Cibersegurança Report #33 – TecMundo

Tudo aconteceu nos últimos dias no domínio da cibersegurança. Várias violações de segurança foram divulgadas, inclusive em um popular aplicativo de verificação de dois fatores e em celulares Android.

Além disso, o Brasil foi notícia pelo vazamento de dados pessoais de predadores sexuais infectados com malware e o Meta foi impedido pelo governo de usar dados para treinar IAs.

As 6 principais notícias de segurança cibernética da semana

1. Dados pessoais de pedófilos no Brasil são vazados por malware

Pesquisadores do Insikt Group revelaram que contas de pessoas acusadas de acessar conteúdo de abuso infantil foram expostas durante um vazamento de malware. As informações envolvem usuários infectados por esta ameaça que entraram em sites monitorados.

Três mil pessoas foram identificadas pelo vazamento. As informações obtidas através do cruzamento de dados permitiram acesso a nomes de usuários, IPs e mais detalhes da entrada. Brasil é um dos países que mais registrou inscriçõesseguido pelos EUA e pela Índia, e autoridades competentes foram contactadas para investigar os casos.

O combate aos predadores sexuais no Brasil que atuam nas mídias digitais é tema de Realidade Violada 3o próximo episódio do documentário do TecMundo sobre segurança cibernética.

2. Instagram e Facebook estão proibidos de usar dados brasileiros em IAs

A Autoridade Nacional de Proteção de Dados (ANPD) notificou a Meta, dona do Facebook e do Instagram, para parar de usar dados de brasileiros para treinar as IAs generativas da empresa. Segundo o órgão, a nova política de uso de informações pessoais de redes sociais viola a LGPD e gera “riscos de danos graves e difíceis de reparar aos usuários”.

O Facebook.Fonte: GettyImages

O texto diz que a empresa não foi transparente ao informar os usuários sobre o tratamento de dadosconsegue coletar informações de crianças e adolescentes e nem sequer oferece um caminho de acesso fácil para uma pessoa rejeitar essa prática.

A multa diária para manutenção das práticas é de R$ 50 mil. Além disso, o Meta tem cinco dias para explicar a política de coleta de dados à Secretaria Nacional do Consumidor (Senacon). Em nota, a empresa se diz “decepcionada” com a ação e afirma que cumpre as leis nacionais.

3. OpenAI, dona do ChatGPT, teve chats internos hackeados durante um ataque cibernético

A empresa de inteligência artificial OpenAI, responsável pelo serviço ChatGPT, teve seu sistema interno de mensagens invadido por método ainda desconhecido. Segundo o The New York Times, a ação ocorreu no início de 2023 e resultou no roubo de detalhes sobre “o desenho das tecnologias desenvolvidas pela empresa”que estavam sendo debatidos em um fórum online exclusivo para funcionários.

Bate-papoGPT.Fonte: GettyImages

O próprio OpenAI decidiu não divulgar publicamente o incidente ou notificar as autoridades, já que as informações do consumidor ou parceiro não foram afetadas. Esta ação foi amplamente criticada, pois abre precedentes para uma possível falta de transparência por parte da empresa.

4. A extorsão média de ransomware é de US$ 5,2 milhões por ataque

A média de resgate solicitado por cibercriminosos para libertar sistemas em um ataque de ransomware ultrapassou a média de US$ 5,2 milhões — cerca de R$ 29,6 milhões — no início do terceiro trimestre de 2024. São dados da Comparitch, que analisou uma série de casos ocorridos nos últimos meses em todo o mundo.

O ransomware continua em ascensão.Fonte: GettyImages

Segundo a pesquisa, o maior pagamento foi feito pela farmacêutica indiana RCC Laboratories, com os responsáveis ​​exigindo US$ 100 milhões em extorsão. O principal grupo envolvido foi o LockBit, que não apenas ataca por conta própria, mas também “aluga” ferramentas para outros atores maliciosos.

No total, ocorreram cerca de 420 ataques de ransomware até agora em 2024 — uma média inferior à do ano passado, um recorde para esse tipo de ataque.

5. Android WhatsApp, Apple Safari e Microsoft Teams divulgaram falhas

Uma nova falha de segurança foi encontrada pela primeira vez nos telefones Google Pixel, mas pode afetar todos os telefones Android. A vulnerabilidade gera escalonamento de privilégios para capturar dados confidenciais de usuários.

De acordo com o Google, a falha CVE-2024-32896 foi resolvida em todos os dispositivos de uma atualização de segurança. Sua instalação, porém, depende da ação do usuário e da aprovação dos fabricantes.

Os riscos afetam celulares Android.Fonte: GettyImages

Além disso, vulnerabilidades no gerenciador de aplicativos CocoaPods colocam em risco plataformas populares de empresas como Apple, Microsoft, Snapchat, TikTok e Facebook.

Das três falhas de segurança encontradas pela empresa, uma possui classificação máxima de criticidade. Nele, o cibercriminoso seria capaz de “manipular o código-fonte e até inserir conteúdo malicioso em aplicativos”.

As empresas citadas já corrigiram as vulnerabilidades, mas parceiros ainda precisa verificar a integridade de projetos de código aberto.

6. Authy tem dados roubados em invasão; 33 milhões estão expostos

O aplicativo de verificação de dois fatores Authy foi alvo de uma invasão reivindicada pelo grupo ShinyHunters. Sobre 33 milhões de pessoas tiveram suas informações roubadas e a empresa proprietária do serviço, Twilio, confirmou a exploração de uma falha de segurança e recomenda que os usuários atualizem os aplicativos para Android e iOS.

A interface Authy.Fonte: Authy

Apenas número de telefone desses usuários foi obtido pelos invasores — ou seja, sem outros registros, financeiros ou informações que permitissem o acesso às contas. No entanto, esta informação pode ser usado para aplicar golpescomo um phishing mais elaborado envolvendo o próprio Authy.

Estas foram as principais notícias de cibersegurança da semana. Além desses acontecimentos, uma brasileira foi condenada a 24 anos de prisão por estuprar pessoa vulnerável em ações coordenadas pela plataforma Discord.