MFA
10 artigos com esta tag
FortiBleed (vazamento de credenciais de cerca de 74.000 dispositivos FortiGate): não é uma nova vulnerabilidade, por isso as senhas de administrador e de VPN devem ser trocadas
FortiBleed é o vazamento em grande escala e o uso indevido de credenciais de administrador e de SSL VPN do FortiGate, o firewall e appliance de VPN da Fortinet. Em 18 de junho de 2026, a CISA alertou que credenciais associadas a cerca de 74.000 dispositivos haviam vazado. Em 19 de junho, a Fortinet afirmou que não se trata de uma nova vulnerabilidade e que a atividade provavelmente envolve reutilização de credenciais de incidentes anteriores somadas a ataques de força bruta contra dispositivos com senhas fracas e sem autenticação multifator. Em 23 de junho, a JPCERT/CC emitiu um alerta dizendo ter confirmado que os dados incluem informações relacionadas a empresas japonesas. Em 6 de outubro, o FBI e o Serviço Secreto dos EUA alertaram que a atividade continua, que alguns administradores foram impedidos de acessar seus dispositivos e que o acesso tem sido usado como porta de entrada para ransomware. Atualizar para um firmware corrigido não invalida as senhas vazadas. Conclusão deste site: se você usa FortiGate, troque as senhas de administrador e de VPN, ative a autenticação multifator, retire a interface de gerenciamento da internet e remova as cópias legadas em SHA-256 das senhas de administrador.
Vazamento de dados do Canvas (Instructure): matrículas em cursos e mensagens vazaram — o que alunos, professores e instituições de ensino devem fazer
Segundo a Instructure, empresa por trás do sistema de gestão de aprendizagem (LMS) Canvas, uma atividade não autorizada foi detectada em 29 de abril de 2026, e nomes de usuário, endereços de e-mail, nomes de cursos, informações de matrícula e mensagens foram exfiltrados. A empresa diz que os campos envolvidos não foram projetados para armazenar senhas, datas de nascimento, informações de saúde, números do Seguro Social (EUA), informações financeiras, notas nem registros disciplinares. Em 7 de maio, o mesmo agente usou outra vulnerabilidade para alterar páginas exibidas após o login. A lista de campos parece banal, mas um e-mail mais as disciplinas que alguém cursa é exatamente o que um golpe convincente com tema escolar precisa, e as mensagens são texto livre, então qualquer coisa que as pessoas tenham escrito nelas pode estar incluída. Confirme qualquer contato só pelos canais oficiais da sua instituição; a TI da escola deve cadastrar contatos de segurança, revisar os logs, exigir MFA dos administradores e manter cópia dos dados dos cursos fora do LMS.
Como as pessoas guardam senhas? O que os dados mostram — e o jeito seguro
Pesquisas representativas mostram que ~54% confiam na memória, ~33% anotam senhas no papel e só ~36% usam um gerenciador de senhas dedicado — com ~25% reutilizando senhas. Enquanto isso, o DBIR da Verizon constatou comprometimento de credenciais em ~38% das violações e que ~74% das senhas em dados de violação eram reutilizadas. Em resumo: os hábitos de armazenamento mais populares são os mais fáceis de explorar para os atacantes. O básico seguro é um gerenciador (senha única por site) mais passkeys/MFA nas suas contas mais importantes.
Segurança para a era da IA: os fundamentos para blindar agora (checklist por prioridade)
A IA em sua maior parte amplifica ataques sobre fraquezas EXISTENTES (CVEs sem correção, senhas reutilizadas, segredos expostos) em vez de inventar novas — encontradas de forma automática, rápida e em escala. Então a melhor preparação é blindar os fundamentos na ordem certa: correção de CVE + monitoramento de dependências, parar de reutilizar senhas + MFA, remover segredos expostos, menor privilégio, reduzir a superfície pública, logs/IOCs, backups.
O que é phishing? Os tipos de ataque e defesas mais confiáveis do que identificar a olho
Phishing se passa por uma parte confiável para atraí-lo a uma página de login falsa e roubar credenciais ou dados (ou rodar malware). Mira no julgamento humano em vez de uma falha de software, e é a rota de entrada número um para ransomware e vazamentos. O phishing moderno com invasor no meio (AiTM) retransmite até códigos de uso único para o site real em tempo real, então o MFA por SMS/app pode ser derrotado. A defesa confiável não é 'identificar a olho', mas mecanismos: MFA resistente a phishing vinculado ao domínio (passkeys/chaves de segurança), ir direto ao site oficial em vez de clicar em links e autenticação de e-mail (SPF/DKIM/DMARC).
Escolhendo MFA do jeito certo: o que significa 'resistente a phishing' e por que o SMS é fraco
MFA combina categorias diferentes de fatores. Códigos digitados podem ser retransmitidos por phishing; SMS também depende do controle do número. Para contas importantes, prefira métodos resistentes a phishing, como passkeys ou chaves FIDO2, e confira a verificação do usuário e a recuperação.
Gerenciadores de senhas são seguros? Como funcionam, nuvem vs. local e como escolher
Um gerenciador de senhas ajuda a usar uma senha forte e diferente para cada serviço. A criptografia de conhecimento zero foi projetada para proteger o conteúdo mesmo se dados criptografados vazarem do provedor, mas a segurança também depende da força da senha-mestra, das configurações de criptografia e da segurança do dispositivo. Use MFA para impedir logins não autorizados e escolha nuvem ou local conforme o uso.
A base de segurança para devs independentes e pequenos operadores: os controles padrão em ordem de prioridade
A base não é 'tudo igualmente importante'. A ordem de prioridade deste site: 1) contas de administrador, domínio e e-mail (MFA), 2) segredos e código, 3) o próprio app, 4) corrigir, detectar, recuperar. Com tempo finito, preencha de cima para baixo. A maioria das invasões sérias vem não de ataques inéditos, mas da falta de um destes controles básicos.
Fundamentos de segurança no smartphone: protegendo o único dispositivo que guarda suas senhas, pagamentos e ID
Um celular concentra 2FA, e-mail, banco e ID em um só dispositivo, então perdê-lo afeta muitos serviços (um ponto único de falha). A proteção mais eficaz não é um app de segurança: (1) um bloqueio forte + bloqueio automático curto (o código é a chave de criptografia); (2) atualizações automáticas de SO/apps; (3) loja oficial + revisão de permissões; (4) configure bloqueio/apagamento remoto com antecedência; (5) mantenha um backup do seu 2FA. iOS/Android já criptografam e isolam por padrão.
Guardar suas senhas no Google Drive é seguro? Como mantê-las do jeito certo
Guardar senhas em um Documento/Planilha Google em texto puro é perigoso: uma conta Google vira o ponto único de falha para toda senha — sequestro de conta, um app conectado malicioso ou phishing vazam todas de uma vez. A opção mais segura é um gerenciador de senhas dedicado (o conteúdo fica criptografado mesmo quando sincronizado). Se você precisar usar o Drive, guarde só um arquivo de cofre criptografado e coloque MFA resistente a phishing na conta.