCP em março. Chaves de nuvem, segredos de Kubernetes e chaves de API de IA estavam entre os dados visados.
A Ledger confirmou que dispositivos vendidos pelo revendedor do Sudeste Asiático CryptoBilis continham um implante de hardware escondido atrás da tela, capturando a frase de recuperação de 24 palavras durante a configuração e transmitindo as chaves por rede móvel. Segundo a Bitquery, sem confirmação da Ledger, as perdas suspeitas somam 93,2 milhões de dólares em 315 carteiras e seis redes; a Tether congelou cerca de 10 milhões em USDT.
O PHP publicou hoje lançamentos fora do calendário para dois bugs críticos de use-after-free que permitem execução remota de código sem autenticação. Sites com PHP - especialmente serviços onion - devem atualizar e reiniciar todos os workers agora.
A empresa de análise de blockchain afirma que um ator externo usou “offensive agentic techniques” movidas por IA para acessar sistemas e ferramentas internas, expondo IDs de usuários, nomes e endereços de e-mail. Segundo a companhia, conteúdo de investigações e credenciais não foram acessados.
Um script malicioso injetado por meio de um fornecedor terceiro comprometido atingiu o frontend da Polymarket e drenou, segundo o monitoramento da Bubblemaps, cerca de 2,7 milhões de dólares de aproximadamente 700 usuários. As negociações já foram retomadas, a empresa promete reembolso integral e é o segundo comprometimento de origem externa na plataforma em 2026.
A inteligência eslovaca desmontou um radar NERO R-ONE financiado pela UE e encontrou dentro um CORDON PRO.M russo remarcado, com dois modems e uma backdoor escondida acionada por SMS ligada a doze números de telefone russos.
