🛡️ Boletim Diário de Segurança
2026-03-16 · Segunda-feira · compilado às 04:00 CET
💥 Vazamentos de dados & Incidentes
Vazamento de dados da Loblaw expõe informações de clientes
A gigante canadense do varejo Loblaw confirmou um vazamento de dados expondo nomes, endereços de e-mail e números de telefone de clientes. Os atacantes acessaram informações pessoais através de sistemas comprometidos. A Loblaw é uma das maiores varejistas do Canadá, tornando esta uma exposição significativa de dados de consumidores.
Dados de funcionários do Starbucks comprometidos por phishing
O Starbucks divulgou um vazamento de dados afetando informações de funcionários, resultante de ataques de phishing direcionados a um portal interno de funcionários. Centenas de funcionários impactados. Demonstra a eficácia contínua do phishing direcionado contra sistemas de RH corporativos.
SDK Web da AppsFlyer sequestrado para roubo de criptomoedas
O SDK Web da AppsFlyer foi temporariamente sequestrado com código JavaScript malicioso projetado para roubar criptomoedas — um ataque à cadeia de suprimentos visando sites downstream que incorporam o SDK. O payload malicioso esteve ativo antes de ser detectado e removido.
🔴 Vulnerabilidades críticas & Zero-Days
Chrome 146: dois zero-days ativamente explorados corrigidos
O Google lançou uma atualização do Chrome 146 corrigindo duas vulnerabilidades zero-day afetando Skia (gráficos) e V8 (motor JavaScript) que estavam sendo ativamente exploradas. As falhas permitem manipulação de dados, bypass de restrições de segurança e potencialmente execução remota de código. Atualização imediata necessária.
HPE AOS-CX: redefinição de senha admin sem autenticação
Uma vulnerabilidade crítica em switches de rede HPE Aruba AOS-CX permite que atacantes remotos não autenticados redefinam senhas de administrador, contornando completamente os controles de autenticação. Qualquer organização usando switches HPE AOS-CX deve aplicar a correção imediatamente.
Windows 11 RRAS RCE — Hotpatch de emergência lançado
A Microsoft emitiu uma atualização de emergência fora de banda para dispositivos Windows 11 Enterprise usando atualizações hotpatch para corrigir uma vulnerabilidade de execução remota de código no serviço RRAS (Routing and Remote Access Service). O ciclo normal do Patch Tuesday foi contornado devido à gravidade.
Apple corrige exploits Coruna em iOS legado
A Apple lançou iOS/iPadOS 16.7.15 e 15.8.7 para corrigir vulnerabilidades conhecidas como «exploits Coruna» — vinculadas a uma empreiteira de defesa dos EUA. Afetam dispositivos legados ainda amplamente utilizados, particularmente em contextos empresariais e governamentais.
🎯 Campanhas de ameaças ativas
APT chinês CL-STA-1087 ataca forças armadas do sudeste asiático
O Palo Alto Unit 42 expôs uma campanha apoiada pelo estado chinês (CL-STA-1087) que ataca organizações militares do sudeste asiático desde 2020 usando as famílias de malware «AppleChris» e «MemFun». A operação focou no roubo de documentos militares classificados sobre colaboração ocidental e estruturas organizacionais — não em roubo massivo de dados.
Hackers ligados ao Irã atacam Stryker e interrompem produção
Um ator de ameaças ligado ao Irã atacou a fabricante de dispositivos médicos Stryker, interrompendo operações de fabricação e envio. Notavelmente, os atacantes usaram software de gerenciamento de endpoints existente (não malware tradicional) para apagar dispositivos — uma técnica sofisticada de living-off-the-land.
Hackers pró-iranianos expandem alvos para infraestrutura dos EUA
Hackers ligados ao Irã estão ampliando seu escopo de alvos no Oriente Médio para infraestrutura crítica dos EUA, incluindo empreiteiras de defesa, usinas de energia e estações de tratamento de água. A escalada coincide com o conflito regional em curso.
Storm-2561: clientes VPN trojanizados via envenenamento de SEO
A Microsoft divulgou a campanha Storm-2561 distribuindo clientes VPN trojanizados por envenenamento de SEO. Usuários buscando software VPN empresarial legítimo são redirecionados para downloads maliciosos contendo trojans assinados digitalmente que roubam credenciais.
GlassWorm: 72 extensões maliciosas do VS Code no Open VSX
Uma nova iteração da campanha GlassWorm abusa de extensionPack e extensionDependencies no registro Open VSX para criar cadeias de infecção transitivas através de 72 extensões do VS Code aparentemente legítimas. Desenvolvedores são os alvos principais — um vetor de ataque crescente contra a cadeia de suprimentos de software.
⚖️ Operações policiais
INTERPOL: 45.000 IPs maliciosos apreendidos, 94 presos
A INTERPOL coordenou um desmantelamento massivo em 72 países, eliminando 45.000 endereços IP e servidores maliciosos usados para phishing, malware e ransomware. 94 prisões realizadas, 110 mais sob investigação. Somente Bangladesh prendeu 40 suspeitos. 212 dispositivos e servidores apreendidos.
Botnet proxy SocksEscort desmantelado — 369.000 IPs
Autoridades americanas e europeias desmantelaram o SocksEscort, um serviço proxy criminoso que escravizou 369.000 roteadores residenciais em 163 países usando o botnet AVrecon desde 2020. O serviço vendia acesso a roteadores domésticos infectados para operações de fraude, com aproximadamente 8.000 dispositivos ativamente comprometidos em fevereiro de 2026.
🛠️ Ferramentas de segurança & Indústria
Betterleaks: novo scanner de segredos para substituir o Gitleaks
Uma nova ferramenta open source chamada Betterleaks analisa diretórios, arquivos e repositórios git para identificar segredos válidos usando regras personalizáveis. Posicionada como substituta moderna do popular scanner Gitleaks.
Bold Security: US$ 40M para proteção de dispositivos com IA
A Bold Security saiu do modo stealth com US$ 40 milhões em financiamento. A startup usa IA para transformar dispositivos em agentes de segurança ativos que compreendem o comportamento do usuário e fornecem proteção em tempo real. Sinaliza forte apetite dos investidores por segurança de endpoints baseada em IA.
Onyx Security: US$ 40M para supervisão autônoma de agentes IA
A Onyx Security foi lançada com US$ 40 milhões para construir um plano de controle para supervisionar agentes IA autônomos em ambientes empresariais. Duas rodadas de US$ 40M em uma semana focadas em segurança IA — confirma o mercado no qual o KENSAI está se posicionando.
Google pagou US$ 17M em Bug Bounties em 2025
O Google revelou que pagou mais de US$ 17 milhões em recompensas bug bounty em 2025, incluindo US$ 3,7M por vulnerabilidades do Chrome e US$ 3,5M por defeitos de segurança na nuvem. Demonstra a escala da descoberta de vulnerabilidades em grandes plataformas.
Meta encerra criptografia E2E das mensagens do Instagram — maio de 2026
A Meta anunciou que descontinuará a criptografia de ponta a ponta para mensagens diretas do Instagram após 8 de maio de 2026. Os usuários precisarão baixar suas mensagens criptografadas antes da data limite. Uma regressão significativa de privacidade afetando milhões de usuários.