Recentemente, novas descobertas mostraram que uma plataforma mal configurada usada pelo Departamento de Segurança Interna deixou informações sensíveis de segurança nacional – incluindo dados relacionados à vigilância de americanos – expostos e acessíveis a milhares de pessoas. Enquanto isso, 15 autoridades de Nova York foram presas pelo ICE e pelo Departamento de Polícia de Nova York nesta semana no entorno do 26 Federal Plaza, onde o ICE detém pessoas em condições insalubres.
A Rússia conduziu exercícios militares conspícuos testando mísseis hipersônicos perto das fronteiras da OTAN, aumentando as tensões na região após o Kremlin ter recentemente voado drones no espaço aéreo polonês e romeno. Golpistas têm uma nova ferramenta para enviar mensagens de spam, conhecida como “SMS blasters”, que podem enviar até 100.000 mensagens por hora, enquanto evitam as medidas anti-spam das empresas de telecomunicações. Os golpistas implantam torres celulares falsas que enganam os telefones das pessoas para se conectarem aos dispositivos maliciosos, para que possam enviar as mensagens diretamente e burlar filtros. E um par de falhas no sistema de identidade e gerenciamento de acesso Entra ID da Microsoft, que foram corrigidas, poderiam ter sido exploradas para acessar virtualmente todas as contas de clientes do Azure – um potencial desastre catastrófico.
A WIRED publicou um guia detalhado nesta semana para adquirir e usar um telefone descartável, bem como alternativas mais privadas do que um telefone comum, mas não tão trabalhosas quanto um verdadeiro descartável. E atualizamos nosso guia para os melhores VPNs.
No entanto, há mais! Semanalmente, reunimos as notícias de segurança e privacidade que não cobrimos em profundidade. Clique nos títulos para ler as histórias completas. E mantenha-se seguro por aí.
O mundo da cibersegurança tem testemunhado, para seu crescente desgosto, muitos ataques de cadeia de suprimentos de software, nos quais os hackers escondem seu código em um software legítimo para que seja silenciosamente distribuído para todos os sistemas que usam aquele código pelo mundo. Nos últimos anos, os hackers até tentaram ligar um ataque de cadeia de suprimentos de software a outro, encontrando um segundo alvo de desenvolvedor de software entre suas vítimas para comprometer mais um software e lançar uma nova rodada de infecções. Esta semana viu uma nova e preocupante evolução dessas táticas: um worm de ataque de cadeia de suprimentos que se replica completamente.
O malware, apelidado de Shai-Hulud em referência aos monstros Sandworms do romance de ficção científica Duna (e ao nome da página Github onde o malware publicou credenciais roubadas de suas vítimas), comprometeu centenas de pacotes de software de código aberto no repositório de código Node Packet Management, ou NPM, usado por desenvolvedores de Javascript. O worm Shai-Hulud foi projetado para infectar um sistema que usa um desses pacotes de software, e caçar mais credenciais de NPM naquele sistema para que possa corromper outro pacote de software e continuar sua propagação.
Segundo uma contagem, o worm se espalhou para mais de 180 pacotes de software, incluindo 25 usados pela empresa de cibersegurança CrowdStrike, embora a CrowdStrike tenha desde então removido-os do repositório NPM. Outra contagem da empresa de cibersegurança ReversingLabs colocou o número muito mais alto, em mais de 700 pacotes de código afetados. Isso torna o Shai-Hulud um dos maiores ataques de cadeia de suprimentos da história, embora a intenção de roubo em massa de credenciais ainda não esteja clara.
Defensores da privacidade ocidental há muito apontam para os sistemas de vigilância da China como a distopia potencial aguardando países como os Estados Unidos se a coleta de dados da indústria tecnológica e do governo não for controlada. Mas uma extensa investigação da Associated Press destaca como os sistemas de vigilância da China foram relatadamente em grande parte construídos com tecnologias americanas. Os repórteres da AP encontraram evidências de que a rede de vigilância da China – desde o sistema policial “Golden Shield” que autoridades de Pequim usaram para censurar a internet e reprimir alegados terroristas até as ferramentas usadas para mirar, rastrear e frequentemente deter os uigures na região de Xinjiang do país – parecem ter sido construídas com a ajuda de empresas americanas, incluindo IBM, Dell, Cisco, Intel, Nvidia, Oracle, Microsoft, Thermo Fisher, Motorola, Amazon Web Services, Western Digital e HP. Em muitos casos, a AP encontrou materiais de marketing em chinês em que as empresas ocidentais oferecem especificamente aplicativos e ferramentas de vigilância para a polícia chinesa e serviços de inteligência doméstica.
Scattered Spider, uma rara gangue cibercriminosa de hacking e extorsão baseada principalmente em países ocidentais, há anos espalha o caos pela internet, atingindo alvos como a MGM Resorts e Caesar’s Palace até a cadeia de supermercados Marks & Spencer no Reino Unido. Agora, dois supostos membros desse grupo notório foram presos no Reino Unido: Thalha Jubair, de 19 anos, e Owen Flowers, de 18 anos, ambos acusados de hackear o sistema de transporte de Londres – infligindo supostamente mais de $50 milhões em danos – entre muitos outros alvos. Jubair sozinho é acusado de intrusões visando 47 organizações. As prisões são apenas as últimas de uma série de operações direcionadas à Scattered Spider, que mesmo assim continuou uma série quase ininterrupta de violações. Noah Urban, que foi condenado por atividades relacionadas à Scattered Spider, falou da prisão para a Bloomberg Businessweek em um longo perfil de sua carreira cibercriminosa. Urban, 21, foi condenado a uma década de prisão.
