Esta é a semana do Black Hat e Defcon, o que significa uma enxurrada de notícias vindas das conferências de segurança em Las Vegas. Como era de se esperar, inteligência artificial foi um tópico popular—especificamente, o uso de chatbots de IA para causar problemas.
Uma equipe de pesquisadores, da Universidade de Tel Aviv, criou um ataque inteligente que permitiu assumir os dispositivos domésticos inteligentes de um alvo usando um convite de calendário do Google “envenenado”. É o primeiro método de ataque conhecido que usou IA para impactar dispositivos físicos.
Outro pesquisador usou um documento envenenado que incluía um prompt malicioso para enganar o ChatGPT a vazar informações privadas de um usuário quando estava conectado ao Google Drive.
Em notícias não relacionadas à IA, um algoritmo de criptografia de ponta a ponta recomendado para comunicações de rádio usadas por policiais e militares em todo o mundo pode ser facilmente decifrado, de acordo com novas pesquisas. Os pesquisadores alertam que implementações fracas do algoritmo de criptografia podem permitir que ouvintes interceptem—ou até transmitam suas próprias mensagens.
Falando em vulnerabilidades, um pesquisador de segurança descobriu que APIs mal configuradas em algumas plataformas de streaming usadas para reuniões de empresas e transmissões esportivas podem permitir que alguém assista as transmissões sem fazer login. E um adolescente hacker descobriu que um detector de fumaça e vaporizador conectado à internet no banheiro de sua escola havia microfones—e pode ser explorado para espionagem secreta.
Um vazamento de dados expôs como equipes de supostos trabalhadores de fraude de TI da Coreia do Norte operam, desde sua meticulosa contabilidade até as atividades pós-trabalho—e sua vigilância quase constante por pessoas que gerenciam os esquemas.
Finalmente, na última de nossas notícias relacionadas ao Black Hat e Defcon (até agora), um par de pesquisadores de segurança descobriu uma porta dos fundos em uma fechadura eletrônica usada em pelo menos oito marcas de cofres, e criaram uma maneira de abrir os cofres em segundos. Eles também encontraram outra vulnerabilidade que permite descobrir o código de desbloqueio de um cofre.
E não é tudo. A cada semana, reunimos as notícias de segurança e privacidade que não abordamos em profundidade. Clique nos títulos para ler as histórias completas. E fique seguro por aí.
Hack do Sistema Judiciário dos EUA Expos registros selados, diz o FBI
Um ciberataque anteriormente não reportado violou o sistema eletrônico de registros do Judiciário federal, potencialmente expondo as identidades de informantes confidenciais e comprometendo registros judiciais selados em vários estados dos EUA, relata a Politico. A violação foi descoberta por volta do dia 4 de julho e afeta o CM/ECF—ou “sistema de gerenciamento de casos/arquivos eletrônicos”—usado pelos tribunais para gerenciar documentos sensíveis.
Fontes contaram à Politico que o hack pode ter impactado dockets criminais, mandados de prisão e acusações seladas, levantando preocupações de que testemunhas cooperantes poderiam estar em risco. O ator por trás da intrusão não foi exposto. O Escritório Administrativo dos Tribunais dos EUA e o FBI se recusaram a comentar à Politico.
Em resposta a ciberataques recentes, o Judiciário federal disse que está no processo de implementar novas salvaguardas para abordar a exposição contínua do Judiciário a ameaças cibernéticas “constantes e sofisticadas”.
O incidente destaca os avisos de longa data de que os sistemas do Judiciário estão desatualizados e vulneráveis. Um juiz federal sênior disse ao Congresso em junho que CM/ECF e PACER enfrentam “ameaças de segurança implacáveis” e precisam de substituição urgente.
O Novo Recurso de Mapa do Instagram Gera Reação Sobre Privacidade
O mais recente recurso do Instagram—um mapa pesquisável que mostra conteúdo postado por usuários associado a locais específicos—gerou uma onda de preocupações sobre privacidade, relata a CNBC. Lançado esta semana, o recurso permite que os usuários explorem fotos e vídeos navegando em uma interface de mapa visual.
Mas os usuários rapidamente levantaram alarmes sobre o potencial de perseguição, assédio e uso indevido de dados, especialmente para influenciadores e outros que postam conteúdo em tempo real de locais identificáveis. “O Instagram atualizando aleatoriamente seu aplicativo para incluir um recurso de mapas sem realmente alertar as pessoas é tão incrivelmente perigoso para qualquer um que tenha uma ordem de restrição e está fazendo o possível para garantir que seu agressor não possa persegui-los online”, advertiu um post viral.
O Instagram afirmou que o recurso mostra apenas conteúdo de contas públicas e reiterou que os usuários podem desativar a marcação de localização. No entanto, a reação ecoa preocupações mais amplas sobre como as plataformas de tecnologia rapidamente agregam e expõem dados pessoais de maneiras que superam as expectativas e consentimentos dos usuários.
Hackers Invadiram o Banco de Dados do Salesforce do Google, Roubaram Dados de Clientes
Hackers roubaram dados do sistema de suporte ao cliente do Google em uma violação ligada a uma conta comprometida do Salesforce, relata a TechCrunch. A intrusão, divulgada na quarta-feira, afetou um número não divulgado de clientes do Google e envolveu acesso não autorizado a dados como detalhes de contato e “notas relacionadas para pequenas e médias empresas”.
Os atacantes supostamente visaram os dados através dos sistemas de nuvem do Salesforce. O Grupo de Inteligência de Ameaças do Google atribuiu o ataque ao ShinyHunters, um grupo de hackers conhecido por atacar os bancos de dados baseados em nuvem de grandes empresas, incluindo sistemas do Salesforce.
A violação que afeta o Google segue ataques semelhantes à Cisco, Qantas e Pandora, onde atacantes usaram phishing de voz para enganar funcionários a conceder acesso. O Google afirma que o grupo pode estar preparando um site de vazamento para extorquir vítimas e está ligado a outros coletivos cibernéticos criminosos como The Com, que tem um histórico de hacking e extorsão.
Hack da Universidade de Columbia Expos Dados de 870.000 Pessoas
Um ciberataque na Universidade de Columbia comprometeu as informações pessoais de quase 870.000 indivíduos, incluindo estudantes, candidatos e possivelmente funcionários, relata a Bloomberg. Os dados roubados incluem informações de contato, registros acadêmicos, detalhes de ajuda financeira e algumas informações de saúde e seguros, de acordo com cartas de rascunho, destinadas às vítimas, obtidas pelo veículo de notícias.
A violação, que remonta a meados de maio, só foi reconhecida publicamente depois que Columbia apresentou relatórios aos procuradores gerais estaduais da Califórnia e do Maine. Um oficial da universidade alegou anteriormente que o perpetrador tinha motivações políticas. A escola afirma que implementou novas salvaguardas e continua a notificar os indivíduos afetados.
O incidente precedeu uma interrupção de TI em todo o campus em junho. A escola suspeitou de um potencial ciberataque na época.