ransomware
10 artigos com esta tag
Ataques de ransomware ao Synology DSM: versões desatualizadas atacadas por uma falha corrigida em dezembro de 2024, o que atualizar e verificar hoje (SA-24:20)
Em 29 de outubro de 2026, a Synology disse ter identificado agentes de ameaça explorando uma vulnerabilidade corrigida em dezembro de 2024 para atacar dispositivos com versões desatualizadas do DSM, com o objetivo de criptografar dados e exigir resgate. Insta fortemente todos os que usam versões vulneráveis a atualizar o DSM imediatamente e recomenda ativar as atualizações automáticas. Aponta para a Synology-SA-24:20, cujas versões corrigidas são 7.2.2-72806-1 ou superior para o DSM 7.2.2, 7.2.1-69057-6 para o 7.2.1, 7.2-64570-4 para o 7.2, 7.1.1-42962-7 para o 7.1 e 6.2.4-25556-8 para o 6.2. O aviso lista três CVEs e a Synology não diz qual deles está sendo explorado. Não divulgou o número de vítimas nem o nome de nenhum atacante. Conclusão deste site: verifique hoje a versão do seu DSM, atualize para a versão corrigida ou posterior e não exponha a interface de administração do DSM à internet. Mantenha um backup separado do NAS e que ele não consiga sobrescrever.
Ataque de ransomware à Universidade de Saga (dados pessoais de estudantes, funcionários e ex-alunos podem ter vazado, cerca de 80 mil pessoas, além de dados de pacientes): o que devem fazer as pessoas com nome, endereço e senha registrados
A Universidade de Saga, uma universidade nacional do Japão, anunciou em 30 de outubro de 2026 que, após o ataque de ransomware que divulgou em 28 de setembro em seus sistemas de informação administrativa, confirmou que não pode descartar que as informações pessoais que mantém, incluindo dados de pacientes, tenham vazado para fora da universidade. Segundo a universidade, às 8h42 de 24 de setembro ela confirmou um dano que se acredita causado por ransomware em um NAS (armazenamento conectado à rede) usado pelos departamentos administrativos. Depois pediu a uma empresa especializada externa que investigasse a via de invasão e o alcance. O grupo afetado é de cerca de 80 mil pessoas: estudantes, funcionários, ex-alunos, ex-funcionários e pessoas relacionadas. Os itens são nome, data de nascimento, sexo, endereço, telefone, endereço de e-mail e senha. O número de pacientes ainda está sendo investigado, e os dados de pacientes são descritos como informações pessoais que exigem cuidado especial (departamento clínico, nome da doença ou lesão, data da consulta etc.). O comunicado não diz em que forma as senhas eram armazenadas (criptografadas ou com hash). A universidade alerta que podem chegar e-mails, mensagens de texto e ligações suspeitos que se passem pela universidade ou por organizações relacionadas. Opinião deste site: confira qualquer mensagem que diga ser da universidade ou de seu hospital em um site oficial que você mesmo abra, mesmo que os dados nela estejam corretos, e troque qualquer senha que tenha reutilizado da sua conta universitária.
FortiBleed (vazamento de credenciais de cerca de 74.000 dispositivos FortiGate): não é uma nova vulnerabilidade, por isso as senhas de administrador e de VPN devem ser trocadas
FortiBleed é o vazamento em grande escala e o uso indevido de credenciais de administrador e de SSL VPN do FortiGate, o firewall e appliance de VPN da Fortinet. Em 18 de junho de 2026, a CISA alertou que credenciais associadas a cerca de 74.000 dispositivos haviam vazado. Em 19 de junho, a Fortinet afirmou que não se trata de uma nova vulnerabilidade e que a atividade provavelmente envolve reutilização de credenciais de incidentes anteriores somadas a ataques de força bruta contra dispositivos com senhas fracas e sem autenticação multifator. Em 23 de junho, a JPCERT/CC emitiu um alerta dizendo ter confirmado que os dados incluem informações relacionadas a empresas japonesas. Em 6 de outubro, o FBI e o Serviço Secreto dos EUA alertaram que a atividade continua, que alguns administradores foram impedidos de acessar seus dispositivos e que o acesso tem sido usado como porta de entrada para ransomware. Atualizar para um firmware corrigido não invalida as senhas vazadas. Conclusão deste site: se você usa FortiGate, troque as senhas de administrador e de VPN, ative a autenticação multifator, retire a interface de gerenciamento da internet e remova as cópias legadas em SHA-256 das senhas de administrador.
Possível vazamento de e-mails da JR East, VIEW Card e JR Kyushu (2026): o que fazer
Em 9 de outubro de 2026, a East Japan Railway Company (JR East), a VIEW Card Co., Ltd. e a Kyushu Railway Company (JR Kyushu) anunciaram cada uma que o serviço externo que usam para enviar e-mails a seus membros foi afetado por acesso não autorizado em um provedor de serviços em nuvem, e que não podem descartar que endereços de e-mail e outros dados dos membros tenham sido visualizados ou obtidos. Os números são, no máximo, cerca de 1,67 milhão de membros do eki-net e cerca de 390 mil membros do Otona no Kyujitsu Club (JR East); cerca de 4,03 milhões de endereços de e-mail de usuários do VIEW's NET (VIEW Card); e, no máximo, cerca de 1,3 milhão de membros do JR Kyushu Web (JR Kyushu). Para eki-net, VIEW's NET e membros do JR Kyushu Web, apenas endereços de e-mail estão envolvidos; para membros do Otona no Kyujitsu Club, também estão envolvidos o número de membro, a data de validade do cartão de crédito e a data de nascimento. Nomes, endereços, telefones e números de cartão estão excluídos. O provedor de serviços em nuvem afirmou que a interrupção iniciada no começo de 7 de outubro foi causada por um ataque de ransomware de terceiros. Em seu quinto relatório, em 14 de outubro, o provedor disse não ter encontrado nenhum rastro de dados nos servidores virtuais da área afetada sendo visualizados ou retirados, e concluiu que não houve vazamento externo de dados. Em 15 de outubro, após receber essas conclusões, a JR Kyushu anunciou que não foi confirmado nenhum vazamento de endereços de e-mail dos membros do JR Kyushu Web. O site do eki-net da JR East também informa que, em 15 de outubro, a empresa de serviço de envio de e-mails comunicou ter concluído que nenhum dado pessoal dos membros do eki-net vazou (verificado em 19 de outubro). Para membros do Otona no Kyujitsu Club e para a VIEW Card, este site não encontrou novidades até 19 de outubro (verificado no site de cada empresa). Em seu sétimo relatório, em 27 de outubro, o provedor de serviços em nuvem disse que sua investigação foi concluída e apontou como causa uma vulnerabilidade em um software de código aberto usado no sistema de autenticação de seu portal de gestão de clientes. Sua conclusão de que nenhum dado dos servidores virtuais vazou para o exterior não mudou. A visão deste site: a JR Kyushu disse que nenhum vazamento foi confirmado, e o eki-net afirma ter sido informado de que nenhum dado pessoal de seus membros vazou. Mesmo assim, e-mails falsos que usam este incidente como pretexto ainda podem chegar. Não faça login a partir de links em e-mails; verifique pelo aplicativo oficial ou por um favorito salvo por você mesmo.
Ataque de ransomware na Universidade Metropolitana de Osaka (vazamento de dados pessoais confirmado a partir do armazenamento em nuvem de um terceirizado): o que alunos, ex-alunos, pais e funcionários devem fazer
A Universidade Metropolitana de Osaka, no Japão, afirma que uma falha em larga escala atingiu sua plataforma de virtualização nas primeiras horas de 2 de outubro de 2026, derrubando a rede do campus, o OMU Mail, seus sites e os sistemas acadêmico, financeiro, de folha de pagamento e da biblioteca. Em entrevista coletiva em 5 de outubro, afirmou ter concluído que a causa foi um ataque de ransomware. As aulas foram suspensas de 2 a 8 de outubro e, em seu quarto comunicado, em 8 de outubro, a universidade anunciou que as aulas presenciais seriam retomadas em todos os campi em 9 de outubro. No quinto comunicado, em 21 de outubro, a universidade disse que a contratada que mantém e opera seus sistemas principais informou que uma empresa para a qual subcontrata foi alvo de um ataque cibernético no fim de setembro de 2026, e que os sistemas da universidade foram acessados sem autorização usando a conta legítima da subcontratada. A contratada também informou que dados pessoais relacionados à universidade e informações de sistema armazenados em nuvem usada pela contratada foram confirmados como vazados; o conteúdo e os números ainda estão sendo verificados com a contratada. Os dados que a universidade citou na entrevista como possivelmente vazados (cerca de 130.000 registros relacionados ao sistema de assuntos acadêmicos, entre outros) estão na própria plataforma de virtualização da universidade e são separados; se vazaram, ainda está sob investigação. Em 23 de outubro, a universidade abriu uma central de atendimento para ex-alunos e pais. Reportagens indicam que cerca de 500 servidores pararam e grande parte dos dados de backup também foi criptografada. A visão deste site: verifique qualquer mensagem que se diga da universidade na página OMU Entrance, e não por links em e-mails ou mensagens de texto, e comunique contatos suspeitos à central de atendimento da universidade. As organizações devem listar as contas que suas contratadas e subcontratadas usam e manter ao menos um backup que as contas administrativas de produção não possam apagar.
Ransomware na Capcom (2020) — por que um dispositivo VPN antigo foi a porta de entrada, e a defesa contra a dupla extorsão
A porta de entrada foi um dispositivo VPN antigo de backup que continuou ligado numa subsidiária norte-americana depois de unidades novas o substituírem. A partir dele a rede foi invadida, os dados foram roubados e então o ransomware criptografou os sistemas (dupla extorsão). Dados de até ~390.000 pessoas foram potencialmente expostos (nenhum dado de cartão de pagamento). A Capcom se recusou a pagar, restaurou de backup e divulgou de forma transparente. Defenda-se desativando equipamentos sem uso, aplicando patches em dispositivos de borda e cobrindo tanto o roubo quanto a criptografia (segmentação, detecção, backups).
Ransomware na KADOKAWA / Niconico (2024) — por que se espalhou por toda a empresa, e segmentação de rede & BCP
A entrada foi descrita como phishing que roubou as credenciais de um funcionário; a partir daí a rede interna foi invadida e o ransomware rodou, derrubando muitos serviços do grupo (incluindo o Niconico) por meses e vazando dados de ~250.000 pessoas. Relatos e análises atribuem a propagação por toda a empresa a sistemas de criticidade muito diferente que dividiam a mesma rede, supostamente com pouca segmentação. Defenda-se segmentando a rede por criticidade, usando autenticação resistente a phishing e preparando continuidade de negócios (BCP) e recuperação.
O que é ransomware? Como funciona, como entra e como evitar pagar
Ransomware é um malware que criptografa seus arquivos e exige pagamento para tê-los de volta. Ataques modernos adicionam a dupla extorsão — roubam os dados primeiro e ameaçam vazá-los, então só descriptografar não detém o vazamento. Principais rotas de entrada: phishing, VPN/RDP fracos ou sem MFA e falhas sem patch expostas à internet. A defesa mais importante são backups offline/imutáveis mais testes de restauração — conseguir se recuperar sem pagar. Também previna a invasão (MFA, patches) e limite o dano (privilégio mínimo, segmentação).
Vazamento em massa do MOVEit (2023) — como um zero-day de SQL injection alcançou mais de 2.700 organizações, e como se defender
A entrada foi um zero-day de SQL injection (CVE-2023-34362) no MOVEit Transfer, exposto à internet. Um web shell (LEMURLOOT) foi plantado e dados foram roubados em massa do banco de dados de retaguarda, atingindo mais de 2.700 organizações e cerca de 93,3M de pessoas. A maioria das vítimas foi arrastada indiretamente porque um fornecedor usava o MOVEit. No seu ambiente: patch rápido de KEV, minimizar a exposição, menor privilégio e segmentação entre web↔DB, inventário de fornecedores e minimização de dados.
Fundamentos de backup: a regra 3-2-1 e um plano de recuperação que sobrevive a ransomware
'Tenho um backup' não basta — só um backup que você verificou ser restaurável é útil. O básico: a regra 3-2-1 (três cópias, dois tipos de mídia, uma fora do local). Para ransomware você também precisa de ao menos uma cópia 'offline ou imutável' — um backup sempre conectado é criptografado junto com o original. Sincronização na nuvem não é backup (ela replica exclusões e criptografia também). Versionamento e um teste de restauração periódico completam a prática.