Internacional
Google corrige zero-day no modem dos Pixel já explorado em ataques
A Google corrigiu uma vulnerabilidade de alta gravidade no modem dos telemóveis Pixel, identificada como CVE-2026-58704, com pontuação CVSS de 8.0. É um caso de privilege escalation causado por um erro de lógica no código, que permite contornar verificações de permissões sem qualquer interação da vítima. Por ser um ataque zero-click, não é preciso abrir um ficheiro nem clicar num link para o desencadear. A Google confirmou indícios de exploração limitada e direcionada, mas não avançou detalhes sobre os atacantes nem sobre as vítimas visadas.
O patch está incluído na atualização de segurança de setembro de 2026 para dispositivos Pixel, que resolve ainda mais 109 falhas, entre as quais 46 classificadas como críticas em componentes como o bootloader e o Trusted Execution Environment. A CISA acrescentou a CVE-2026-58704 ao catálogo de vulnerabilidades exploradas (KEV), o que obriga as agências federais dos Estados Unidos a aplicar a correção até 19 de setembro. Recomenda-se a atualização imediata dos dispositivos Pixel afetados.
Três grupos distintos usam backdoors, ransomware e wipers contra empresas russas
A Kaspersky identificou três clusters de ameaça diferentes a atacar empresas na Rússia, cada um com métodos próprios. O NightEagle, ativo desde pelo menos 2023, usa credenciais válidas roubadas para entrar em VPNs corporativas e instala o backdoor modular GhostContainer em servidores Microsoft Exchange, dando controlo total sobre a máquina e a capacidade de executar código arbitrário. Para se mover lateralmente pela rede, o grupo explora falhas no Active Directory, entre elas a CVE-2019-0708 (BlueKeep), e chega a personificar o controlador de domínio através de um ataque DCSync para obter hashes de palavras-passe.
O segundo grupo, Hacking Cat, é uma entidade hacktivista pró-Ucrânia que abandonou os defacements de sites em favor de ataques destrutivos, distribuindo o trojan de acesso remoto Gorilla RAT e variantes do ransomware Monkey capazes de cifrar sistemas Windows, Linux e VMware ESXi. O terceiro, Toy Ghouls, motivado financeiramente, passou de ransomware genérico para um backdoor próprio que comunica com os operadores através do protocolo MQTT ou do serviço de mensagens cifradas Element, em vez dos canais habituais, para dificultar a deteção.
Fuga de dados na Revolut pode ter origem numa conta comprometida do governo italiano
A Revolut confirmou que os seus sistemas não foram invadidos, mas que recebeu pedidos fraudulentos que pareciam vir de um domínio oficial do governo italiano. Segundo a imprensa italiana, a conta de correio institucional comprometida pertencia à Prefeitura de Reggio Calabria, no domínio pec.interno.it, e foi usada por indivíduos que se fizeram passar por agentes da polícia postal italiana. Cerca de 680 clientes da Revolut foram afetados, com exposição de documentos de identidade, moradas, extratos bancários, selfies de verificação e histórico de transações, incluindo em criptomoedas.
Os atacantes enviaram à Revolut centenas de identificadores de transações e endereços de depósito em blockchain, pedindo que a empresa associasse essa informação a clientes específicos, uma tática que investigadores descreveram como "spray and pray". O grupo que reivindica a autoria, autodenominado IAmNotAVillain, alega ter mantido acesso durante cerca de seis meses a sistemas de várias autoridades policiais italianas e ter extraído perto de 147 GB de dados, uma alegação ainda sem confirmação independente. O caso continua a ser investigado e levanta dúvidas sobre até que ponto a infraestrutura de comunicações oficiais do governo italiano foi comprometida.
Reguladora espanhola recebe primeira notificação de fuga de dados executada por um agente de IA
A Agência Espanhola de Proteção de Dados (AEPD) publicou detalhes do que descreve como a primeira notificação de uma violação de dados pessoais executada por um agente de inteligência artificial. O ataque envolveu um login bem-sucedido, seguido de pesquisa autónoma por vulnerabilidades e acesso a dados pessoais e faturas. Segundo a AEPD, o aspeto relevante do ponto de vista da proteção de dados é que um terceiro terá usado um agente de IA como instrumento para encadear sozinho várias fases do ataque, o que a agência considera uma mudança qualitativa face aos ataques assistidos por IA já conhecidos, como phishing gerado por IA ou deepfakes.
Especialistas em segurança consultados apontam três explicações possíveis: um atacante que contornou as proteções do modelo, por exemplo através de um jailbreak; um modelo a escapar de um ambiente de testes mal configurado, no contexto de avaliações recentes feitas por empresas como a OpenAI e a Anthropic; ou um pentester que construiu uma ferramenta baseada num LLM popular e a usou sem autorização. A AEPD defende que a gestão de risco precisa de se adaptar à velocidade destes ataques, com deteção e resposta automatizadas, mantendo sempre supervisão humana.
Von der Leyen propõe mecanismo de emergência da UE para ciberataques e sabotagem
A presidente da Comissão Europeia, Ursula von der Leyen, propôs no discurso anual sobre o Estado da União, em Estrasburgo, um mecanismo de emergência que permite a qualquer país da UE convocar os governos do bloco em resposta a ameaças de segurança, incluindo sabotagem, ciberataques e incursões de drones. Von der Leyen referiu que as ameaças estão a aumentar no território europeu, citando incidentes recentes na Dinamarca, na Lituânia e na Polónia, além de uma tentativa de ataque com drones em Leipzig, na Alemanha.
O modelo proposto inspira-se no artigo 4.º do Tratado do Atlântico Norte da OTAN, que permite a consulta entre membros quando a integridade territorial ou a segurança de um deles é ameaçada, sem chegar ao nível de defesa coletiva do artigo 5.º. Von der Leyen anunciou ainda planos para um Conselho de Segurança Europeu, que juntaria líderes da UE a parceiros como Reino Unido, Canadá, Noruega e Ucrânia, e para um novo instrumento europeu de apoio a capacidades estratégicas, incluindo defesa aérea, transporte e capacidades cibernéticas. Os detalhes da nova estratégia de segurança europeia ainda não foram divulgados.
Portugal
Incidentes ligados a IA quase duplicam nas empresas portuguesas, aponta relatório da Hiscox
Entre as empresas portuguesas que sofreram ciberataques, 92% registaram pelo menos um incidente associado a novas vulnerabilidades de IA nos últimos 12 meses, segundo o Relatório de Ciberpreparação da Hiscox 2026, um aumento de 44 pontos percentuais face aos 48% registados em 2025. A frequência destes incidentes mais do que duplicou, passando de uma média de 1,60 para 3,48 ataques por empresa. Das organizações atacadas, 24% identificaram uma ferramenta ou aplicação de IA como um dos pontos de entrada usados pelos atacantes.
A Hiscox aponta o shadow AI, a adoção de ferramentas de IA por colaboradores sem conhecimento ou supervisão das equipas de segurança, como um dos principais riscos, agravado pela falta de políticas internas e auditorias. Cerca de 46% das empresas portuguesas colocam vulnerabilidades de ferramentas de IA de terceiros entre as três maiores ameaças tecnológicas dos próximos cinco anos, seguidas do envenenamento de dados de IA e de malware ou phishing gerado por IA, ambos com 43%. O estudo mostra que 42% das empresas atacadas chegaram a adiar a adoção de IA ou de outras tecnologias novas por causa de incidentes de segurança.
Também em destaque
Três ucranianos vão a julgamento por hackear 610 mil contas do Roblox e vendê-las na Rússia
As autoridades ucranianas anunciaram que três homens, um organizador de 19 anos e dois cúmplices de 22, vão ser julgados por alegadamente roubar acesso a mais de 610 mil contas do Roblox, entre maio de 2025 e abril de 2026, e vendê-las a compradores na Rússia. O grupo terá usado malware para roubar tokens de sessão das vítimas, que permitem assumir o controlo de uma conta sem conhecer a palavra-passe, distribuído através de software que prometia vantagens em jogos ou bónus gratuitos.
Um programa próprio verificava se os tokens roubados ainda eram válidos e avaliava o valor de cada conta, com base em moeda virtual e itens raros, para decidir se seria vendida individualmente ou em lote. As contas mais valiosas chegavam a ser vendidas por cerca de 70 rublos russos, e os investigadores estimam que o esquema pode ter gerado cerca de 480 mil dólares, dos quais quase 54 mil já foram rastreados em criptomoeda convertida e transferida para contas bancárias dos suspeitos. Os três enfrentam acusações de furto, branqueamento de capitais e acesso não autorizado a sistemas informáticos, com pena máxima de 12 anos de prisão.
Pedro Tavares is a professional in the field of information security working as an Ethical Hacker/Pentester, Malware Researcher and also a Security Evangelist. He is also a founding member at CSIRT.UBI and Editor-in-Chief of the security computer blog seguranca-informatica.pt.
In recent years he has invested in the field of information security, exploring and analyzing a wide range of topics, such as pentesting (Kali Linux), malware, exploitation, hacking, IoT and security in Active Directory networks. He is also Freelance Writer (Infosec. Resources Institute and Cyber Defense Magazine) and developer of the 0xSI_f33d – a feed that compiles phishing and malware campaigns targeting Portuguese citizens.
Read more here.