Cibersegurança Report #27

Os últimos dias no setor de cibersegurança foram marcados tanto por novidades corporativas quanto a divulgação de vulnerabilidades. De um lado, gigantes da tecnologia se comprometeram em estabelecer padrões para o uso seguro das IAs.

De outro, sites listados pelo Google de prefeituras e universidades estão redirecionando usuários a golpes. Além disso, um Windows XP ligado à internet foi invadido em poucos minutos e virou sensação no YouTube.

• Leia também: Busca do Google com IA sugere usar cola branca para preparar pizza; entenda

Confira, a seguir, um resumão de tudo de mais importante que aconteceu no mundo da tecnologia nesta semana.

As 7 principais notícias de cibersegurança da semana

1. Sites de órgãos públicos são substituídos por links de esquemas de apostas

Uma série de brechas de segurança em sites de órgãos públicos abriu portas para a publicidade irregular de casas de apostas, cassinos online, plataformas de pornografia e outros esquemas fraudulentos. São várias páginas afetadas, incluindo de universidades e instituições governamentais como o Corpo de Bombeiros.

A injeção de páginas em resultados do Google. (Imagem: Igor Almenara/TecMundo)Fonte:  Igor Almenara/TecMundo 

No esquema, ao clicar em um dos links do Google, o usuário é encaminhado para a página oficial e depois direcionado ao site malicioso. Esse é um golpe conhecido como deface, que altera a aparência de um site.

Apenas clicar ou entrar em uma das páginas pode não ser um problema, mas elas podem oferecer até serviços irregulares no país.

2. Google, Microsoft, OpenAI e outras gigantes prometem 'botão de destruição' para pausar IA

Um consórcio de 16 empresas de tecnologia confirmou na última terça-feira (21) que vai produzir um acordo sobre inteligência artificial (IA) com foco na segurança. Gigantes como Amazon, Google, Meta e Microsoft estão na lista ao lado de companhias recentes, como Anthropic e OpenAI.

O tratado internacional busca impedir o uso criminoso ou mal intencionado dessas tecnologias a partir de transparência na licença de modelos de linguagem, além da criação de limites "intoleráveis" para o uso de IAs, como cibercrimes.

A criação de deepfakes é uma das áreas a serem combatidas. (Imagem: Getty Images)Fonte:  GettyImages 

Nestes casos, a ideia é que cada empresa tenha um "botão de destruição" para pausar na hora o desenvolvimento ou o fornecimento da tecnologia até que os riscos sejam contidos. As conversas devem seguir e o documento não tem prazo para ser oficializado.

3. iOS 17.5.1: Apple corrige bug que 'ressuscita' fotos excluídas no iPhone

Os usuários de iPhone que ficaram assustados com o bug que devolveu fotos apagadas à galera de imagens nos últimos dias tiveram uma resposta sobre o que aconteceu. Antes disso, porém, a empresa resolveu a falha com a atualização iOS 17.5.1.

O iOS agora está na versão 17.5.1. (Imagem: Getty Images)Fonte:  GettyImages 

Já o laboratório Synacktiv descobriu por meio de engenharia reversa qual era o problema. Segundo o teste, as imagens recuperadas na verdade ainda estavam guardadas em algum canto do aparelho, como uma pasta, e acabaram passando por uma recuperação do sistema — não do iCloud, como se imaginava anteriormente.

Ainda assim, não há uma explicação até o momento sobre por que fotos que deveriam ter sido deletadas ainda estavam em pastas do tablet ou celular.

4. Homem acusado de vender R$ 510 milhões em drogas na dark web é preso nos EUA

O Departamento de Justiça dos Estados Unidos confirmou a prisão de Rui-Siang Lin, um tailandês de 23 anos acusado de operar uma plataforma de venda de drogas ilícitas na dark web. O suspeito seria responsável por comandar o Incognito Market, que movimentou pelo menos US$ 100 milhões nos últimos quatro anos.

Com uma interface que lembra a de uma loja convencional, o site comercializava drogas e medicamentos falsificados. Além disso, Lin teria extorquido os próprios clientes para não vazar seus nomes publicamente. Ele pode pegar uma pena que vai de cinco anos até a prisão perpétua.

4. Estudantes encontram bug em lavadora de roupas para usar máquina de graça

Dois universitários da UC Santa Cruz, nos Estados Unidos, descobriram uma vulnerabilidade nas populares máquinas de lavar inteligentes da CSC ServiceWorks. A dupla encontrou uma forma de explorar o sistema do aparelho e conseguir fazer uma lavagem sem custos.

O bug permitia lavagens sem custos. (Imagem: CSC ServiceWorks/Divulgação)Fonte:  CSC ServiceWorks 

Alexander Sherbrooke e Iakov Taranenko entraram em contato com a empresa para reportar a falha, que habilitava os ciclos gratuitos para quem tivesse o conhecimento necessário. Por três meses, a companhia não se manifestou sobre o caso e nem corrigiu a falha: ela só agradeceu os estudantes e atualizou os servidores após a publicação de uma reportagem sobre o caso no site Techcrunch.

5. Google critica cibersegurança da Microsoft para atrair clientes da rival

O Google iniciou nos últimos dias uma campanha para convencer clientes corporativos e governamentais a trocarem os serviços da rival Microsoft pelas operações do Google Workspace. A informação é da Bloomberg.

O Google Workspace. (Imagem: Google/Divulgação)Fonte:  Google 

As ações incluem descontos para novos clientes de médio e grande porte, além da publicação de um artigo científico contendo críticas sobre a infraestrutura de segurança da rival. Segundo o texto, a Microsoft apresenta "repetidos desafios em segurança" que "pedem por uma melhor alternativa" para organizações.

6. Youtuber liga Windows XP desprotegido à internet e PC pega vírus em minutos

Sistemas operacionais antigos serem desprotegidos já é algo conhecido na cibersegurança, mas como isso funciona na prática? O youtuber Eric Parker resolveu conectar um computador com Windows XP à internet via máquina virtual e documentou o resultado.

Segundo ele, foi questão de tempo para que os primeiros vírus aparecessem. Em 15 minutos, Parker percebeu a criação de um usuário sem autorização e a execução de programas suspeitos. Foram ao menos oito malwares identificados, fora os que passaram despercebidos.

Vale lembrar, porém, que esse foi apenas um experimento feito sob condições específicas. O youtuber desativou o antivírus e o firewall do sistema, além de possivelmente abrir todas as portas na conexão — situações dificilmente replicadas em um acesso real.

Essas foram as principais notícias de cibersegurança da semana. Fora elas, recententemente, a Netflix estreou uma série documental sobre um escândalo de anos trás envolvendo vazamento de dados de site de relacionamentos — veja aqui mais detalhes sobre esse caso.