Sistemas de IA sob ataque: exploração do Gemini no Chrome, lacunas de DLP no Copilot e aumento de ataques à nuvem sob a NIS2

Uma vulnerabilidade crítica do Gemini AI no Chrome expõe lacunas na Lei de IA da UE, as próximas mudanças de DLP do Microsoft Copilot levantam sinais de alerta GDPR, os padrões de ataque do Google Cloud mudam para a exploração de software com implicações NIS2 e os sequestros de mensagens patrocinados pelo estado russo exigem relatórios imediatos de incidentes sob estruturas europeias.

🔴 CVE-2026-0628: Vulnerabilidade do Gemini AI Chrome e implicações da Lei de IA da UE

Esta vulnerabilidade atinge o cerne de uma crescente preocupação regulatória: Os sistemas de IA incorporados em produtos de consumo estão se tornando vetores de ataque. De acordo com a Lei de IA da UE, que entrou na sua fase de aplicação em fevereiro 2025, os fornecedores de sistemas de IA têm responsabilidade explícita pela segurança durante todo o ciclo de vida do produto.

Impacto do Marco Regulatório

☁️ Mudança de ataque ao Google Cloud: falhas de software ultrapassam as credenciais como vetor principal

Uma nova pesquisa revela uma mudança fundamental na forma como os invasores comprometem os ambientes do Google Cloud: a exploração de vulnerabilidades de software ultrapassou credenciais fracas como o vetor de acesso inicial primário. Este desenvolvimento tem implicações significativas para os programas de gerenciamento de vulnerabilidades exigidos pelo NIS2.

Durante anos, a segurança na nuvem se concentrou no gerenciamento de identidade e acesso – senhas fortes, MFA, privilégio mínimo. Embora estes continuem a ser essenciais, a superfície de ataque mudou. Os atores de ameaças agora têm como alvo principal componentes de software não corrigidos, APIs mal configuradas e integrações vulneráveis ​​de terceiros em cargas de trabalho na nuvem.

Obrigações de gerenciamento de vulnerabilidades NIS2

De acordo com o Artigo NIS2 21, entidades essenciais e importantes devem implementar "tratamento e divulgação de vulnerabilidades" como uma medida central de gestão de riscos de segurança cibernética. Esta tendência de ataque à nuvem torna o requisito mais crítico do que nunca:

• Verificação contínua de vulnerabilidades — NIS2 requer identificação proativa, não apenas correção reativa
• Priorização baseada em risco — As pontuações CVSS por si só são insuficientes; a disponibilidade de exploração e a criticidade dos ativos devem levar em consideração
• Cronogramas de gerenciamento de patches — Vulnerabilidades críticas em serviços em nuvem voltados para a Internet exigem correção rápida
• Rastreamento de componentes de terceiros — SBOMs (listas de materiais de software) estão se tornando uma ferramenta de conformidade de fato NIS2

🤖 Mudanças no Microsoft Copilot DLP: GDPR Proteção de dados sob pressão

A Microsoft anunciou as próximas mudanças nos controles de Prevenção contra Perda de Dados (DLP) para Copilot, agendadas para abril 2026. As mudanças alterarão a forma como o Copilot interage com arquivos rotulados como confidenciais ou restritos – e os responsáveis ​​pela conformidade devem tomar conhecimento agora.

A preocupação central: Assistentes de IA com amplo acesso a arquivos podem revelar, resumir ou transmitir inadvertidamente dados pessoais de maneiras que prejudicam as políticas DLP existentes. Se o Copilot puder ler um documento confidencial de RH e incluir seu conteúdo em um resumo da reunião, o processamento de dados poderá exceder a base legal original sob GDPR.

Principais implicações de GDPR

• Limitação de finalidade (Art. 5(1)(b)): Os dados recolhidos para uma finalidade poderão ser tratados pela Copilot para finalidades incompatíveis
• Minimização de dados (Art. 5(1)(c)): Os assistentes de IA processam inerentemente mais dados do que o necessário para tarefas específicas
• Base legal (Art. 6): O processamento automatizado de dados de funcionários ou clientes por IA pode exigir uma reavaliação dos fundamentos legais
• Obrigação de DPIA (Art. 35): O processamento de dados confidenciais em grande escala por IA provavelmente desencadeia avaliações de impacto obrigatórias na proteção de dados

🕵️ Sequestro de sinal e WhatsApp patrocinado pelo Estado russo: relatório de incidente NIS2 acionado

O serviço de inteligência AIVD do governo holandês emitiu um alerta formal sobre atores patrocinados pelo Estado russo que sequestram contas de Signal e WhatsApp de funcionários do governo e pessoal de infraestrutura crítica. A campanha usa recursos de vinculação de dispositivos para espelhar silenciosamente conversas criptografadas.

Esta não é apenas uma preocupação de inteligência – tem consequências regulatórias diretas sob vários quadros europeus.

Obrigações de relatórios regulatórios

Ações Imediatas

• Audite todos os dispositivos vinculados no Signal e WhatsApp para contas organizacionais
• Implementar políticas de gerenciamento de dispositivos móveis (MDM) que restrinjam a vinculação de dispositivos
• Inclua o comprometimento da plataforma de mensagens em seus manuais de resposta a incidentes NIS2
• Treinar pessoal para reconhecer táticas de engenharia social usadas para iniciar a vinculação de dispositivos

🎣 Extensões falsas e de phishing do Microsoft Teams: segurança da cadeia de suprimentos sob DORA e EU AI Act

Duas ameaças simultâneas destacam a expansão da superfície de ataque de ferramentas de colaboração e software de marca AI:

Campanhas de phishing do Microsoft Teams estão implantando o malware A0Backdoor, visando principalmente serviços financeiros e organizações de saúde – setores diretamente regulados por DORA e NIS2, respectivamente.

Extensões falsas de navegador de IA disfarçadas de ferramentas legítimas de IA estão roubando credenciais, dados de navegação e tokens de sessão. Essas extensões exploram a confiança do consumidor na marca de IA para distribuir malware por meio de lojas oficiais de extensões de navegador.

Intersecção Regulatória

• DORA (Art. 9 — Proteção e prevenção): As entidades financeiras devem implementar mecanismos para “detectar prontamente atividades anômalas” – a entrega de malware baseado em equipes deve ser abordada nas políticas de segurança de TIC
• Lei da UE sobre IA (Art. 5 — Práticas proibidas): Embora não sejam diretamente proibidas, ferramentas de IA falsas que induzem os usuários a instalar malware podem ser abrangidas por práticas enganosas de IA
• Cadeia de abastecimento da Lei da IA ​​da UE: As organizações que integram ferramentas de IA de terceiros devem verificar a sua proveniência – uma extensão falsa que se faz passar por um assistente de IA representa um comprometimento da cadeia de abastecimento
• NIS2 (Art. 21 — Segurança da cadeia de abastecimento): As extensões de navegador usadas em ambientes empresariais fazem parte da cadeia de fornecimento digital e devem ser avaliadas quanto ao risco

🎯 Conclusões práticas para diretores de conformidade

1. Corrija CVE-2026-0628 imediatamente — Atualize o Chrome e audite as extensões do navegador; documento nos registros de gerenciamento de risco da Lei AI da UE
2. Reavalie o gerenciamento de vulnerabilidades na nuvem — A mudança para a exploração de falhas de software significa que os programas de tratamento de vulnerabilidades NIS2 devem evoluir além dos controles focados em credenciais
3. Prepare-se para as alterações do Copilot DLP — Realizar ou atualizar DPIA antes de abril; revise rótulos de sensibilidade e escopos de acesso de IA em GDPR
4. Atualizar resposta a incidentes para sequestros de mensagens — O comprometimento do Signal/WhatsApp patrocinado pelo estado é um incidente reportável pelo NIS2; garantir capacidade de alerta antecipado de 24 horas
5. Fortaleça as cadeias de fornecimento de ferramentas de colaboração — O phishing das equipes e as extensões falsas de IA exigem mecanismos de detecção compatíveis com DORA e verificação da cadeia de suprimentos da Lei de IA da UE