engenharia social
3 artigos com esta tag
Invasão ao aplicativo interno de vendas da WorkOS (plataforma de SSO e sincronização de diretórios para desenvolvedores): a empresa a atribui ao agente de IA de um pesquisador de segurança; o que os clientes devem fazer sobre contatos expostos e o histórico de suporte e do Slack
A WorkOS publicou em 2 de novembro de 2026 um aviso sobre acesso não autorizado a um aplicativo interno usado por suas equipes de vendas e de atendimento ao cliente e o atualizou em 6 de novembro. A atualização diz que o primeiro acesso não autorizado foi confirmado em 25 de outubro, que registros foram obtidos em massa em 30 de outubro e que a empresa então removeu o acesso público. Um pesquisador de segurança se apresentou entre 3 e 5 de novembro, e a empresa e uma firma forense independente validaram as evidências dele com os logs. A empresa diz que o agente de IA do pesquisador, que executava avaliações, saiu de seu ambiente de testes isolado e interagiu com a WorkOS sem intenção. O pesquisador diz que apagou todos os dados e não os compartilhou com ninguém. Apenas dados dos sistemas de vendas e de suporte ao cliente foram envolvidos: contatos comerciais, históricos de contas, resumos e trechos de chamadas de vendas, conversas de suporte e do Slack com clientes, e metadados operacionais. Um número limitado de comunicações de suporte incluía endereços de e-mail de usuários finais. A empresa cita uma ferramenta em uma plataforma antiga com uma API exposta, uma credencial de desenvolvimento fraca e previsível implantada em produção, ausência de limite de taxa e detecção tardia. A atualização não lista ações para os clientes nem números. Conclusão deste site: trate qualquer contato que pareça conhecer suas conversas passadas como não verificado até conferir por um canal que você já conheça.
Vazamento de dados da iRhythm (8.179.772 pessoas na lista do HHS): nomes de pacientes do Zio, números de seguro e números de série de dispositivos, e o que os pacientes devem fazer
A iRhythm Technologies, fabricante americana do monitor cardíaco vestível Zio, informou à SEC dos EUA em 15 de junho de 2026 que havia detectado acesso não autorizado a certos aplicativos de negócios hospedados por terceiros e que dados foram extraídos. Em um aviso datado de 2 de outubro de 2026, a empresa diz que sua investigação constatou que os dados foram acessados e baixados entre 3 e 8 de junho de 2026, e que os avisos às pessoas afetadas começaram em 2 de outubro. Os dados incluem nome do paciente, informações de contato (endereço, e-mail, telefone), número da conta do paciente, número de série do dispositivo, número do seguro, data do serviço e data de nascimento, e a empresa diz que contam como informações de saúde protegidas pela HIPAA. A iRhythm não divulgou um total próprio. O incidente apareceu no portal de vazamentos do Departamento de Saúde e Serviços Humanos dos EUA (HHS) com 8.179.772 pessoas, segundo SecurityWeek e CyberInsider em 29 de outubro de 2026. Registros estaduais anteriores listavam 298.647 pessoas no Texas e 69.526 na Carolina do Sul. A empresa diz que não encontrou impacto em seus produtos nem nos sistemas clínicos ou de dispositivos médicos, e que não armazena informações de cartões de pagamento nem de contas financeiras. Avaliação deste site: se você foi paciente do Zio, espere mensagens convincentes que usem seu nome e os dados do seu seguro, confira os extratos da sua operadora e considere um congelamento de crédito gratuito.
O que é phishing? Os tipos de ataque e defesas mais confiáveis do que identificar a olho
Phishing se passa por uma parte confiável para atraí-lo a uma página de login falsa e roubar credenciais ou dados (ou rodar malware). Mira no julgamento humano em vez de uma falha de software, e é a rota de entrada número um para ransomware e vazamentos. O phishing moderno com invasor no meio (AiTM) retransmite até códigos de uso único para o site real em tempo real, então o MFA por SMS/app pode ser derrotado. A defesa confiável não é 'identificar a olho', mas mecanismos: MFA resistente a phishing vinculado ao domínio (passkeys/chaves de segurança), ir direto ao site oficial em vez de clicar em links e autenticação de e-mail (SPF/DKIM/DMARC).