Guias de Segurança
Senhas, MFA, dispositivos, Wi-Fi público, servidores, dependências, Git, ambientes expostos — guias práticos e orientados a objetivos sobre defesas que você pode aplicar hoje.
Incidente de segurança da Fireworks AI (outubro de 2026): afetados dados de cobrança e, em algumas contas, conjuntos de dados e pesos de modelos incompletos; a empresa diz que houve envolvimento de uma violação em provedor de nuvem. O que os clientes devem fazer
A Fireworks AI, que oferece infraestrutura de inferência de modelos de IA, publicou em 9 de novembro de 2026 uma atualização do incidente de segurança que divulgou pela primeira vez em 9 de outubro. Segundo a empresa, do incidente original,…
Violação da NEAR AI por uma falha no mecanismo de inferência (dados de conta de cerca de 100 usuários): o que foi confirmado e o que usuários e operadores de infraestrutura de IA devem fazer
A NEAR AI, que oferece chat e agentes de IA, divulgou em uma publicação oficial de seu blog, datada de 9 de novembro de 2026, um acesso não autorizado a parte de sua infraestrutura. Segundo a empresa, a causa foi uma falha de execução remot…
SAP Security Patch Day de novembro de 2026: quatro falhas com CVSS 10.0. Corrija primeiro o Web Dispatcher e o ICM expostos à internet; como saber se você é afetado e o que fazer hoje
Em 10 de novembro de 2026, o Security Patch Day da SAP publicou 35 novas notas de segurança e 4 avisos de segurança no GitHub, e atualizou 3 notas anteriores. A lista da SAP marca 9 linhas como Critical. Quatro têm CVSS 10.0: corrupção de m…
Acesso não autorizado ao sistema interno de gestão da Sharefull (até cerca de 7,5 milhões de contas): nomes, dados bancários, contatos de emergência e mais podem ter vazado, e o que os trabalhadores devem fazer
Em 9 de novembro de 2026, a Sharefull anunciou que um terceiro acessou sem autorização seu sistema interno de gestão e que informações pessoais dos usuários podem ter vazado. O acesso ocorreu por volta das 23h30 de 4 de novembro, foi detect…
Acesso não autorizado ao sistema de solicitações do Vitality da Sumitomo Life (cerca de 80.000 pessoas): nomes, endereços, telefones e números de cartão parcialmente ocultos vazaram, e o que os usuários devem fazer
Em 9 de novembro de 2026, a Sumitomo Life Insurance Company anunciou que um acesso não autorizado de um terceiro ao sistema de uma empresa a quem terceiriza serviços de sistemas vazou informações de cerca de 80.000 pessoas que usam ou já us…
Vazamento de dados da Amplifon Americas (aparelhos auditivos; cerca de 1,33 milhão de pessoas segundo a imprensa): informações auditivas e médicas, números de carteira de motorista e mais, e o que fazer se você receber uma notificação
A Amplifon Americas diz que detectou atividade suspeita em partes de sua rede em 11 de fevereiro de 2026, e que a investigação concluiu que um terceiro não autorizado obteve arquivos de certos sistemas entre 18 de janeiro e 8 de fevereiro.…
bee-js 13.3.0 da Ethersphere e Swarm Desktop 0.56.2 distribuíram malware (novembro de 2026): versões afetadas e o que os usuários devem fazer
A versão 13.3.0 do pacote npm @ethersphere/bee-js, da Ethersphere, a desenvolvedora da rede de armazenamento descentralizado Swarm, continha código malicioso. Um aviso do GitHub (GHSA-hh7j-5m3j-23pf) publicado em 9 de novembro de 2026 lista…
Acesso não autorizado ao site da Mitsui Direct General Insurance (cerca de 234.000 registros): nomes, endereços e dados de veículos vazaram, e o que devem fazer quem pediu uma cotação ou contratou um seguro
Em 6 de novembro de 2026, a Mitsui Direct General Insurance Co., Ltd. anunciou que um terceiro acessou sem autorização o seu site e que parte das informações de seus clientes vazou. Detectou o acesso na madrugada de 4 de novembro e suspende…
Falha no servidor MCP da mittwald explorada, 56 projetos de clientes comprometidos (novembro de 2026): a cronologia publicada e o que usuários e operadores de integrações de IA devem fazer
A empresa alemã de hospedagem web mittwald disse em uma postagem oficial de seu blog que uma falha em seu servidor MCP, que conecta os assistentes de IA dos clientes ao seu painel de controle mStudio, foi explorada e que 56 projetos de clie…
Acesso não autorizado à Nitori: dados pessoais de até 37,62 milhões de registros podem ter vazado (nomes, endereços, telefones, datas de nascimento): o que membros individuais e corporativos devem fazer
Em 9 de novembro de 2026, a Nitori Holdings Co., Ltd. anunciou que em 6 de novembro confirmou um acesso não autorizado de um terceiro a um sistema que ela gerencia, e que as informações pessoais mantidas em seus servidores, até 37,62 milhõe…
Acesso não autorizado ao sistema de envio de dados de impressão da Raksul (número em apuração): nomes, endereços e telefones dos dados de impressão podem ter vazado, e o que devem fazer os clientes e as pessoas citadas nos impressos
Em 9 de novembro de 2026, a Raksul Inc. anunciou que um terceiro acessou sem autorização o sistema envolvido no tratamento dos envios de dados do seu serviço Raksul, e que informações pessoais podem ter vazado para o exterior. O acesso veio…
Incidente de segurança cibernética na Universidade Vanderbilt (em andamento): Wi-Fi, Okta, e-mail e CampusPrint de volta, outros sistemas restritos, semanas até a recuperação total, e o que estudantes e funcionários devem fazer
Em 9 de novembro de 2026, a Universidade Vanderbilt (Tennessee, EUA) disse que está respondendo a um incidente de segurança cibernética ativo que pode afetar dispositivos, sistemas e serviços em nuvem da universidade. Na atualização das 18h…
Acesso não autorizado à loja online akyrise da Euglena (até cerca de 900.000 registros): nomes, endereços e telefones podem ter vazado; o que os compradores devem fazer
Em 5 de novembro de 2026, a Euglena Co., Ltd. anunciou que um terceiro acessou sem autorização, em 4 de novembro, a loja online de sua marca de cosméticos akyrise e que informações de membros vazaram. A empresa fechou a loja no mesmo dia e…
Acesso não autorizado ao negócio de venda por correio da Rohto Pharmaceutical (2.797.545 pessoas no sistema de clientes, 9.715 números de cartão em gravações de ligações): o que devem fazer quem pediu por telefone e todos os demais
Em 6 de novembro de 2026, a Rohto Pharmaceutical Co., Ltd. divulgou os resultados da investigação sobre o acesso não autorizado ao sistema telefônico usado em seu negócio de venda por correio. Foram obtidos nomes, endereços e números de tel…
Acesso não autorizado ao jogo de mahjong online Maru-Jan (1.855.578 membros): e-mails e senhas vazaram; o que os membros devem fazer
Em 7 de novembro de 2026, a Signaltalk Co., Ltd. anunciou que um acesso não autorizado ao Maru-Jan, o jogo de mahjong online que ela opera, vazou os endereços de e-mail e as senhas de 1.855.578 membros. A empresa diz que uma função do seu s…
Vazamento no sistema de garantia de empréstimos da SMBC Consumer Finance (até 320.118 pessoas): números de carteira de habilitação, dados do empregador e renda vazaram; o que devem fazer os clientes de empréstimo no cartão bancário
Em 5 de novembro de 2026, a SMBC Consumer Finance Co., Ltd. anunciou que um terceiro acessou sem autorização o sistema que ela usa em seu negócio de garantia de empréstimos e que dados foram enviados para fora do sistema. Detectou o acesso…
Vazamento de dados médicos da Perry Johnson & Associates (PJ&A): quatro estados fecham acordo de até US$ 10 milhões (13,3 milhões de pessoas), o que foi exposto e o que fazer
Em 6 de novembro de 2026, os procuradores-gerais de Nova York, Connecticut, Michigan e Nova Jersey anunciaram um acordo com a empresa de transcrição e codificação médica Perry Johnson & Associates, Inc. (PJ&A) e quatro afiliadas (em conjunt…
Ciberataque ao Crédit Mutuel Arkéa (França): transferências fraudulentas da própria conta via plataforma de um prestador de serviços, ativos dos clientes não afetados
Em 4 de novembro de 2026, o grupo financeiro francês Crédit Mutuel Arkéa disse que sofreu um ataque que permitiu operações fraudulentas. Segundo o grupo, os atacantes chegaram a ele pela plataforma de um prestador de serviços e enviaram din…
Invasão de um sistema interno da DigiCert (autoridade certificadora): dados de contato de representantes de clientes e alguns documentos de identidade, e o que os clientes devem fazer
Em um relatório de incidente no Mozilla Bugzilla (relatório completo publicado por volta de 2 de novembro de 2026, horário do Japão), a DigiCert diz que identificou acesso não autorizado a um sistema interno de negócios que arquiva informaç…
Vazamento no docomo Online Shop e no My docomo da NTT DOCOMO (até cerca de 300.000 registros): números de documentos de identidade vazaram e o que os clientes devem fazer
Em 4 de novembro de 2026, a NTT DOCOMO confirmou um acesso não autorizado vindo de fora ao docomo Online Shop e ao My docomo e, a partir de cerca de 1h05 de 5 de novembro, suspendeu os procedimentos em ambos e iniciou uma manutenção de emer…
Acesso não autorizado ao serviço de envio da newsletter da Hotto Motto (até cerca de 7 milhões de registros): nomes, datas de nascimento e telefones vazaram — o que os membros devem fazer
Em 4 de novembro de 2026, a Plenus Co., Ltd. anunciou que o serviço de envio da newsletter da Hotto Motto, prestado por um terceirizado externo, sofreu acesso não autorizado por parte de terceiros e que informações de membros, incluindo os…
Acesso não autorizado na Iris Plaza (dados de cerca de 7,7 milhões de pessoas): nomes, endereços e senhas criptografadas podem ter vazado — o que membros e compradores devem fazer
Em 5 de novembro de 2026, a Iris Plaza Co., Ltd., do Grupo Iris, disse em um segundo aviso que um acesso não autorizado à Iris Plaza, a loja online oficial da Iris Ohyama, pode ter vazado parte das informações pessoais de seus clientes. Em…
Arquivos do launcher de PC de GODDESS OF VICTORY: NIKKE foram adulterados e um programa malicioso foi distribuído: o que fazer se você usou a versão para Windows desde as 15:41 (JST) de 27 de setembro
Em 5 de novembro de 2026, a operadora de GODDESS OF VICTORY: NIKKE (Level Infinite) anunciou que alguns arquivos do seu launcher de PC foram adulterados por um terceiro, de modo que um programa malicioso podia ser executado quando o launche…
Correção de emergência do OpenSSH 10.6p2 (CVE-2026-123158): incluído no KEV da CISA; no sshd com musl sem PAM, como o Alpine, é possível fazer login sem a senha
Em 5 de novembro de 2026 o OpenSSH lançou a versão 10.6p2 com uma solução alternativa crítica para um contorno da autenticação por senha no sshd em alguns sistemas Linux compilados e executados sem PAM, em especial os que usam musl libc, co…
SonicWall SonicOS SSL-VPN CVE-2026-19868: SAML e sua MFA podem ser contornados, no KEV da CISA (atualize Gen7 e Gen8)
A CVE-2026-19868 é uma falha no serviço SSL-VPN do SonicWall SonicOS, o sistema operacional dos firewalls da SonicWall. Segundo o aviso SNWLID-2026-0014 da SonicWall de 6 de novembro de 2026, em um firewall com SAML ativado para os logins d…
Vazamento de dados pessoais do Suntory Group (cerca de 90.000 funcionários e pessoal de parceiros, e outros grupos): nomes e e-mails vazados após acesso não autorizado a um serviço de nuvem externo, e o que candidatos e clientes devem fazer
O Suntory Group anunciou em 2 de novembro de 2026 que confirmou um acesso não autorizado de terceiros a um serviço de nuvem externo usado pelo grupo, e que alguns dos arquivos baixados pelo terceiro continham informações pessoais. Detectou…
Acesso não autorizado ao serviço de envio de e-mails Arara Message da Arara (cerca de 81,3 milhões de endereços de e-mail): dados de membros, como nomes, também foram levados. O que destinatários de newsletters e empresas clientes devem fazer
Em 6 de novembro de 2026, a Arara Inc. (subsidiária da PayCloud Holdings) disse em seu terceiro relatório que, contando 3.249.492 endereços de e-mail levados de um ambiente de nuvem separado (ambiente B), o acesso não autorizado ao seu serv…
Vazamento de dados de membros do Asoview! (15.821.184 registros): nomes, telefones e dados de compra de ingressos vazados por um fornecedor de envio de e-mail, e o que os membros devem fazer
A Asoview Inc. anunciou em 3 de novembro de 2026 que parte dos dados de membros do seu serviço de reservas de lazer Asoview! vazou depois que um terceiro acessou sem autorização o serviço do fornecedor que ela usava para enviar e-mail. A em…
Vazamento de dados de clientes do 7NOW da Seven-Eleven Japan (164.180 registros só com nome e mais): o que a invasão em uma contratada de entregas expôs e o que os usuários devem fazer
A Seven-Eleven Japan anunciou em 3 de novembro de 2026 que um serviço operado por uma contratada que cuida de parte das entregas do seu serviço de entrega 7NOW foi acessado sem autorização por um terceiro, e que parte dos dados dos solicita…
Incidente de segurança da Trigger.dev (novembro de 2026): chaves de API root e variáveis de ambiente acessadas em 0,66% dos clientes; regenere as chaves e troque os segredos
A Trigger.dev, plataforma para executar tarefas em segundo plano e agentes de IA, divulgou um incidente de segurança em 1º de novembro de 2026 e publicou um relatório de acompanhamento em 6 de novembro. A empresa diz que alertas da infraest…
Invasão ao aplicativo interno de vendas da WorkOS (plataforma de SSO e sincronização de diretórios para desenvolvedores): a empresa a atribui ao agente de IA de um pesquisador de segurança; o que os clientes devem fazer sobre contatos expostos e o histórico de suporte e do Slack
A WorkOS publicou em 2 de novembro de 2026 um aviso sobre acesso não autorizado a um aplicativo interno usado por suas equipes de vendas e de atendimento ao cliente e o atualizou em 6 de novembro. A atualização diz que o primeiro acesso não…
Invasão à produção da Chainstack (plataforma de nós blockchain e API): o que desenvolvedores e operadores de dApps devem fazer com os dados de conta e as credenciais de nó
Em um comunicado datado de 3 de novembro de 2026, a Chainstack diz que um invasor externo chegou a parte de sua infraestrutura por meio de um componente de terceiros: um ambiente de desenvolvimento em 26 de outubro e parte da produção em 29…
Vazamento no @cosme da istyle (dados de cerca de 3 milhões de membros): o que os membros devem fazer sobre nomes, endereços, telefones e tipo de pele vazados
A istyle Inc. anunciou em 2 de novembro de 2026 que confirmou em 28 de outubro um acesso não autorizado ao @cosme por um terceiro e que parte das informações de membros cadastradas com o ID comum do @cosme vazou. Cerca de 3 milhões de pesso…
Acesso não autorizado à Nojima Online e ao site de recompra de celulares usados (cerca de 7 milhões de registros): nomes, endereços, telefones e senhas criptografadas, e o que os membros devem fazer
A Nojima Corporation anunciou em 2 de novembro de 2026 que o sistema de gestão de membros da Nojima Online foi acessado sem autorização e que dados de membros da Nojima Online e do seu site de recompra de celulares usados vazaram. Segundo a…
Vazamento no sistema de assistência em estrada da Prestige International (até cerca de 5,5 milhões de registros, com duplicatas): nomes, dados de veículos parte dos dados bancários e 3 números de cartão levados, e o que clientes de seguro e leasing devem fazer
A Prestige International Co., Ltd. anunciou em 2 de novembro de 2026 que o sistema da sua empresa do grupo Prestige Core Solutions, que cuida do recebimento e do despacho de assistência em estrada para empresas clientes, sofreu acesso não a…
Vazamento na loja oficial da Good Smile Company (dados completos de cartão de 2.800 pessoas possivelmente vazados, dados parciais de 402.466 cartões, até 202 pedidos possivelmente vistos): o que cada grupo deve fazer
A Good Smile Company Co., Ltd. anunciou em 23 de outubro de 2026 que um terceiro havia acessado sua loja oficial e, em seu quarto relatório de 30 de outubro, havia classificado os afetados em três grupos. No grupo B (2.800 pessoas), um prog…
Jenkins 2.588 e LTS 2.580.2 corrigem 15 falhas (CVE-2026-117612 a 117626): confira sua versão e o que revisar após atualizar
Em 28 de outubro de 2026 o projeto Jenkins publicou um aviso de segurança corrigindo 15 vulnerabilidades no núcleo do Jenkins (CVE-2026-117612 a CVE-2026-117626) na versão semanal 2.588 e na LTS 2.580.2. Estão afetadas a semanal 2.587 e ant…
Acesso não autorizado e vazamento de dados na PingCAP (TiDB Cloud) (até cerca de 50.000 registros no Japão): o que os administradores de organizações do TiDB Cloud devem fazer com dados de conta, histórico do editor SQL e tickets de suporte
A PingCAP diz que entre 9 de setembro e 7 de outubro de 2026 (horário dos EUA) um terceiro usou credenciais roubadas para entrar em sistemas internos e copiar dados, e que o vazamento de até cerca de 50.000 registros pessoais no Japão foi c…
Ataques de ransomware ao Synology DSM: versões desatualizadas atacadas por uma falha corrigida em dezembro de 2024, o que atualizar e verificar hoje (SA-24:20)
Em 29 de outubro de 2026, a Synology disse ter identificado agentes de ameaça explorando uma vulnerabilidade corrigida em dezembro de 2024 para atacar dispositivos com versões desatualizadas do DSM, com o objetivo de criptografar dados e ex…
Acesso não autorizado ao site de empregos MyBRANDS e possível vazamento de dados pessoais (até cerca de 135 mil contas): o que devem fazer candidatos e contatos de empresas com nome, dados de contato e histórico profissional
A iDA Co., Ltd. (Japão) anunciou em 30 de outubro de 2026 que um acesso não autorizado de terceiro ao ambiente de servidores de seu site de empregos MyBRANDS pode ter vazado as informações de pessoas cadastradas, tanto candidatos quanto con…
Ataque de ransomware à Universidade de Saga (dados pessoais de estudantes, funcionários e ex-alunos podem ter vazado, cerca de 80 mil pessoas, além de dados de pacientes): o que devem fazer as pessoas com nome, endereço e senha registrados
A Universidade de Saga, uma universidade nacional do Japão, anunciou em 30 de outubro de 2026 que, após o ataque de ransomware que divulgou em 28 de setembro em seus sistemas de informação administrativa, confirmou que não pode descartar qu…
Falha do WordPress 7.1.4 CVE-2026-119977: corrigida uma condição de corrida na atualização do núcleo que pode levar à execução remota de código; verifique sua versão e as atualizações automáticas
Em 28 de outubro de 2026, o projeto WordPress lançou a versão de segurança 7.1.4, que corrige uma falha no processo de atualização do núcleo que pode levar à execução remota de código. Segundo o aviso de segurança do WordPress no GitHub, du…
Automatizar o monitoramento de vulnerabilidades para a sua própria stack: cruzar com os componentes que você realmente usa
Em sites que o operador deste site administra, uma vulnerabilidade em PHP, código malicioso em um pacote Python e um problema em uma imagem base de contêiner chegaram, cada um, a uma pessoa antes do monitoramento automatizado, três vezes em…
Incidente de segurança da Chainalysis (outubro–novembro de 2026): expostos nomes, nomes de usuário, hashes de senhas e tokens ativos de todos os usuários, e o que os clientes devem fazer
A empresa de análise de blockchain Chainalysis publicou um aviso sobre um incidente de segurança em 30 de outubro de 2026 e o atualizou desde então. Na atualização de 4 de novembro, a empresa diz que os nomes, nomes de usuário, hashes de se…
Acesso não autorizado à Club Tourism e possível vazamento de dados pessoais (cerca de 4,32 milhões de registros): o que devem fazer os membros com nome, endereço, telefone e contato de emergência
A Club Tourism Co., Ltd. (Japão) anunciou em 31 de outubro de 2026 que detectou um acesso não autorizado vindo de fora às 5:45 de 30 de outubro e que as informações dos membros de internet cadastrados em seu sistema de reservas pela interne…
Quando limites de taxa por IP não bloquearam um bot de busca espalhado por dezenas de milhares de IPs
Um site cuja busca chama uma API externa a cada consulta viu o tráfego de busca subir cerca de 20 vezes em poucos dias, e quase todas as buscas retornaram 503. A primeira suposição, de que um limite por IP conteria o problema, estava errada…
CVE-2026-98432 do kernel do Linux: um use-after-free de TCP acionável pela rede (CVSS 9.8); instale o kernel corrigido, reinicie e verifique o MPTCP
CVE-2026-98432 é um use-after-free no código TCP IPv4 do kernel do Linux, publicado em 15 de outubro de 2026. A CNA do projeto do kernel o pontua com CVSS v3.1 9.8 (rede, sem privilégios, sem interação do usuário). Segundo relatos, pesquisa…
Incidente de segurança da Northflank (outubro de 2026): variáveis de ambiente armazenadas que devem ser tratadas como descriptografadas e uso indevido de chaves de API de IA
Em 30 de outubro de 2026 (UTC), a plataforma de implantação em nuvem Northflank publicou um incidente de segurança em sua página de status. Um alerta de ameaça de um fornecedor de segurança chegou às 11:43 UTC; a empresa implantou correções…
O que verificar após uma atualização de emergência do PHP: PHP web vs. PHP de linha de comando, set -e e códigos de saída do diff, e uma nova verificação de invasão
Durante a resposta de outubro de 2026 às vulnerabilidades críticas do PHP, um site administrado pelo operador deste site tinha atualizado o PHP web, mas o PHP de linha de comando usado pelo cron ainda apontava para uma versão antiga. Verifi…
Vazamento na Tin Pan Alley, subsidiária da World (operadora da RAGTAG, segundo a imprensa), com cerca de 1,2 milhão de registros no total: nomes, endereços e telefones podem ter vazado e o que os membros devem fazer
Em 30 de outubro de 2026, a World Co., Ltd. anunciou que um terceiro acessou sem autorização um servidor de negócios de sua subsidiária consolidada Tin Pan Alley Co., Ltd., e que parte das informações de membros armazenadas nele pode ter va…
Vazamento de contas de clientes da Revolve: números de cartão salvos e datas de validade acessados (1.515.073 pessoas segundo a lista da Procuradoria de Indiana) e o que os clientes devem fazer
A varejista de moda americana Revolve divulgou em um documento apresentado ao regulador de valores mobiliários dos EUA em 29 de outubro de 2026, segundo o The Record, que uma parte não autorizada usou meios automatizados para acessar dados…
Ciberataques e vazamentos de dados de outubro de 2026: 36 vulnerabilidades exploradas e vazamentos em larga escala
Em outubro de 2026, a CISA adicionou 36 vulnerabilidades ao seu catálogo de Vulnerabilidades Exploradas Conhecidas (KEV), sete a menos que as 43 de setembro. Onze eram produtos de borda e de acesso remoto, como appliances VPN e firewalls; c…
Servidor de atualizações do AOMEI Backupper adulterado (de abril a julho de 2026): quem pode ter sido afetado, as datas e como verificar seu PC
A AOMEI, fabricante do software de backup para Windows AOMEI Backupper, publicou em 19 de outubro de 2026 (última atualização em 30 de outubro) um comunicado sobre um comprometimento da cadeia de suprimentos de software em seu servidor de a…
Roubo de criptoativos na Binance (cerca de US$ 6,3 bilhões): os fundos dos usuários estão cobertos e o que os titulares de contas devem fazer
A Binance disse que suas hot wallets (carteiras quentes) foram comprometidas por volta das 20h05 UTC de 29 de outubro de 2026 e que saques não autorizados se seguiram, com impacto estimado de cerca de US$ 6,3 bilhões. Em 31 de outubro, o FB…
Cisco Catalyst SD-WAN Manager CVE-2026-76504: acesso de administrador sem login, explorada (atualize para uma versão corrigida)
A CVE-2026-76504 é uma falha na autenticação de sessões da API do Cisco Catalyst SD-WAN Manager (antigo vManage), o sistema de gerenciamento do SD-WAN da Cisco. Segundo o aviso da Cisco de 30 de setembro de 2026, o tratamento incorreto da c…
Cloudflare Workers AI devolveu dados de outros clientes em 155 respostas (GLM 5.3): o que as equipes que usam IA hospedada devem verificar
Em 26 de outubro de 2026, a Cloudflare publicou um relato de uma exposição de dados entre requisições no Workers AI. De 27 de agosto a 9 de setembro de 2026, prompts com mais de 681.280 tokens enviados ao modelo GLM 5.3 podiam receber respo…
Extensão “Claude Code” adulterada no marketplace do Cursor (29 de out., cerca de 11 horas): como verificar se há um backdoor SSH
A Cursor publicou um aviso de segurança em 29 de outubro de 2026 (atualizado em 30 de outubro) dizendo que as versões adulteradas 2.1.312 e 2.1.313 de uma extensão publicada com o nome da Anthropic (Anthropic.claude-code) foram distribuídas…
Incidente da DreamHost (outubro de 2026): credenciais FTP e SFTP expostas pelo File Manager, credenciais de webmail também levadas, e o que os titulares de contas devem fazer
Em 29 de outubro de 2026, a DreamHost disse que em 23 de outubro detectou um acesso não autorizado ao servidor que executa seu File Manager web (files.dreamhost.com). O invasor explorou uma vulnerabilidade em um software de terceiros usado…
Drupal Commerce Core CVE-2026-118539: desvio de acesso sem autenticação, explorado ativamente (atualize para 8.x-2.41 ou 3.3.13)
Em 28 de outubro de 2026, a Equipe de Segurança do Drupal publicou o SA-CONTRIB-2026-254 para o módulo Commerce Core (CVE-2026-118539). O módulo não protege o suficiente certas rotas e campos de entidade, o que permite um desvio de acesso q…
Vazamento de dados de estudantes da ETS na Califórnia: dados de deficiência, 504 e provas copiados, e o que as famílias devem fazer
A Educational Testing Service (ETS), organização sem fins lucrativos que aplica as provas estaduais da Califórnia (CAASPP e ELPAC) sob contrato com o estado, começou a notificar estudantes e famílias em 16 de outubro de 2026, por orientação…
Invasão de sistemas internos da Genesys (outubro de 2026): sistemas com dados de contato de clientes foram acessados, plataformas não afetadas, e o que os clientes devem fazer
Em 19 de outubro de 2026, a Genesys, fornecedora da plataforma de central de atendimento Genesys Cloud, anunciou um incidente de cibersegurança envolvendo um terceiro não autorizado. A empresa tomou conhecimento dele em 16 de outubro. A inv…
Vazamento de dados de membros do GETTIIS (317.971 IDs de membro): o que vazou e o que os membros devem fazer
Em 19 de outubro de 2026, a Linkstation Inc. (Japão) anunciou que informações de membros do GETTIIS haviam vazado após um acesso não autorizado e, em 20 de outubro, publicou um segundo relatório com os números por item. Segundo a empresa, e…
Ivanti Connect Secure CVE-2026-111357 e CVE-2026-118527: mais duas falhas adicionadas ao KEV da CISA (o que fazer diante dos ataques de outubro)
Em 30 de outubro de 2026, a CISA adicionou duas vulnerabilidades do Ivanti Connect Secure ao seu catálogo de Vulnerabilidades Exploradas Conhecidas (KEV): a CVE-2026-111357, uma escalada local de privilégios para root, e a CVE-2026-118527,…
Vazamento no sistema de gestão do app da Matsuya (2.377.127 registros mais membros do app): nomes, telefones e endereços de entrega expostos: o que os membros devem fazer
Em 30 de outubro de 2026, a Matsuya Foods Holdings Co., Ltd., rede japonesa de restaurantes de gyudon (tigelas de arroz com carne bovina), anunciou que um terceiro acessou sem autorização o sistema de gestão do app oficial da Matsuya (Matsu…
Vazamento no app e na loja online da Ryohin Keikaku (MUJI) (até cerca de 27,26 milhões de registros): números de cerca de 1,09 milhão de MUJI Card também afetados — o que os usuários devem fazer
Depois do primeiro comunicado de 30 de outubro, a Ryohin Keikaku Co., Ltd., a varejista japonesa por trás da MUJI, disse em um segundo comunicado, de 4 de novembro de 2026, que o alcance era maior. Estão afetados os membros da loja online d…
Violação no OpenCode Console (outubro de 2026, 1,4% dos usuários do Console): chaves de API de provedores de IA possivelmente expostas, e o que fazer
Em 17 de outubro de 2026, a OpenCode, o agente de programação com IA de código aberto, disse em sua conta oficial no X que sofreu na noite anterior uma violação de segurança, relacionada a um ataque de destilação em grande escala, que ating…
Orkes Conductor CVE-2026-58138: execução de comandos do sistema sem autenticação, com tentativas de ataque observadas (atualize para 3.30.2 ou posterior)
A CVE-2026-58138 é uma falha no Conductor, o mecanismo de fluxos de trabalho de código aberto do projeto conductor-oss, que o registro CVE chama de Orkes Conductor. Nas versões a partir de 3.21.21 e anteriores a 3.30.2, um invasor remoto po…
Vazamento de dados da Paradigm Healthcare Services: números de afiliado do Medi-Cal e datas de nascimento podem ter sido acessados, e o que os afiliados devem fazer
A Paradigm Healthcare Services, prestadora de serviços terceirizada que processa o faturamento do Medi-Cal e mantém os números de identificação de afiliado do Medi-Cal para o Departamento de Serviços de Saúde da Califórnia (DHCS), publicou…
Vazamento de dados da Photon Health (falha em uma ferramenta de análise): nomes, endereços, telefones, datas de nascimento e informações de receitas — o que os pacientes afetados devem fazer
Em 8 de outubro de 2026, a Photon Health, uma plataforma americana de receita eletrônica, publicou um comunicado dizendo que um terceiro não autorizado explorou uma vulnerabilidade até então desconhecida em sua ferramenta de análise de dado…
Plex2Shell: quatro CVEs do Plex Media Server exploradas ativamente (atualize para 1.43.3.10861 ou posterior)
Plex2Shell é o nome que um pesquisador de segurança deu a quatro falhas no Plex Media Server: CVE-2026-96652, CVE-2026-96654, CVE-2026-96655 e CVE-2026-96656. Segundo a Plex, encadeadas elas permitem que um invasor remoto sem autenticação e…
Polymarket suspende as negociações após o comprometimento de um script de terceiros: o que usuários e operadores de sites devem fazer
Em 29 de outubro de 2026, a página de status da Polymarket informou que sua plataforma internacional (Polymarket.com) entrou em modo somente cancelamento às 14h05 ET, que um provedor externo havia sido comprometido, que o caso foi encaminha…
Vazamento de dados da Ricardo (marketplace suíço), cerca de 890 mil contas: nomes, endereços e telefones expostos, e o que os usuários devem fazer
Em 9 de outubro de 2026, o SMG Swiss Marketplace Group, que opera o marketplace suíço Ricardo, anunciou um acesso não autorizado a dados pessoais vinculados a pedidos na plataforma Ricardo. A Ricardo detectou atividade suspeita em seus serv…
SharePoint Server CVE-2026-65660: execução de código por um usuário logado, explorada (instale as atualizações de agosto de 2026)
A CVE-2026-65660 é uma falha de injeção de código no Microsoft SharePoint Server local (Subscription Edition, 2019 e Enterprise 2016). Segundo a Microsoft, um invasor autenticado com acesso de baixo nível pode enviar uma solicitação especia…
Gerenciar scripts de terceiros com segurança: inventário, SRI, CSP e destinos de formulários
Um script de terceiros pode ler a página em que roda, incluindo o que o usuário digita. Se o fornecedor for comprometido ou o arquivo mudar, seus usuários são afetados mesmo que o seu servidor esteja intacto. A ordem de defesa: listar tudo…
Trezor relata possível implante de hardware em um Safe 5 de um ex-revendedor (não confirmado): o que os proprietários devem fazer
Em 30 de outubro de 2026, a Trezor publicou um comunicado dizendo que sua equipe de segurança recebeu, em 28 de outubro, um relato de divulgação responsável sobre um implante de hardware em um Trezor Safe 5. O dispositivo foi comprado em ag…
Vazamento no site da Yakult Honsha (cerca de 40.000 registros): nomes, endereços, telefones, e-mails e conteúdo de consultas vazaram — o que os afetados devem fazer
A Yakult Honsha Co., Ltd. confirmou acesso não autorizado ao seu site em 26 de outubro de 2026 e suspendeu as funções do site no mesmo dia. Em seu segundo relatório, de 30 de outubro, disse ter confirmado que cerca de 40.000 registros de da…
Incidente de segurança da Zeabur (outubro de 2026, 3,22 milhões de variáveis de ambiente lidas): quais segredos trocar e o que os usuários devem fazer
Em 19 de outubro de 2026, a plataforma de deploy de aplicações Zeabur publicou um relatório preliminar sobre um incidente de segurança ocorrido em 14 e 15 de outubro (UTC). A empresa afirma que um invasor usou credenciais internas vazadas d…
Acesso não autorizado ao app de e-commerce da Aena (dados da Minha Página de até 817.215 pessoas): nomes, endereços e dados de entrega que podem ter sido visualizados, e o que os membros devem fazer
A Aena Co., Ltd., uma rede japonesa de lojas de descontos, anunciou em 14 de outubro de 2026 que os dados da Minha Página dos membros do seu app de e-commerce podem ter sido visualizados sem autorização. Segundo a empresa, a análise dos reg…
Vazamento de dados de clientes da ASOS e falso alerta no aplicativo: nomes e dados de contato levados, datas de nascimento e histórico de buscas relatados — o que os clientes devem fazer
Em 6 de outubro de 2026, clientes da ASOS receberam uma notificação push não autorizada pelo aplicativo da ASOS. A ASOS disse que uma parte não autorizada acessou plataformas de terceiros que ela usa para se comunicar com os clientes. Disse…
Vazamento em terceirizada da Benefit One no 'Toku-Kai' (29.465 pessoas): nomes, datas de nascimento e e-mails vazados, e o que os membros devem fazer
Em 28 de outubro de 2026, a Benefit One Inc. anunciou que um sistema operado por uma de suas terceirizadas foi acessado sem autorização e que dados pessoais de 29.465 membros (incluindo alguns que já saíram) do Toku-Kai, serviço para titula…
Roubo de criptoativos na Bitget (cerca de US$ 387,5 milhões): os saldos dos clientes estão cobertos e o que os titulares de contas devem fazer
Em 24 de setembro de 2026 (UTC), a corretora de criptomoedas Bitget detectou transferências não autorizadas de parte de suas carteiras quentes e mornas. Primeiro estimou cerca de US$ 351,6 milhões e em 25 de setembro confirmou cerca de US$…
Acesso não autorizado ao groupware interno da Bithumb (dados pessoais de 844 clientes expostos): números de identificação, números de conta e mais, e o que os clientes devem fazer
A Bithumb, corretora de criptomoedas da Coreia do Sul, descobriu em 27 de outubro de 2026 um acesso anômalo de um terceiro externo não autorizado ao seu sistema interno de groupware móvel e, segundo a imprensa coreana que noticiou seu anúnc…
Incidente do ConnectWise Cloud Backup (antes SkyKick): tentativas de login conduzidas por IA contra mais de 2.250 tenants do Microsoft 365 e o que os administradores devem verificar
Em 16 de outubro de 2026, a ConnectWise publicou um aviso dizendo que houve acesso não autorizado a credenciais de aplicativos associadas ao Cloud Backup (antes SkyKick), seu serviço de backup do Microsoft 365 para provedores de serviços ge…
Vazamento de dados de agentes da Covered California: nomes, números de licença e número de Seguro Social ou FEIN expostos em um incidente de phishing, e o que os agentes devem fazer
A Covered California, o marketplace de planos de saúde da Califórnia, apresentou uma notificação de vazamento de dados ao Procurador-Geral da Califórnia (informada em 16 de outubro de 2026). O aviso aos agentes diz que, em 13 de maio de 202…
Vazamento de dados do bot de Discord Double Counter (cerca de 28 milhões de IDs do Discord, 1 milhão de e-mails): o que vazou e o que membros e administradores de servidores devem fazer
A Tellter SAS, operadora do bot de verificação do Discord Double Counter, publicou um relatório do incidente em 5 de outubro de 2026 (versão 2.0 em 21 de outubro). Ela diz que um atacante entrou em 4 de outubro por uma ferramenta de análise…
Vazamento de dados de clientes da ENGIE (França): dados de contato e números de contrato expostos por uma ferramenta de vendas de parceiros, sem dados bancários, e o que os clientes devem fazer
A ENGIE, fornecedora de energia francesa, começou a enviar e-mails a clientes na França no fim de outubro de 2026 para dizer que um ataque (a expressão foi reproduzida como um ato de ciber-malevolência) atingiu uma ferramenta usada por algu…
Vazamento no site de auxílio financeiro do Departamento de Educação da Flórida (cerca de 4,9 milhões de pessoas): números de Seguro Social em risco e o que fazer
Em 29 de outubro de 2026, o Departamento de Educação da Flórida (Florida Department of Education) anunciou que sua equipe soube em 19 de outubro de um acesso criminoso não autorizado ao site Florida Student Financial Aid (FloridaStudentFina…
Vazamento de dados da Frontline Education (fornecedora de software escolar): 3,09 milhões de pessoas segundo a lista do Procurador-Geral de Indiana; números de Seguro Social, de Medicaid e de estudante afetados, e o que funcionários e famílias devem fazer
A Frontline Education, fornecedora americana de software de administração para distritos escolares K-12, publicou um Aviso de Vazamento de Dados datado de 26 de outubro de 2026. Diz que sua equipe de segurança encontrou em 14 de agosto de 2…
Vazamento de dados de membros da Hana-cupid (até 4.238.242 registros): IDs de usuário, senhas criptografadas e e-mails vazados, e o que os membros devem fazer
A Hana-cupid Co., Ltd. anunciou em 28 de outubro de 2026 que um acesso não autorizado de terceiros aos seus serviços de floricultura online, Internet Hana-cupid e Business Hana-cupid, vazou parte das informações de membros. Segundo a empres…
Vazamento de dados da iRhythm (8.179.772 pessoas na lista do HHS): nomes de pacientes do Zio, números de seguro e números de série de dispositivos, e o que os pacientes devem fazer
A iRhythm Technologies, fabricante americana do monitor cardíaco vestível Zio, informou à SEC dos EUA em 15 de junho de 2026 que havia detectado acesso não autorizado a certos aplicativos de negócios hospedados por terceiros e que dados for…
Acesso não autorizado ao fornecedor do sistema de reservas da JAL, JTA, ANA, Korean Air e Asiana (cerca de 92.000 clientes da JAL/JTA e 37.800 da ANA): números de reserva, nomes e mais dados, e o que os viajantes devem fazer
A Japan Airlines (JAL) e a Japan Transocean Air (JTA) anunciaram em 28 de outubro de 2026 que, em 23 de outubro, o fornecedor do seu sistema de atendimento a passageiros, uma empresa estrangeira, as informou de que um acesso não autorizado…
Violação da Navigate360 e da plataforma de denúncias do Crime Stoppers (P3): o que devem fazer quem enviou denúncias, quem é citado nelas e quem recebeu a notificação nos EUA
A Navigate360 publicou um aviso de violação de dados (a página não mostra data; a Reuters informa que ela reconheceu a violação em 23 de outubro de 2026) dizendo que uma parte não autorizada copiou dados de um de seus sistemas entre 21 de n…
Acesso não autorizado à Sony Life vaza dados de apólices (cerca de 2,9 milhões de registros da Sony Life e 385.000 da Medicare Life): nomes, endereços, números de apólice e mais, e o que os tomadores devem fazer
A Sony Life Insurance Co., Ltd. anunciou em 9 de novembro de 2026, em um segundo comunicado, que confirmou novos vazamentos de informações decorrentes do acesso não autorizado aos seus sistemas: dados pessoais de suas próprias apólices de s…
Vazamento de dados da Universidade de Copenhague (cerca de 525.000 pessoas): nomes, números CPR, telefones e e-mails — o que fazer
A Universidade de Copenhague (Københavns Universitet, KU) anunciou em 23 de outubro de 2026 que hackers haviam acessado um de seus ambientes de testes. Reportagens consistentes que citam a universidade dizem que foram obtidos dados de cerca…
VMware ESX CVE-2026-41709 (CVSS 2.7): a CISA lista como explorada essa falha de registro de baixa gravidade; aplique todo o VMSA-2026-0006 e verifique seus hosts
CVE-2026-41709 é uma falha de registro insuficiente no VMware ESX (CVSS 2.7, baixa): um atacante que já tem acesso de administrador pode realizar certas operações sem que elas fiquem registradas nos logs. A Broadcom a corrigiu no aviso VMSA…
Acesso não autorizado e vazamento de dados pessoais na White Essence (cerca de 1,05 milhão de contas): nomes, endereços, telefones e senhas criptografadas, e o que os usuários devem fazer
A White Essence Co., Ltd. anunciou em 12 de agosto de 2026 que havia suspendido seus sistemas após um acesso não autorizado ao seu site de reservas e aos seus sistemas centrais, e em 5 de outubro publicou suas conclusões em um comunicado in…
Acesso não autorizado à Beauty Garage e à Eyelash Garage (775.725 registros): nomes de salões, telefones, e-mails e hashes de senhas vazados, e como se proteger de falsificação de identidade
A Beauty Garage Co., Ltd. anunciou em 15 de outubro que os servidores de sua loja online, e os da Eyelash Garage, foram acessados sem autorização de 10 a 12 de outubro e que parte das informações de clientes vazou. Detectou o incidente em 1…
Falha de VPN no Cisco ASA e FTD CVE-2026-76418: um invasor sem autenticação pode reiniciar o dispositivo (como verificar, versões corrigidas)
Em 28 de outubro de 2026 (UTC), a Cisco divulgou o CVE-2026-76418 (CVSS v3.1 8.6) no serviço de VPN SSL de acesso remoto do Cisco Secure Firewall ASA e do Secure Firewall Threat Defense (FTD). Um invasor remoto sem autenticação pode fazer o…
Fragnesia do kernel do Linux (CVE-2026-46300): a CISA a lista como explorada com prazo em 31 de outubro; atualize o PHP e o kernel e reinicie
O CVE-2026-46300, apelidado de Fragnesia, é uma falha no kernel do Linux que permite a um usuário local com poucos privilégios obter root (CVSS v3.1 7.8, vetor de ataque local). Quando o kernel move fragmentos de dados entre buffers de rede…
Acesso não autorizado ao banco de dados de membros da So-net (2,14 mi de registros da So-net, 443 mil da plala S-Course): nomes, telefones e datas de nascimento vazados, e o que os usuários devem fazer
A Sony Network Communications Inc. anunciou em 27 de outubro de 2026 que confirmou um vazamento de informações por acesso não autorizado ao banco de dados de membros do seu serviço de internet So-net. Segundo a empresa, o banco de dados foi…
Acesso não autorizado ao app Toypo (697.209 usuários afetados, segundo a Toypo): telefones, nomes e endereços vazados, e o que devem fazer os usuários de apps de lojas
A Toypo Inc. confirmou em 4 de outubro de 2026 um acesso não autorizado de terceiros ao seu app de gestão de clientes, o app Toypo, e, em comunicado datado de 14 de outubro, disse que 697.209 usuários são abrangidos e que suas informações p…
Vulnerabilidade CVE-2026-48356 do Adobe Commerce e do Magento: CISA confirma exploração (KEV), a correção de julho e como verificar se houve invasão
Em 27 de outubro de 2026, a CISA incluiu a CVE-2026-48356, uma vulnerabilidade de upload de arquivos no Adobe Commerce e no Magento Open Source, em seu catálogo de vulnerabilidades sabidamente exploradas (KEV). O prazo para as agências civi…
Dados de entrega do Ichiban Kuji ONLINE podem ter vazado (acesso não autorizado na Bandai Logipal): nomes, endereços e telefones, e o que os membros devem fazer
Em 26 de outubro de 2026, a BANDAI NAMCO Holdings Inc., a BANDAI SPIRITS CO., LTD. e a Bandai Logipal Co., Ltd. anunciaram (primeiro comunicado) que um sistema gerenciado pela Bandai Logipal, a subsidiária de logística da BANDAI NAMCO Holdi…
Acesso não autorizado na Joshin (antiga Joshin Denki) (até cerca de 6 milhões de registros): nomes, endereços e telefones de membros podem ter vazado, e o que os usuários devem fazer
A Joshin Corporation, que mudou seu nome de Joshin Denki Co., Ltd. em 1º de abril de 2026, anunciou em 17 de outubro que havia identificado um acesso não autorizado em 16 de outubro e que, após tomar medidas como restringir o acesso externo…
Vazamento no site de pesquisas Qzoo (cerca de 400.000 registros): dados de membros, incluindo dados de contas bancárias, podem ter vazado, e o que os membros devem fazer
Em 21 de outubro de 2026, a Monitas Inc. anunciou que seu site de pesquisas Qzoo foi acessado sem autorização por um terceiro e que dados pessoais dos membros (painelistas) podem ter vazado. Segundo a cronologia, o acesso não autorizado com…
Vulnerabilidade do Brotli CVE-2026-111497 (Node2Shell): como verificar Node.js, Python e .NET, e o que atualizar
Em 21 de outubro de 2026 (horário dos EUA), o Google publicou o Brotli 1.2.1, 1.1.1 e 1.0.10 para corrigir a CVE-2026-111497, uma escrita fora dos limites na biblioteca oficial do Brotli. São afetados o Brotli 1.0.3–1.0.9, 1.1.0 e 1.2.0. De…
Vazamento da M3 no "MR-kun" (25.775 membros do m3.com e outros, 2.260 funcionários de farmacêuticas): o que vazou e o que médicos e funcionários de farmacêuticas devem fazer
Em 15 de outubro e em 23 de outubro de 2026 (segundo comunicado), a M3, Inc. anunciou que um terceiro havia obtido acesso não autorizado ao sistema do MR-kun, um serviço que oferece a empresas farmacêuticas, e que dados pessoais haviam vaza…
Vazamento nos pedidos online da Pizza Hut Japão: endereços de e-mail, números de telefone e tokens de sessão de login vazados, e o que os clientes devem fazer
Em 23 de outubro de 2026, a Pizza Hut Japan Ltd., que opera a Pizza Hut no Japão, anunciou que um terceiro havia obtido acesso não autorizado a um sistema ligado ao serviço de pedidos online da Pizza Hut para o Japão e que parte das informa…
Acesso não autorizado ao Rakuten Travel (até cerca de 2,6 milhões de registros): nomes, contatos e dados parciais de cartão de reservas de hotéis no exterior, e o que os usuários devem fazer
Em 26 de outubro de 2026, a Rakuten Group, Inc. anunciou ter confirmado acesso não autorizado por um terceiro externo a algumas páginas do site de reservas de hotéis no exterior do Rakuten Travel, gerenciado e operado por sua subsidiária Ra…
Como limpar o histórico de navegação, os cookies e as senhas salvas (Chrome, Safari, Edge e Firefox no computador e no celular): o que apagar depois de um vazamento e o que guardar antes
Um guia para excluir o histórico de navegação, os cookies (dados de sites), o cache, as senhas salvas e o preenchimento automático no Chrome (Windows, Mac, Android, iPhone), no Safari (Mac, iPhone, iPad), no Edge e no Firefox, com os nomes…
FortiBleed (vazamento de credenciais de cerca de 74.000 dispositivos FortiGate): não é uma nova vulnerabilidade, por isso as senhas de administrador e de VPN devem ser trocadas
FortiBleed é o vazamento em grande escala e o uso indevido de credenciais de administrador e de SSL VPN do FortiGate, o firewall e appliance de VPN da Fortinet. Em 18 de junho de 2026, a CISA alertou que credenciais associadas a cerca de 74…
Fujicco: dados de inscrição em campanha possivelmente vazados (cerca de 15.500 inscrições): nomes, endereços, detalhes familiares e o que os participantes devem fazer
Em 22 de outubro de 2026, a Fujicco Co., Ltd., fabricante japonês de alimentos conhecido por seus produtos Caspian Sea Yogurt e de algas, anunciou que um servidor da empresa contratada para lidar com as inscrições das campanhas havia sido a…
Possível vazamento de dados do app FX Navi da Green Monster (cerca de 6,19 milhões de registros): endereços de e-mail e respostas de pesquisa estão entre os itens, e o que os usuários devem fazer
Em 23 de outubro de 2026, a Green Monster Inc. (Tokyo Stock Exchange Growth, 157A) anunciou que informações de usuários do seu app de negociação demo de forex FX Navi (FXなび) podem ter sido obtidas por terceiros (primeiro relatório). Em 17…
Vazamento de dados de membros da loja online e do app da Lindt Japão (3.147.469 registros): nomes, endereços, telefones, datas de nascimento e senhas com hash vazados, e o que os membros devem fazer
Em 23 de outubro de 2026, a Lindt & Sprüngli Japão, filial japonesa da fabricante suíça de chocolate, anunciou que o sistema da empresa terceirizada que fornece a plataforma da sua loja online e gerencia os dados de membros foi acessado sem…
Vazamento de endereços de e-mail da newsletter do Piccoma (1.002.404 registros): apenas endereços de e-mail expostos e o que os usuários devem fazer
Em 24 de outubro de 2026, a Kakao piccoma Corp., responsável pelo aplicativo de mangás japonês Piccoma, anunciou que a blastmail, o sistema de entrega de e-mails da RAKUS Lite Cloud Corporation que utilizava para enviar sua newsletter, foi…
Vazamento na plataforma de cartão pré-pago Value Card (1,42 milhão de registros, 1,13 milhão de registros do MOS Card): números de cartão, PINs e saldos vazados, e o que os portadores devem fazer
Em 23 de outubro de 2026, a PayCloud Holdings, empresa listada no mercado Growth da Bolsa de Valores de Tóquio, anunciou que os servidores do Value Card, um serviço de emissão de moeda eletrônica (cartão pré-pago de loja) próprio que sua su…
Vulnerabilidade CVE-2026-110447 no servidor CODE integrado do Nextcloud Collabora explorada: quem é afetado e o que fazer
Em 14 de outubro de 2026, os desenvolvedores do Collabora Online divulgaram a CVE-2026-110447, uma vulnerabilidade de injeção de comando do sistema operacional, sem autenticação, no app do Nextcloud Collabora Online - Built-in CODE Server (…
Serviços de nuvem da Digital Arts atingidos por acesso não autorizado (i-FILTER@Cloud e outros cinco): alguns dados de clientes podem ter sido visualizados, e o que os administradores devem fazer
Em 21 de outubro de 2026, a Digital Arts Inc., fabricante japonesa de produtos de filtragem web e de e-mail e de segurança de arquivos, anunciou em comunicado de divulgação oportuna e em seu site que havia encontrado vestígios de acesso não…
Vazamento nas lojas online FANCL e Attenir (368.184 e 417.312 membros): nomes, endereços, telefones e datas de nascimento expostos, e o que os membros devem fazer
Em 16 de outubro de 2026, a FANCL Corporation e a Attenir Corporation, duas empresas japonesas de cosméticos e produtos de saúde, anunciaram que suas lojas online foram acessadas sem autorização por uma parte externa entre 3 e 10 de outubro…
Vazamento de dados da Trustbank no Furusato Choice (4.454.097 registros de membros): nomes, endereços e senhas com hash vazaram; o que doadores devem fazer
Em 20 de outubro de 2026, a Trustbank, Inc., que opera o Furusato Choice, um grande site do sistema japonês de doações de imposto para cidades natais (furusato nozei), anunciou que uma parte externa obteve acesso não autorizado a dados de m…
GitLab CVE-2026-110264 (CVSS 10.0) e a CVE-2026-97229 explorada: como verificar e atualizar um GitLab self-managed
Em 21 de outubro de 2026, o GitLab lançou as versões de correção crítica 19.5.1, 19.4.3, 19.3.6, 19.2.9, 19.1.9, 19.0.10 e 18.11.13 para a Community Edition (CE) e a Enterprise Edition (EE). A falha mais grave, a CVE-2026-110264 (CVSS 10.0)…
Vazamento na and ST HD (cerca de 2,5 milhões de registros de clientes): o que pode ter vazado e o que os membros devem fazer
Em 23 de outubro de 2026, a and ST HD Co., Ltd. anunciou que um acesso não autorizado de um terceiro aos seus servidores de negócios pode ter vazado parte dos dados de clientes, parceiros comerciais e funcionários. Segundo a empresa, a part…
VeloCloud Orchestrator CVE-2026-114625 explorada: versões corrigidas e o que verificar
Em 22 de outubro de 2026, a Arista divulgou a CVE-2026-114625, uma vulnerabilidade de injeção de SQL (CVSS v4.0 9.4, v3.1 9.9) na edição local (on-premises) do VeloCloud Orchestrator (VCO), sua plataforma de gerenciamento de SD-WAN. A Arist…
Acesso não autorizado ao serviço de envio de e-mails blastmail (dados de conta de todos os clientes e listas de destinatários e dados semelhantes de 345 contratos): o que os destinatários de newsletters e as organizações clientes devem fazer
O serviço de envio de e-mails blastmail, fornecido pela RAKUS Lite Cloud Co., Ltd., subsidiária da RAKUS Co., Ltd., foi acessado por um terceiro externo, e dados foram extraídos. A empresa encerrou o serviço em caráter de emergência às 0h30…
Vulnerabilidades exploradas em dispositivos de borda, meados de outubro de 2026: Ivanti, PAN-OS, FortiOS, Cisco
Entre 13 e 16 de outubro de 2026, a CISA adicionou ao seu catálogo Known Exploited Vulnerabilities (KEV) quatro vulnerabilidades em dispositivos de borda amplamente utilizados (equipamentos que ficam no limite entre uma rede e a internet):…
Acesso não autorizado ao sistema de clínicas @link (at-link) da Medley: nomes, datas de nascimento, IDs de login e senhas de pacientes vazaram — o que pacientes e clínicas devem fazer
Em 15 de outubro de 2026, a Medley, Inc. anunciou o acesso não autorizado de um terceiro ao seu sistema de gestão de instituições médicas @link (at-link), ao aplicativo at-link voltado aos pacientes e a serviços relacionados, e disse que os…
Acesso não autorizado à Nikkei (cerca de 1,83 milhão de registros): nomes, e-mails e outros dados vazaram em cerca de 150 mil — o que os usuários devem fazer
Em 16 de outubro de 2026, a Nikkei Inc., editora de jornais do Japão, anunciou que um serviço de nuvem usado por ela no desenvolvimento de sistemas foi acessado sem autorização e que, até o dia 16, cerca de 1,83 milhão de registros de infor…
Chaves de CA intermediária da eMudhra (emSign) comprometidas: o que usuários de Python precisam fazer com pip, certifi e uv
Em 17 de outubro de 2026, um relatório mostrou que as chaves privadas de oito certificados intermediários da autoridade certificadora indiana eMudhra (seis para TLS) haviam sido geradas de forma tão inadequada que qualquer pessoa poderia re…
Variáveis de ambiente da Railway possivelmente expostas (outubro de 2026, até 1,85% dos workspaces): quais segredos rotacionar e o que os usuários devem fazer
Em 21 de outubro de 2026 (UTC), a Railway anunciou que detectou atividade anômala envolvendo sistemas que armazenam variáveis de ambiente de clientes, e que um terceiro não autorizado pode ter acessado variáveis de ambiente criptografadas e…
SiteGuard Server Edition CVE-2026-106931 explorada: quem é afetado e o que fazer
Em 14 de outubro de 2026, a EG Secure Solutions divulgou a CVE-2026-106931, uma vulnerabilidade de injeção de comandos do SO no recurso de estatísticas do SiteGuard Server Edition, seu firewall de aplicações web (WAF) baseado em host, e afi…
Vazamento na Treasure Factory (Trefac) (746.277 registros de e-mail): o que clientes de compra a domicílio e do Trefac Moving devem fazer
Em 23 de outubro de 2026, a Treasure Factory Co., Ltd., varejista japonesa de artigos de segunda mão, anunciou que um terceiro obteve acesso não autorizado ao sistema de gestão de casos que ela usa para receber e tratar os pedidos do serviç…
Vazamento do CAPCOM ID da Capcom (11.774.247 registros): endereços de e-mail e dados de login vazados — o que os titulares de conta devem fazer
Em 22 de outubro de 2026, a Capcom Co., Ltd. anunciou que seu serviço de associação on-line CAPCOM ID (a conta compartilhada usada nos serviços web da Capcom e em alguns jogos on-line) foi acessado sem autorização por um terceiro e que part…
Vazamento de dados de membros do Comic Cmoa (até cerca de 4,2 milhões de registros em arquivos de log): e-mails e datas de nascimento vazados — o que os usuários devem fazer
A NTT Solmare Corporation, que administra a loja de e-books japonesa Comic Cmoa (コミックシーモア), publicou quatro comunicados sobre o acesso não autorizado ao serviço, de um primeiro aviso em 15 de outubro de 2026 até um quarto relatório…
Vazamento de dados na terceirizada da Iwai Cosmo Securities (4.975 clientes): o que vazou, as ordens não intencionais e o que os clientes devem fazer
Em 16 de outubro de 2026, a Iwai Cosmo Securities Co., Ltd., corretora japonesa, anunciou por meio de uma divulgação oportuna de sua controladora Iwai Cosmo Holdings que o sistema de uma terceirizada usada para operar e manter seu sistema d…
Acesso não autorizado ao Onamae.com Desktop Cloud (GMO Internet) (26.739 servidores possivelmente afetados): dados de clientes extraídos, compensação e o que traders de Forex e valores mobiliários devem fazer hoje
Em 21 de outubro de 2026, a GMO Internet, Inc. anunciou acesso não autorizado de terceiros ao Onamae.com Desktop Cloud, um serviço de VPS (servidor privado virtual) para negociação automatizada de Forex, e afirmou que um programa malicioso…
Acesso não autorizado ao serviço de envio de e-mails Cuenote FC da Ymirlink (agora cerca de 51,63 milhões de registros acumulados): dados de membros do Express Reservation e do smartEX incluídos. O que destinatários de newsletters e empresas clientes devem fazer
Em 26 de outubro de 2026, a Ymirlink, Inc. (TSE Growth, 4372) publicou um segundo relatório sobre o acesso não autorizado ao seu serviço de envio de e-mails Cuenote FC, dizendo que dados vazaram de 49 sistemas, um total acumulado de 51.628.…
Vazamento de dados do Carsensor.net e do C-MATCH da Recruit (até 3.709.551 registros): nomes e endereços de pessoas que entraram em contato com revendedoras podem ter sido expostos — o que usuários e revendedores devem fazer
Em 21 de outubro de 2026, a Recruit Co., Ltd. anunciou que informações de usuários e parceiros comerciais do Carsensor.net, seu site de anúncios de carros usados (incluindo o aplicativo), e do C-MATCH, seu serviço de apoio a negócios para r…
LiteLLM 1.107.0 distribuiu um ladrão de credenciais (outubro de 2026): versão afetada no PyPI e imagens Docker, e o que os usuários devem fazer
Em 21 de outubro de 2026 (UTC), a BerriAI, empresa por trás do LiteLLM, anunciou que seu pipeline de lançamento havia sido comprometido e que uma v1.107.0 contendo malware que rouba credenciais e carrega ferramentas de execução remota de có…
[Urgente] Falhas do PHP CVE-2026-109618 e CVE-2026-109619 já estão sendo exploradas e entram no catálogo KEV da CISA: atualize para 8.5.12, 8.4.27, 8.3.36 ou 8.2.35 agora
Em 21 de outubro de 2026, a equipe de segurança do PHP lançou o PHP 8.5.12, 8.4.27, 8.3.36 e 8.2.35, corrigindo duas vulnerabilidades críticas que podem permitir execução remota de código (RCE) sem autenticação, e pediu que todos os usuário…
Vazamento de dados do H2O ID (cerca de 1,26 milhão de registros) pelo site de reservas dos department stores Hankyu e Hanshin: endereços, telefones e datas de nascimento vazaram — o que os membros devem fazer
Em 19 de outubro de 2026, a H2O Retailing Corporation e a Hankyu Hanshin Department Stores, Inc. anunciaram em conjunto que o site de reservas dos department stores Hankyu e Hanshin, a HANKYU HANSHIN E-STORES e a Remo Order, todos operados…
Violação no sistema de inscrição de linhas da NIFTY (até 542.513 registros): números de membro, nomes, endereços e telefones podem ter sido expostos — o que os clientes de fibra devem fazer
Em 19 de outubro de 2026, a NIFTY Corporation, um provedor de internet japonês, anunciou (primeiro relatório) que confirmou um acesso não autorizado, vindo de fora, ao seu sistema de gestão de inscrição e aceitação de linhas. Segundo a empr…
Rank Math PRO 3.0.123 distribuído com malware (outubro de 2026): quem foi afetado e o que os donos de sites WordPress devem fazer
Em 16 de outubro de 2026 (UTC), o Rank Math anunciou que o Rank Math PRO v3.0.123, versão paga do seu plugin para WordPress, continha malware para um número limitado de usuários que o baixaram entre 20:02 UTC de 15 de outubro e 07:12 UTC de…
Acesso não autorizado ao construtor de sites Studio: dados de todos os usuários e envios de formulários podem ter vazado — o que quem enviou formulários e donos de sites devem fazer
Em 16 de outubro de 2026, a Studio Inc. anunciou que um terceiro obteve acesso não autorizado ao ambiente de nuvem que a empresa utiliza e que dados de todos os clientes cadastrados no seu construtor de sites Studio podem ter vazado. O terc…
Vazamento no app do Burger King Japão (cerca de 11,18 milhões de registros): nomes, datas de nascimento e telefones expostos — o que os membros devem fazer
Em 15 de outubro de 2026, a BK Japan Co., Ltd., que opera o Burger King no Japão, anunciou que o app oficial do Burger King, operado por ela, havia sido acessado sem autorização por um terceiro, e que confirmou o vazamento das informações d…
Vazamento de dados de membros da SourceNext (22.519.960 registros): e-mails, senhas e endereços podem ter sido expostos — o que os membros devem fazer
Em 15 de outubro de 2026, a SOURCENEXT CORPORATION anunciou que um terceiro obteve acesso não autorizado aos dados de membros que ela gerencia e que dados pessoais de seus membros cadastrados vazaram para fora da empresa. Segundo a empresa,…
Acesso não autorizado a alguns servidores web do ConoHa WING (GMO Internet) (426 contas): dados nas áreas de servidor web dos clientes afetados e o que os donos de sites devem fazer hoje
Em 20 de setembro de 2026, a GMO Internet, Inc. anunciou que, em alguns servidores de hospedagem (servidores web) do seu serviço de hospedagem de aluguel ConoHa WING, um terceiro obteve acesso não autorizado às áreas de servidor web de algu…
A segurança do site afeta o SEO? Vulnerabilidades, sites invadidos, HTTPS e ranqueamento segundo a documentação oficial do Google
O Google não lista vulnerabilidades como fator de ranqueamento. O dano vem quando alguém as explora. Páginas de spam colocadas por um invasor fazem os resultados mostrarem "Este site pode ter sido invadido", malware ou phishing disparam o a…
Vazamento de dados da IDARE (129.659 pessoas): saldos, histórico de transações e alguns números de documentos de identidade vazados — o que os usuários devem fazer
Em 13 de outubro de 2026, a Fivot Inc. anunciou que seu aplicativo de pagamento sem dinheiro em espécie IDARE sofreu acesso não autorizado de terceiros que vazou dados pessoais. Uma vulnerabilidade em um software externo que a empresa usava…
Vazamento do SpeeCAN RAIDEN (2026): usuários de e-mail de alerta de desastres e riscos de golpes
Em 13 de outubro de 2026, a Arcadia Inc. anunciou que o SpeeCAN RAIDEN, seu serviço de notificação em massa por e-mail e outras mensagens, foi acessado sem autorização por um terceiro, e que podem ter vazado nomes de contato, endereços de e…
Acesso não autorizado ao Commune (166.505 registros de membros, contados por comunidade): dados de membros de comunidades corporativas vazados — o que membros e operadores devem fazer
Em 9 de outubro de 2026, a Commune Inc. anunciou que seus serviços de comunidade para empresas, Commune e Commune for Work, foram acessados sem autorização por um terceiro externo, e que dados de membros de algumas comunidades vazaram. Os v…
Como verificar se alguém acessou sua conta: atividade de login, aparelhos conectados e configurações de encaminhamento (Google, Microsoft, Apple, LINE, Instagram, X)
Um guia para verificar acessos não autorizados. Olhe em três lugares: (1) atividade de login e aparelhos conectados (Google 'Seus dispositivos', Microsoft 'Atividade recente', lista de aparelhos da Conta Apple, LINE 'Devices', Instagram e F…
Como verificar se o seu site ou servidor foi invadido: verificações passo a passo para hospedagem compartilhada, WordPress e VPS, e o que fazer primeiro se encontrar algo
Verificar se um site foi invadido significa olhar tanto os sinais visíveis de fora quanto os rastros deixados dentro. Sinais: o relatório Problemas de segurança do Search Console, um rótulo 'Este site pode ter sido invadido' na busca, um av…
Vazamento da Baitoru (até cerca de 3,89 milhões de endereços de e-mail): apenas e-mails vazados — como os membros podem identificar mensagens falsas de entrevista e golpes de emprego
Em 9 de outubro de 2026, a dip Corporation anunciou que, em 6 de outubro, confirmou acesso não autorizado de terceiros à Baitoru e à Baitoru NEXT, sites de emprego que ela opera no Japão, e que alguns endereços de e-mail de membros vazaram.…
Vazamento de dados de membros da Bookoff (6.383.279 pessoas): nomes, endereços, e-mails e hashes de senha podem ter sido expostos — o que os membros devem fazer
Em 9 de outubro de 2026, a BOOKOFF GROUP HOLDINGS LIMITED anunciou que um terceiro obteve acesso não autorizado ao sistema de gestão de membros da Bookoff no Japão, fornecido por sua subsidiária BOOKOFF CORPORATION LIMITED, e que dados de m…
Malware em computador de um terceirizado da Daiichikosho (cerca de 8,72 milhões de registros): nomes, datas de nascimento e telefones de membros do Big Echo e de outros podem ter vazado — o que fazer
Em 8 de outubro de 2026, a Daiichikosho Co., Ltd. anunciou que uma empresa à qual terceiriza o tratamento de dados pessoais informou que um computador usado por um de seus funcionários estava infectado com malware, e que as informações de c…
Possível vazamento de e-mails da JR East, VIEW Card e JR Kyushu (2026): o que fazer
Em 9 de outubro de 2026, a East Japan Railway Company (JR East), a VIEW Card Co., Ltd. e a Kyushu Railway Company (JR Kyushu) anunciaram cada uma que o serviço externo que usam para enviar e-mails a seus membros foi afetado por acesso não a…
Vazamento de dados da NewsPicks (nomes de titulares de cartão e últimos dígitos, até 362.000 registros): o que vazou por meio de uma ferramenta administrativa interna e o que os usuários devem fazer
Em 8 de outubro de 2026, a Uzabase, Inc. anunciou que uma ferramenta administrativa usada na operação de seu serviço de notícias NewsPicks foi acessada sem autorização por um terceiro, e que alguns dados pessoais de usuários podem ter vazad…
Vazamento de dados da skyticket (Adventure Inc.) (cerca de 14,64 milhões de registros): senhas, dados bancários de reembolso e dados de cartão de alguns usuários expostos. O que os usuários devem fazer hoje
Em 9 de outubro de 2026, a Adventure Inc. anunciou três incidentes separados de acesso não autorizado, cada um por uma rota diferente, que afetaram seu site de comparação e reserva de viagens skyticket. No primeiro, uma função administrativ…
Programa de roubo de cartões na página de pagamento do PhotoGoods (Daiko Printing): o que quem pagou entre 6 de agosto e 11 de setembro deve fazer
Em 16 de setembro de 2026, a Daiko Printing Co., Ltd. anunciou acesso não autorizado de terceiros ao PhotoGoods (photo-goods.com), serviço que ela opera, e disse que um programa capaz de capturar ilegalmente dados de cartão de crédito digit…
O Windows pediu a chave de recuperação do BitLocker? Como encontrar a chave de 48 dígitos e o que fazer se não encontrar
A chave de recuperação do BitLocker é um número de 48 dígitos que o Windows pede quando não consegue desbloquear o disco automaticamente — depois de uma atualização do BIOS/UEFI, de uma mudança no TPM, de uma alteração na configuração de in…
Como desligar o BitLocker: veja se suspender basta e salve antes a chave de recuperação
Desligar o BitLocker descriptografa o disco inteiro. A Microsoft diz que a descriptografia deve acontecer quando a proteção não é mais necessária, não como passo de solução de problemas. Para atualizações de BIOS ou firmware, suspender a pr…
Como verificar se sua senha vazou: usar o Have I Been Pwned com segurança e as verificações que já existem no navegador e no celular
Um guia para verificar senhas vazadas. O Have I Been Pwned (HIBP) diz se um endereço de e-mail aparece num vazamento de dados conhecido, de qual serviço veio e que tipos de dados vazaram. A verificação de senhas dele (Pwned Passwords) gera…
Vazamento de dados da Daiwa Securities via fornecedor (cerca de 110.000 clientes, 220.000 registros): o que pode ter vazado e o que os clientes devem fazer
Em 5 de outubro de 2026, a Daiwa Securities Co. Ltd., uma das maiores corretoras do Japão, anunciou que o servidor de um fornecedor cujo serviço ela usa para gerenciar consultas online de clientes foi acessado sem autorização. Nomes, endere…
Uso indevido do registro CPR da Dinamarca (cerca de 8,8 milhões de pessoas): o que foi acessado e o que residentes e organizações que concedem acesso de consulta devem fazer
Em 5 de outubro de 2026, o Ministério da Pesquisa, Educação e Digitalização da Dinamarca anunciou que pessoas não autorizadas usaram indevidamente o acesso legítimo de uma empresa privada dinamarquesa para consultar dados do sistema de regi…
Configurando a autenticação de dois fatores (2FA) no GitHub: app autenticador, passkeys, códigos de recuperação e o que fazer se perder o celular
Um guia para configurar a autenticação de dois fatores (2FA) no GitHub e evitar ficar trancado fora da conta. Desde março de 2023, o GitHub vem exigindo o 2FA, grupo por grupo, de usuários que contribuem com código no GitHub.com; depois de…
Vazamento de dados do infoQ (894.082 registros): o que vazou e o que os membros devem fazer
Em 5 de outubro de 2026, a GMO Research & AI, Inc. anunciou que seu site de pesquisas infoQ havia sido acessado por terceiros sem autorização e que dados pessoais dos membros haviam sido retirados. No segundo comunicado, em 14 de outubro, c…
Violação no app e na loja online MrMax (até cerca de 1,74 milhão de pessoas): nomes, e-mails e telefones vazados — o que os membros devem fazer
Em 6 de outubro de 2026, a MrMax Co., Ltd., rede de lojas de desconto japonesa, anunciou que os servidores do app e da loja online MrMax, que ela opera, foram acessados sem autorização por um terceiro, e que parte dos dados pessoais de seus…
Ataque de ransomware na Universidade Metropolitana de Osaka (vazamento de dados pessoais confirmado a partir do armazenamento em nuvem de um terceirizado): o que alunos, ex-alunos, pais e funcionários devem fazer
A Universidade Metropolitana de Osaka, no Japão, afirma que uma falha em larga escala atingiu sua plataforma de virtualização nas primeiras horas de 2 de outubro de 2026, derrubando a rede do campus, o OMU Mail, seus sites e os sistemas aca…
Vazamento do Rakuten Drive (dados armazenados de 15.382 contas): o que foi acessado e o que os usuários devem fazer
Em 6 de outubro de 2026, o serviço de armazenamento em nuvem Rakuten Drive anunciou que um terceiro obteve de forma ilegítima as credenciais de uma conta de gerenciamento de parte dos sistemas usados pelo serviço, acessou os sistemas e obte…
Vazamento de dados da Abahouse: detalhes de pedidos podem ter vazado — como lidar com e-mails falsos de reembolso
Em 2 de outubro de 2026, a Abahouse International Co., Ltd. anunciou que um acesso não autorizado a seus sistemas internos, considerado feito por um terceiro no exterior, pode ter vazado números de identificação de membros, nomes, endereços…
Vazamento de dados da Lashinbang: números de documentos de identidade e dados bancários para repasse podem ter vazado (sem imagens de documentos) — o que os vendedores devem fazer
Em 1º de outubro de 2026, a Lashinbang Co., Ltd. anunciou que um acesso não autorizado a um serviço que opera, entre 14 e 16 de setembro de 2026, pode ter vazado nomes, endereços, números de telefone, endereços de e-mail, datas de nasciment…
Vazamento de dados no app Seicomart (cerca de 575 mil membros): nomes, endereços e datas de nascimento visualizados — o que os membros devem fazer
Em 29 de setembro de 2026, a Seicomart Co., Ltd., que administra a rede de lojas de conveniência Seicomart no Japão, anunciou que um terceiro obteve acesso não autorizado ao servidor que guarda os dados dos membros, por meio do servidor por…
Vazamento de dados do ShopServe da E-store (relatório final: cerca de 23,36 milhões de pessoas): o que compradores, donos de lojas e afiliados devem fazer
No relatório final de 16 de outubro de 2026, a E-store Co., Ltd. informou que um terceiro explorou uma vulnerabilidade em uma aplicação nos servidores do ShopServe, seu serviço para criar lojas online, e enviou ao exterior o conteúdo do ban…
Acesso não autorizado ao TEMAIRAZU (2026): orientações para hóspedes e hotéis
Em 28 de setembro de 2026, a Temairazu, Inc. anunciou acesso não autorizado à sua Série TEMAIRAZU, um sistema que hotéis e ryokans usam para gerenciar reservas de muitas fontes em um só lugar. A partir do fim da noite de 21 de setembro, hós…
Vazamentos de dados da Yamato e da Sagawa (2026): usuários afetados e resposta
A Yamato Transport identificou acesso não autorizado ao seu serviço de pagamento postergado Kuroneko em 28 de setembro de 2026, e a Sagawa Express identificou acesso não autorizado ao seu serviço de rastreamento de encomendas em 30 de setem…
Vazamento de dados de reservas da Booking.com: como identificar mensagens de golpe que se passam pela sua hospedagem
Em abril de 2026 a Booking.com notificou hóspedes de que terceiros não autorizados podem ter conseguido acessar certas informações de reservas, atualizou os PINs das reservas afetadas e disse que havia contido o problema. Segundo o aviso e…
Vazamento de dados do Canvas (Instructure): matrículas em cursos e mensagens vazaram — o que alunos, professores e instituições de ensino devem fazer
Segundo a Instructure, empresa por trás do sistema de gestão de aprendizagem (LMS) Canvas, uma atividade não autorizada foi detectada em 29 de abril de 2026, e nomes de usuário, endereços de e-mail, nomes de cursos, informações de matrícula…
Vazamento de dados da Times Car (6.628.007 registros com nomes e endereços, indícios de envio de cerca de 1,46 milhão de imagens de documentos de identidade): como verificar em Minha Página e o que membros e ex-membros devem fazer
Em seu quinto comunicado, em 23 de outubro de 2026, a Times Mobility Co., Ltd. informou que a investigação forense externa havia terminado e publicou os números finais. No sistema web da Times Car, foram encontrados indícios de acesso do in…
Avisos de 'seu PC está infectado' são quase sempre falsos: como fechá-los e o que fazer se você já ligou
Uma página no navegador gritando 'seu computador está infectado' com um número de telefone é um golpe de falso suporte técnico. O IPA do Japão diz que, se a tela apenas apareceu, o PC não está infectado e basta fechá-la, e que a maioria das…
Spam vindo do seu próprio endereço de e-mail: quase sempre é remetente falsificado, e como saber se você foi hackeado
A maior parte do spam que chega 'de' o seu próprio endereço tem o campo de remetente falsificado; a sua conta nunca foi tocada. O IPA e o JC3 do Japão já alertaram sobre e-mails de extorsão feitos para parecer assim, e o IPA diz que a sua c…
Equipamentos de VPN são a principal porta de entrada do ransomware: defesa do acesso remoto após a violação na Agência Digital do Japão
Um equipamento de VPN liga a internet à rede interna de uma organização e, no Japão, foi por onde os atacantes entraram em cerca de dois terços dos casos de ransomware com via de entrada conhecida. O incidente do GSS da Agência Digital segu…
Exposição pública de armazenamento em nuvem: quando os dados podem vazar mesmo com o Block Public Access ativado
Vazamentos de bucket vêm de configuração, não de ataque. A frase que importa na documentação: as configurações de bloqueio de acesso público não alteram as políticas nem as ACLs existentes — as configurações públicas continuam por baixo do…
4 erros comuns de segurança: configurações padrão, serviços esquecidos, falta de monitoramento e confiança excessiva na validação de entrada
Incidentes vêm de um pequeno conjunto de padrões que se repetem, e os padrões ficam mais claros organizados por crença do que por tecnologia. São quatro: o padrão deve ser seguro (nada foi configurado), o que não é usado deve ser inofensivo…
Desserialização insegura: o risco de deixar dados externos escolherem o tipo do objeto, e como evitar
O perigo da desserialização não é que cheguem valores ruins; é que alguns formatos deixam os dados externos decidirem que tipo de objeto construir. Por isso o dano não para em dados corrompidos — a OWASP lista negação de serviço, contorno d…
Falhas de design na redefinição de senha: 5 formas de tomar contas mesmo com login forte, e como corrigir
Um fluxo de redefinição é um mecanismo para deixar alguém que não sabe a senha definir uma nova — o que o torna um caminho de autenticação por si só. Fortaleça o login quanto quiser: se a redefinição for fraca, ela é a sua força real de aut…
Prototype pollution no Node.js: o que o runtime não cobre e como se defender no seu próprio código
Prototype pollution (poluição de protótipo) é o que acontece quando uma chave especial vinda de entrada externa chega aos protótipos nativos do JavaScript, normalmente por um merge recursivo. Dois resultados: propriedades que você nunca def…
Limitação de taxa e controle de abuso: como projetar limites que barram força bruta e custos descontrolados
A limitação de taxa costuma falhar não porque o limite era frouxo demais, mas porque a pergunta errada foi feita. Três perguntas: quem você conta (o IP pode ser forjado e é compartilhado por usuários reais, então a identidade vem primeiro),…
Como escolher os cabeçalhos de segurança: o que ainda é necessário, o que está obsoleto e o que faz mal
Mais cabeçalhos não é melhor. Separe-os em três grupos: ainda eficazes (CSP, HSTS, X-Frame-Options, nosniff, Referrer-Policy, Permissions-Policy), obsoletos (o Expect-CT está praticamente obsoleto desde junho de 2021) e ativamente prejudici…
Subdomain takeover (DNS pendente): como um registro DNS esquecido deixa atacantes usarem o seu domínio
Apague um recurso na nuvem sem apagar o registro DNS e você tem uma entrada pendente: qualquer um pode assumir aquele subdomínio criando um recurso com o mesmo FQDN. Os seus servidores ficam intactos enquanto um subdomínio legítimo serve co…
Qual CVE corrigir primeiro: o que CVSS, EPSS e KEV realmente medem
CVSS é gravidade, EPSS é probabilidade de exploração e KEV é exploração confirmada. Um não substitui o outro. Nossos dados das 1.695 entradas do KEV: 64% estão abaixo de CVSS 9 e 24% abaixo de EPSS 0,1 — tanto «corrigir só as notas altas» q…
osv-scanner na prática — pnpm, ignorar CVEs, modo offline e os erros que aparecem
Só as dúvidas do segundo dia, respondidas com base na documentação oficial. O pnpm-lock.yaml é suportado; exceções ficam no osv-scanner.toml em IgnoredVulns e podem ter data de validade; o modo offline são três flags com três funções difere…
Next.js e React têm muitas vulnerabilidades? O que os dados de CVE realmente mostram
Os dados dizem que o núcleo do React quase não tem CVEs, enquanto os CVEs do Next.js são numerosos e estão aumentando. O que importa é onde eles ficam: em middleware, cache, otimização de imagens e Server Actions, com SSRF, desserialização…
Worms na cadeia de suprimentos do npm: como as credenciais são roubadas na instalação e como se defender
Adicionar uma dependência significa executar o código de outra pessoa com os seus privilégios, então a defesa precisa estar no momento da instalação. A visão deste site: assinaturas e proveniência não detiveram esta campanha, então não pode…
Quando o seu provedor de hospedagem é invadido: o que os clientes devem fazer
Um comprometimento do lado do provedor não pode ser bloqueado pelas configurações do cliente, então a defesa passa de prevenir para limitar o quanto você pode perder. Os resultados da investigação de 10 de setembro estabeleceram a parte que…
Vulnerabilidades de upload de arquivos — como evitar web shells e RCE pelo design
O problema de uma vulnerabilidade de upload não é 'receber um arquivo' — é onde você o coloca e se ele pode ser executado. Endpoint sem autenticação + sem validação de tipo + armazenado sob a raiz web + scripts executados ali = web shell →…
Autenticação vs autorização: só um login não protege os dados de outros usuários
Autenticação = verificar quem é a pessoa; autorização = decidir o que ela pode fazer. São coisas diferentes, e adicionar um login não é autorização. Sem restringir os dados ao dono (user_id), 'logado = vê todos os dados' — o Broken Access C…
Como as pessoas guardam senhas? O que os dados mostram — e o jeito seguro
Pesquisas representativas mostram que ~54% confiam na memória, ~33% anotam senhas no papel e só ~36% usam um gerenciador de senhas dedicado — com ~25% reutilizando senhas. Enquanto isso, o DBIR da Verizon constatou comprometimento de creden…
Como armazenar senhas com segurança: a forma certa de fazer hash e salt
Um guia prático para armazenar senhas com segurança no servidor. Entenda por que texto puro, criptografia e hashes crus falham e então convirja para uma resposta: um salt por usuário mais um hash deliberadamente lento (Argon2id recomendado,…
Segurança para a era da IA: os fundamentos para blindar agora (checklist por prioridade)
A IA em sua maior parte amplifica ataques sobre fraquezas EXISTENTES (CVEs sem correção, senhas reutilizadas, segredos expostos) em vez de inventar novas — encontradas de forma automática, rápida e em escala. Então a melhor preparação é bli…
Medidas de segurança na era da IA que funcionam e as que não funcionam: por que sites pequenos também são alvo
Quatro equívocos da era da IA corrigidos: (1) pequeno demais para ser alvo → ataques automatizados não precisam de um humano para escolher o alvo; (2) precisa de um novo controle especial → o básico ainda funciona melhor; (3) um produto te…
Spoofing de e-mail com o seu próprio domínio: como distinguir de uma invasão, e como SPF, DKIM e DMARC o impedem
Um e-mail suspeito que parece vir do seu próprio domínio geralmente não é uma invasão — é um From falsificado, porque o SMTP deixa qualquer um escrever a linha From. Ler os headers (Authentication-Results, Received, Reply-To) distingue inva…
Fundamentos de backup: a regra 3-2-1 e um plano de recuperação que sobrevive a ransomware
'Tenho um backup' não basta — só um backup que você verificou ser restaurável é útil. O básico: a regra 3-2-1 (três cópias, dois tipos de mídia, uma fora do local). Para ransomware você também precisa de ao menos uma cópia 'offline ou imutá…
Detenha segredos antes do commit com o gitleaks: pegue vazamentos de chave de API antes do push
Segredos não podem ser 'apagados depois que vazam'. Uma vez comitado, um segredo fica no histórico do Git, e uma vez enviado deve ser tratado como vazado — a chave precisa ser revogada/rotacionada. O gitleaks é uma ferramenta gratuita que v…
Escolhendo MFA do jeito certo: o que significa 'resistente a phishing' e por que o SMS é fraco
MFA combina categorias diferentes de fatores. Códigos digitados podem ser retransmitidos por phishing; SMS também depende do controle do número. Para contas importantes, prefira métodos resistentes a phishing, como passkeys ou chaves FIDO2,…
Ainda no Windows 10? Os riscos de segurança de usá-lo após o fim do suporte
O suporte regular do Windows 10 da família Home/Pro versão 22H2 terminou em 14 de outubro de 2025. A orientação oficial consultada em 16 de outubro de 2026 indica ESU para consumidores até 12 de outubro de 2027, com continuidade automática…
BitLocker vs 'Criptografia de dispositivo' — a mesma tecnologia, versão completa vs versão automática leve
BitLocker e Criptografia de dispositivo compartilham o mesmo mecanismo de criptografia. Criptografia de dispositivo = a versão automática e leve que funciona no Home (liga sozinha com uma conta Microsoft, chave de recuperação custodiada aut…
Corrigindo CVEs de dependências de verdade: varrer, corrigir, isolar e seguir vigiando
O trabalho de vulnerabilidade não termina quando você 'corrige'. Pronto = 1) varrer, 2) corrigir, 3) isolar/repassar, 4) monitorar. Até o monitoramento (detecção de mudança diária) estar no lugar, está incompleto — dependências voltam a ser…
Protegendo um laptop que você carrega — defesa contra roubo, perda e bisbilhotagem por cima do ombro
Carregar um laptop pressupõe que você vai perdê-lo ou ele vai ser roubado. A defesa principal é configurá-lo para que uma perda não vaze o conteúdo: criptografia de disco (BitLocker/FileVault), um login forte com um bloqueio automático curt…
Instalando e usando o osv-scanner: encontre CVEs nas suas dependências automaticamente
O osv-scanner escaneia lockfiles e containers para revelar CVEs nas suas dependências, de graça. Este guia percorre a instalação, a execução e a integração ao CI, além de quando usá-lo vs. npm/pnpm audit vs. Dependabot. A visão deste site:…
Gerenciadores de senhas são seguros? Como funcionam, nuvem vs. local e como escolher
Um gerenciador de senhas ajuda a usar uma senha forte e diferente para cada serviço. A criptografia de conhecimento zero foi projetada para proteger o conteúdo mesmo se dados criptografados vazarem do provedor, mas a segurança também depend…
Os perigos do Wi-Fi público: pontos de acesso falsos e avisos de certificado importam mais que o sniffing
O 'sniffing' em Wi-Fi público é em grande parte mitigado pelo HTTPS e hoje é de baixa prioridade. Os riscos reais são (1) você mesmo se conectar a um ponto de acesso falso gêmeo maligno, (2) ignorar avisos de certificado e (3) expor seu dis…
Você deixou um arquivo de segredo em um diretório público? Audite seu webroot
Qualquer coisa no seu webroot pode ser baixada pela URL por qualquer um. Um JSON de token/credenciais esquecido, um .env ou um backup significam exposição instantânea — e se veio de um template compartilhado, todo site tem o mesmo arquivo.…
A base de segurança para devs independentes e pequenos operadores: os controles padrão em ordem de prioridade
A base não é 'tudo igualmente importante'. A ordem de prioridade deste site: 1) contas de administrador, domínio e e-mail (MFA), 2) segredos e código, 3) o próprio app, 4) corrigir, detectar, recuperar. Com tempo finito, preencha de cima pa…
O mínimo de segurança de uma organização: seis prioridades deduzidas dos incidentes reais do Japão em 2026
O «mínimo» de uma organização deve ser definido por onde os incidentes reais romperam a defesa, não por uma lista de produtos. Colocando em fila os incidentes do Japão em 2026, as entradas diferem — um dispositivo VPN, software de terceiros…
Inventário de segurança: 7 verificações que quem roda vários servidores ignora
Para operadores solo/pequenos, incidentes vêm menos de controles ausentes do que de estado não rastreado. A fronteira é o PC que guarda suas chaves. Priorize o 2FA conforme qual conta pode recuperar as outras (o e-mail primeiro), liste qual…
Git auto-hospedado vs. GitHub: qual é de fato mais seguro?
Auto-hospedar o Git não te torna 'mais seguro' — realoca o risco. A classe de exposição pública acidental desaparece, mas aplicar patches no servidor, backups e detecção de segredos pré-commit passam para você. A escolha certa se você conti…
Fundamentos de segurança no smartphone: protegendo o único dispositivo que guarda suas senhas, pagamentos e ID
Um celular concentra 2FA, e-mail, banco e ID em um só dispositivo, então perdê-lo afeta muitos serviços (um ponto único de falha). A proteção mais eficaz não é um app de segurança: (1) um bloqueio forte + bloqueio automático curto (o código…
Menor privilégio para chaves SSH: mantenha as chaves de root de produção fora de ambientes efêmeros que podem ser comprometidos
Cadastrar uma chave de root em produção a partir de um ambiente efêmero e comprometível (pod de GPU, runner de CI, VM descartável) significa que, no momento em que o ambiente é comprometido, um atacante ganha root em produção. Correção: sem…
Guardar suas senhas no Google Drive é seguro? Como mantê-las do jeito certo
Guardar senhas em um Documento/Planilha Google em texto puro é perigoso: uma conta Google vira o ponto único de falha para toda senha — sequestro de conta, um app conectado malicioso ou phishing vazam todas de uma vez. A opção mais segura é…
Por que uma conta da OpenAI é banida: chaves de API roubadas e a política de distilação
Quando uma chave de API roubada é abusada para 'distilação', até a conta da vítima pode ser suspensa automaticamente. Um guia defensivo e anonimizado sobre o mecanismo, a prevenção e os recursos.
O que é a falsificação de X-Forwarded-For (XFF): configuração incorreta de proxy confiável e como se defender
XFF é um cabeçalho forjável pelo cliente. Um scanner indiscriminado coloca sondagens de injeção em um XFF falsificado, e uma configuração de 'confiar em todos os proxies (curinga)' o deixa passar. Correção de curto prazo: higienizar o cabeç…
Uma chave de API vazou de código escrito por IA e foi usada para cobranças fraudulentas: a causa foi uma vulnerabilidade CVSS 10.0 sem correção
O pico na fatura era um sintoma. A causa foi um RCE CVSS 10.0 publicado e sem correção. Um caso anonimizado, destilado em lições defensivas.
Fundamentos de segurança: o que é de fato perigoso em .env e chaves de API
Comece por aqui. Entenda o que acontece quando .env e chaves de API vazam (alguém usa o serviço como se fosse você, e a cobrança vem para você), e então adote quatro hábitos hoje: não os exponha, não os comite, rotacione tudo se vazar e faç…
Um caso em que o .env do Laravel ficou legível publicamente: um erro de posicionamento em hospedagem compartilhada e como corrigi-lo
A causa: o app inteiro ficava sob a raiz web; só o public/ deveria estar visível. Corrija em três passos — um bloqueio temporário com .htaccess, rotacione chaves, reestruture — depois previna com processo.
Rodando Next.js com segurança: não ficar para trás nos CVEs publicados
O maior risco de framework são CVEs publicados e negligenciados. Defenda com quatro práticas: julgue pela versão em execução, monitore com Dependabot/osv-scanner, atualize rápido e rode com menor privilégio. A visão deste site: o que costum…
Mantendo o .env fora da web pública em hospedagem compartilhada
A correção principal: corpo do app fora do docroot, só public/ exposto. Bloqueie o acesso com .htaccess primeiro, torne-o permanente reestruturando e então autoverifique. A visão deste site: isto não é o deslize de uma pessoa, mas um layout…