Resumo

• O Google liberou um update de segurança com 42 correções para o Chrome, incluindo dispositivos com Windows, macOS, Linux, Android e iOS.
• Três dessas falhas são classificadas como críticas e envolvem problemas de memória que abrem portas para a execução de códigos maliciosos.
• A recomendação é forçar a atualização manualmente pelo menu “Sobre o Google Chrome”.

O Google corrigiu 42 vulnerabilidades no Chrome, três delas classificadas como críticas. Segundo a empresa, nenhuma delas foi explorada em ataques cibernéticos até o momento. Do total, 26 falhas foram identificadas internamente, enquanto as outras 16 foram encontradas por pesquisadores externos.

Para evitar que invasores explorem as brechas, o Google já disponibilizou uma atualização de segurança para Windows, macOS, Linux, Android e iOS.

Três falhas receberam classificação crítica

As compilações 153.0.8010.47 e 153.0.8010.48 do Chrome para Windows e macOS, bem como a 153.0.8010.47 para Linux e Android, trazem as soluções para as vulnerabilidades. Os usuários do iOS também recebem as proteções na versão 154.0.8037.41 do navegador.

Na prática, as três falhas mais graves poderiam permitir que um invasor escapasse do ambiente isolado do navegador, conhecido como sandbox, e passasse a agir diretamente no sistema operacional da vítima. Para explorar essas vulnerabilidades, bastaria induzir o usuário a acessar uma página web adulterada.

A atualização também corrige 28 falhas de alto risco, além de diversos problemas de gravidade média e baixa. Entre os ajustes estão correções de segurança no mecanismo JavaScript e no sistema de extensões do Chrome.

Como atualizar o Google Chrome?

O Chrome geralmente realiza o download dessas melhorias em segundo plano, mas o processo de distribuição é gradual. Para garantir a proteção imediata, uma opção é forçar o update manualmente:

1. Acesse o menu principal de três pontos;
2. Vá em “Ajuda”;
3. Clique em “Sobre o Google Chrome”.

Caso tenha dúvidas sobre o procedimento, o Tecnoblog tem um guia para atualizar o Google Chrome no Android, iPhone e PC. Já no Linux, a disponibilidade da atualização pode variar conforme a distribuição, como Fedora e Ubuntu. Nesses sistemas, o processo costuma ser gerenciado pelo instalador de pacotes, e não pelo menu interno do navegador.

Vale destacar que o Google passou a liberar uma nova versão do Chrome a cada duas semanas para reforçar a segurança e acelerar a chegada de melhorias aos usuários.

Google corrige três falhas críticas no navegador Chrome

Resumo

• A falha CoSnitch no Copilot da Microsoft permitia roubo silencioso de dados de contas conectadas com apenas um clique, segundo pesquisadores do Varonis Threat Labs.
• A brecha foi descoberta após analistas aplicarem técnicas de engenharia social no mecanismo de raciocínio da IA, fazendo com que o próprio sistema revelasse comandos internos que deveriam estar desativados.
• A correção oficial foi disponibilizada na versão web do Copilot.

Pesquisadores de cibersegurança descobriram uma falha crítica no Copilot que permitia roubar dados confidenciais e até manipular a memória do assistente a partir de um único link malicioso. A falha, batizada de CoSnitch, foi identificada pelo Varonis Threat Labs, que comunicou o problema à Microsoft em dezembro de 2025.

Para identificar o problema, os especialistas aplicaram técnicas de engenharia social no mecanismo de raciocínio da IA. Esse processo, chamado de “meta-hacking”, fez com que o próprio sistema revelasse comandos internos que deveriam estar desativados.

Não foram encontradas evidências de que a brecha tenha sido explorada por criminosos. Uma correção oficial foi disponibilizada na versão web do Copilot nesta terça-feira (18).

Como o Copilot foi manipulado?

Os analistas questionaram o assistente se seria possível rodar um comando sem apertar a tecla Enter. O Copilot respondeu inicialmente que essa ação era impossível. Em vez de encerrarem o teste, eles insistiram na conversa, reformulando cada justificativa do chatbot como uma nova pergunta sobre regras de segurança.

Durante a troca de mensagens, a ferramenta acabou descrevendo um recurso não documentado publicamente: o comando “autorun=1”. Embora afirmasse categoricamente que a função não funcionava, o Copilot mostrou as condições necessárias para aceitar a instrução. No fim, os especialistas comprovaram que a ação continuava rodando silenciosamente em segundo plano, deixando claro que o sistema havia sido manipulado para cooperar.

Falha permitia acessar contas conectadas

A exploração do problema dependia apenas de abrir um link malicioso. Como a maioria dos usuários já mantém o navegador conectado ao Copilot, a interface carregava a página e executava instruções indesejadas instantaneamente, sem exibir alertas ou pedir confirmações.

O assistente passava a operar sem alarde com as permissões já ativas, incluindo acesso a outros serviços, como Gmail e Google Drive. Segundo os pesquisadores, foi possível consultar e extrair senhas em texto simples guardadas em mensagens, ler compromissos da agenda e localizar documentos.

Um site malicioso podia reescrever a memória da IA

A brecha também permitia executar uma técnica conhecida como injeção indireta, capaz de contaminar a memória persistente do Copilot. Para isso, bastaria pedir para resumir uma página da web com instruções ocultas em código HTML para o assistente interpretar o texto “escondido” como uma ordem de sistema.

Nesse cenário, a IA entregava o resumo solicitado normalmente para a vítima, mas operava nos bastidores, gravando novas instruções de comportamento em seu armazenamento de longo prazo. Essa modificação continuaria moldando as respostas da IA indefinidamente, até que a pessoa entrasse nas configurações específicas de memória para apagar a regra manualmente.

Copilot “ensinou” pesquisadores a hackear o próprio sistema

Resumo

• A Zoom corrigiu uma vulnerabilidade crítica em sua plataforma que permitia a invasão silenciosa de dispositivos.
• A falha, descoberta pela empresa de cibersegurança A Security, exigia que a vítima estivesse em uma chamada de vídeo com o recurso de compartilhamento de tela ativado.
• A brecha foi explorada usando menos de 20 comandos de texto e permitia a execução remota de código, possibilitando ao invasor roubar dados sensíveis e instalar malwares.
• A Zoom já liberou uma atualização para corrigir a vulnerabilidade.

A Zoom solucionou nesta terça-feira (11) uma vulnerabilidade crítica que permitia a invasão silenciosa de celulares e computadores. Identificada pela empresa de cibersegurança A Security, a falha exigia apenas que a vítima estivesse em uma chamada de vídeo com o recurso de compartilhamento de tela ativado.

O caso acende um alerta pela facilidade da descoberta. Os pesquisadores utilizaram modelos públicos de inteligência artificial para explorar a falha do zero usando menos de 20 comandos de texto (os chamados prompts).

Como funcionava o ataque silencioso?

O problema estava escondido no protocolo que gerencia anotações em tempo real (aquele recurso que permite desenhar e fazer marcações na tela). Uma brecha abriu as portas para a execução remota de código.

Segundo os relatórios técnicos da A Security, um invasor presente na reunião, seja anfitrião ou convidado, podia injetar códigos maliciosos nos dispositivos de todos os outros participantes da sala. O grande perigo desse ataque, batizado de “Zoomsday”, é que ele operava no formato zero-click, ou seja, não exigia qualquer interação da vítima.

Ninguém precisava clicar em um link suspeito no chat, baixar um arquivo malicioso ou aceitar uma solicitação na tela. Com o controle do sistema, o cibercriminoso ganhava passe livre para roubar dados sensíveis, ligar a webcam e o microfone ou instalar malwares.

No ambiente corporativo, as consequências seriam desastrosas. Um hacker poderia roubar credenciais de um funcionário para entrar na rede da companhia, comprometendo servidores a partir de uma única videochamada.

Como a IA descobriu a falha?

O que mais assustou os especialistas foi a velocidade com que a IA encontrou e conseguiu explorar a brecha. A empresa de cibersegurança explicou que bastou um dia de trabalho. Eles direcionaram um agente de IA para vasculhar funções muitas vezes ignoradas no código do Zoom. Rapidamente, ele encontrou o erro e montou a invasão em tempo recorde.

Quais sistemas foram afetados e como se proteger?

A vulnerabilidade afetou o aplicativo do Zoom em todos os sistemas suportados: Windows, macOS, Linux, Android e iOS (iPhone). Como entrar em uma videoconferência envolve desde reuniões de trabalho a aulas online, milhões de usuários poderiam ter aparelhos expostos caso os detalhes da falha vazassem.

Felizmente, a brecha foi reportada de forma responsável aos desenvolvedores. A dona do serviço publicou um boletim de segurança detalhado, já implementou as correções necessárias nos servidores e liberou atualizações para os aplicativos.

Apesar de não haver registros de que o “Zoomsday” tenha sido explorado de forma maliciosa na internet, a recomendação unânime é atualizar o aplicativo imediatamente.

IA descobre falha no Zoom que permitia invadir PCs e celulares

Resumo

• A Kaspersky analisou 231 milhões de senhas vazadas na internet e descobriu que 48% delas podem ser decodificadas em menos de 1 minuto.
• Cerca de 60% levam menos de 1 hora para serem descobertas.
• Segundo a análise da empresa de cibersegurança, a capacidade de processamento das GPUs atuais facilita a descoberta por hackers.

Uma pesquisa feita pela Kaspersky descobriu que 48% das senhas já vazadas na internet podem ser descobertas por hackers em menos de um minuto. Além disso, a empresa de cibersegurança revelou outro dado que chama atenção: considerando um tempo maior para descobrir o código, de até uma hora, 60% das senhas usadas no mundo podem ser acessadas.

Segundo a análise, essa facilidade estaria relacionada à capacidade de processamento das placas de vídeo atuais, utilizadas por hackers para acelerar a quebra e decodificação de senhas.

Os resultados acendem um alerta importante de cibersegurança e reforçam a máxima: não dá mais para confiar apenas nas palavras-chave como recurso máximo de proteção para seus dados.

Para chegar nesses números, a Kaspersky analisou 231 milhões de códigos entre 2023 e 2026, e apenas 23% delas se mostraram seguras o suficiente, ou seja, dariam aos hackers um ano inteiro de trabalho para serem descobertas.

Placas de vídeo mais potentes aceleram quebra de senhas

O estudo atribui esse aumento na vulnerabilidade ao avanço das placas de vídeo usadas nos testes. Na edição anterior, publicada em 2024, a análise utilizava a GeForce RTX 4090, da Nvidia. Agora, os pesquisadores adotaram a RTX 5090, cuja capacidade de quebrar o algoritmo MD5 cresceu 34%, atingindo 220 bilhões de hashes por segundo.

Vale explicar que hash, no caso, é uma função matemática que transforma a sequência de carácteres formada pela sua senha em um novo padrão codificado. E, conforme explica um artigo da Avast, MD5 é o algoritmo que gera esses hashes no processo de criptografia. Ou seja: o processo reverso de leitura e compreensão dessas funções para chegar à sequência original ficou bem mais rápida com a placa mais recente.

Pode parecer algo simples de “resolver”: nem todo hacker teria acesso a uma GPU top de linha como essa, que sai a, pelo menos, R$ 21.999 no e-commerce nacional. Ainda assim, a Kaspersky reforça a facilidade com que se pode ter acesso a esse poder de processamento por meio de serviços na nuvem, com aluguel bem mais barato por um tempo curto de uso.

Na prática, isso reduz a barreira para ataques automatizados. Se menos de um minuto já seria suficiente para quebrar quase metade das senhas analisadas — e uma hora bastaria para atingir 60% delas —, não seria necessário investir diretamente em uma placa topo de linha para quebrar as senhas.

Outro ponto levantado foi o esforço feito durante um ataque: ao conseguir decodificar uma senha, alguns padrões utilizados pelo algoritmo MD5 podem se repetir em muitas outras, facilitando a vida do hacker que faz essas tentativas com um grande número de contas como alvo e até justificando o uso de um processamento tão poderoso de uma vez só.

Como proteger a minha senha?

Além do alerta em si, a Kaspersky explica quais fatores contribuem para a vulnerabilidade das senhas. Sequências criadas por humanos, por exemplo, são mais previsíveis e até mesmo aquelas feitas por meio de uma inteligência artificial generativa podem ser descobertas mais facilmente, já que é possível identificar traços humanos no processo criativo.

O fator mais determinante para dificultar a quebra na hora de decodificar foi o tamanho das senhas. Segundo a Kaspersky, 24 horas são suficientes para decifrar praticamente todas as sequências de oito caracteres, por exemplo.

Para reforçar a segurança das senhas, o estudo sugere:

1. usar um gerenciador que crie sequências aleatórias;
2. não anotar senhas em arquivos de texto;
3. evitar o salvamento automático em navegadores;
4. fazer atualizações periódicas automaticamente.

Esse último fator é, inclusive, determinante para uma segurança maior, chamado na pesquisa de “higiene digital”.

A principal dica, no entanto, é ativar recursos de autenticação em dois fatores, de preferência utilizando um aplicativo de autenticação como Google Authenticator, Authy e Yandex ID.

Apesar da possibilidade de fazer isso por códigos enviados via e-mail ou SMS, por exemplo, a dica é recorrer a esses apps, que geram sequências aleatórias e podem ficar disponíveis em todos os seus dispositivos.

Metade das senhas pode ser hackeada em 1 minuto, diz estudo

Resumo

• A Anthropic anunciou o modelo Claude Mythos Preview em 07/04.
• A empresa restringiu o acesso ao consórcio Project Glasswing. O motivo foi a capacidade do modelo de identificar vulnerabilidades e apoiar ciberataques.
• A Anthropic afirmou que o Mythos encontrou brechas nos maiores sistemas operacionais e navegadores.
• O consórcio inclui a Apple, o Google, a Amazon Web Services e a Cisco. O objetivo é reforçar tecnologias de cibersegurança antes de ampliar o acesso.

A Anthropic, empresa por trás do Claude, anunciou nesta terça-feira (07/04) seu novo modelo Mythos, que inicialmente está em beta e terá acesso restrito a um consórcio de empresas de tecnologia. O motivo, segundo seus desenvolvedores, é o alto poderio para identificar vulnerabilidades e contribuir para possíveis ciberataques.

O Mythos foi capaz de encontrar brechas de segurança “em todos os maiores sistemas operacionais e todos os maiores navegadores quando instruído por usuário a fazer isso”, segundo a companhia, o que acendeu um novo sinal de alerta no Vale do Silício.

A empresa limitou o acesso da nova ferramenta aos integrantes do chamado Project Glasswing, que inclui nomes como Apple, Google, Amazon Web Services, Cisco, entre outros. O objetivo é reforçar as tecnologias atuais de cibersegurança antes de oferecer a novidade em maior escala.

Vale lembrar que as ameaças virtuais envolvendo uso de inteligência artificial têm sido uma preocupação recorrente das big techs. Recentemente, a OpenAI divulgou um documento alertando sobre o crescente risco de segurança devido aos modelos de IA mais recente. Antes disso, a própria Anthropic já havia alertado sobre a situação em novembro de 2025.

Mythos é avançado demais para ser lançado

A posição da Anthropic chama atenção. A novidade vem em meio à crescente preocupação com o uso de IA em ciberataques, levantada pela própria empresa, além de outros players do mercado, como a OpenAI. Com o Project Glasswing, a ideia é reforçar as tecnologias de cibersegurança oferecidas para o público em diferentes plataformas.

O anúncio, inclusive, veio apenas após um vazamento de informações sobre o projeto, chamado internamente de “Capybara”. Segundo o The New York Times, foi a partir disso que a empresa decidiu pela divulgação da novidade, destacando o motivo por trás da cautela extrema. Até o momento, a Anthropic não revelou muitos detalhes de seu funcionamento, limitando a informação à restrição de uso pelas big techs.

Em novembro de 2025, a desenvolvedora da Claude AI registrou o primeiro ciberataque com uso de IA, demonstrando a capacidade da tecnologia de orquestrar toda a estratégia para derrubar sistemas de segurança online.

De acordo com levantamento feito pela empresa de cibersegurança CrowdStrike, o papel da inteligência artificial nesses ataques vai além: desde a detecção de vulnerabilidades até a automação dessas ações, passando também pela customização de golpes e mesmo na identificação dos melhores alvos a serem explorados. Por fora, vale ainda a preocupação com a capacidade de desenvolver novas técnicas graças ao aprendizado de máquina cada vez mais acelerado.

Alerta vai além do novo modelo da Anthropic

Enquanto a Anthropic anunciou a Claude Mythos como solução dentro do consórcio Project Glasswing, a OpenAI sugeriu um canal direto com desenvolvedores de tecnologia para levantar sugestões e facilitar o acesso aos serviços de Inteligência Artificial da empresa com esse objetivo, incluindo a disponibilização de créditos de IA para utilizar as ferramentas mais recentes do ChatGPT – algo que também foi anunciado pela dona da Claude.

A preocupação também não é uma novidade no segmento. A OpenAI também travou a chegada do GPT-2 ao mercado, ainda em 2019, alegando que seria perigoso entregar a tecnologia de IA generativa em meio às preocupações com desinformação e produção massiva de propaganda. A atualização do ChatGPT foi disponibilizada progressivamente até o final daquele ano.

Novo modelo do Claude é tão poderoso que será restrito até que o mundo se prepare

Resumo

• FCC proibiu a venda e importação de roteadores estrangeiros nos EUA, citando riscos à segurança nacional.
• Medida deve afetar a oferta de equipamentos, pois a maioria dos roteadores usados nos EUA é produzida no exterior.
• A regra considera “produto estrangeiro” qualquer dispositivo com etapas de produção fora dos EUA, impactando a disponibilidade dos dispositivos.

Uma nova decisão da Comissão Federal de Comunicações (FCC, na sigla em inglês) deve mudar o cenário do mercado de internet doméstica nos Estados Unidos. A agência, equivalente à Anatel no Brasil, determinou a proibição da venda e importação de roteadores fabricados fora do país, alegando riscos à segurança nacional.

A medida tem amplo alcance, já que a maioria dos equipamentos utilizados por consumidores americanos é produzida no exterior. Além disso, a regra pode ter reflexos indiretos para brasileiros que costumam viajar aos EUA e trazer roteadores na volta, já que a disponibilidade de modelos no país tende a ser reduzida.

Por que os roteadores foram alvo da restrição?

A decisão segue uma linha semelhante a ações recentes do governo americano envolvendo dispositivos eletrônicos. No ano passado, drones estrangeiros também passaram por restrições após serem classificados como potenciais ferramentas de vigilância.

Segundo o órgão regulador, roteadores produzidos fora dos Estados Unidos representam vulnerabilidades relevantes. A agência afirma que esses dispositivos “representam riscos inaceitáveis para a segurança nacional dos Estados Unidos ou para a segurança e proteção de cidadãos americanos”.

A justificativa inclui dois pontos principais: o risco de falhas na cadeia de suprimentos e possíveis brechas de cibersegurança. As autoridades avaliam que esses dispositivos poderiam ser explorados para comprometer infraestruturas críticas ou causar danos diretos a usuários.

O alerta ganhou força após a descoberta de ataques recentes envolvendo milhares de roteadores comprometidos por botnets. Modelos de marcas conhecidas, como Asus, Cisco, D-Link e Linksys, foram citados entre os alvos.

O que muda para consumidores e mercado?

A regra é abrangente porque considera como “produto estrangeiro” qualquer dispositivo que tenha etapas relevantes de produção fora dos EUA, incluindo fabricação, montagem, design ou desenvolvimento. Isso amplia significativamente o número de equipamentos afetados.

Na prática, empresas até podem tentar provar que seus produtos são seguros para obter exceções. Ainda assim, a tendência é que esse processo seja difícil de viabilizar no curto prazo.

Apesar da proibição, o uso de roteadores já adquiridos continua permitido. Ou seja, consumidores nos EUA não precisarão substituir imediatamente seus aparelhos atuais.

O impacto mais imediato deve ocorrer na oferta de novos dispositivos. Como a produção local ainda não atende à demanda, provedores de internet podem enfrentar dificuldades para fornecer equipamentos a novos clientes. Isso pode gerar atrasos ou limitar opções para quem pretende contratar ou trocar de serviço.

EUA proíbem venda de roteadores estrangeiros no país

Resumo

• Pesquisadores da Universidade de Viena identificaram 3,5 bilhões de números de telefone no WhatsApp devido a uma falha de segurança.
• O Brasil teve 206 milhões de contas expostas, com 61% das fotos de perfil visíveis.
• A Meta corrigiu a vulnerabilidade em outubro, após ser alertada em abril, mas minimizou a gravidade do vazamento.

Uma falha de segurança no sistema de descoberta de contatos do WhatsApp permitiu que um grupo de pesquisadores da Universidade de Viena compilasse um banco de dados com 3,5 bilhões de números de telefone cadastrados na plataforma.

A brecha, que explorava a facilidade do app em encontrar novos usuários, detectou números de telefone, fotos de perfil e recados de status de grande parcela de usuários do mundo todo. O Brasil, como um dos maiores mercados do mensageiro, teve 206 milhões de contas identificadas, sendo que 61% delas tinham foto de perfil visíveis para qualquer um.

A investigação também encontrou milhões de contas ativas em países onde o app é oficialmente banido, como a China (2,3 milhões) e Mianmar (1,6 milhão). Segundo a Wired, a preocupação dos pesquisadores é de que governos desses lugares poderiam utilizar a mesma técnica para identificar e perseguir cidadãos.

Como a lista foi criada?

Para gerar o banco de dados, os pesquisadores se aproveitaram do recurso do WhatsApp que informa instantaneamente se determinado número salvo na agenda tem uma conta no mensageiro. Eles automatizaram o processo, testando bilhões de combinações de números possíveis através da versão web do aplicativo.

Sem barreiras de velocidade, eles conseguiram verificar cerca de 100 milhões de números por hora. À Wired, os pesquisadores afirmaram que essa foi “a exposição mais extensa de números de telefone e dados de usuários já documentada”.

Parte dos usuários espera justamente mais segurança com dados com a chegada dos nomes de usuário ao WhatsApp. Entretanto, a Meta não divulgou, até o momento, se o uso de número de celular continuará sendo obrigatório no app.

Após a descoberta e a conclusão do trabalho, os pesquisadores deletaram a cópia dos dados e alertaram a Meta em abril. Seis meses depois, em outubro, a empresa corrigiu a vulnerabilidade, implementando limites mais rígidos.

Meta diz que dados já eram públicos

Em comunicado, a Meta agradeceu aos pesquisadores, que submeteram a descoberta através do programa de recompensa por bugs da empresa.

No entanto, a gigante da tecnologia minimizou a gravidade do vazamento, classificando os dados coletados como “informações básicas publicamente disponíveis”, uma vez que fotos e recados só foram capturados de usuários que optaram por não restringir a privacidade nas configurações.

“Nós – assim como muitos outros apps de mensagens – usamos números de telefone para descoberta de contatos porque é importante que as pessoas possam encontrar e conversar facilmente com quem conhecem. Tratar a descoberta de contatos por número como uma falha fundamental é não entender as expectativas e padrões de comunicação dos usuários. Todas as principais plataformas de mensagens – Signal, Telegram, iMessage – usam números de telefone para descoberta de contatos pelo mesmo motivo: é assim que bilhões de pessoas preferem se conectar.

Como os próprios pesquisadores afirmam, eles só conseguiram ver informações publicamente acessíveis – fotos de perfil e o texto do ‘Sobre’ — caso os usuários escolhessem tornar essas informações públicas para ‘todos’ no WhatsApp.“

– WhatsApp, em nota

A empresa afirma ainda que não encontrou evidências de que atores mal-intencionados tenham abusado dessa mesma falha antes da correção. Vale lembrar que a companhia foi denunciada, em setembro desse ano, por ignorar deliberadamente falhas de segurança e privacidade no aplicativo.

Por fim, a Meta questiona o uso do termo “exposição” para designar o que foi divulgado pelos pesquisadores.

Pesquisadores encontraram 3,5 bilhões de números expostos no WhatsApp