Um congelador de supermercado na Estônia atingiu 50°C esta semana, e não foi um mau funcionamento, foi um ciberataque. Seis países foram atingidos durante a noite. Lojas na Irlanda retiraram todos os seus alimentos refrigerados, um açougueiro na Bélgica descartou centenas de quilos de carne, e algumas dessas empresas ainda usavam senhas padrão em 2026. Isso é o que as pessoas não entendem sobre cibersegurança: não se trata mais apenas do seu cripto ou das suas senhas. Alguém sentado em um quarto em algum lugar pode estragar o abastecimento alimentar de todo um país com um laptop. O próximo ciberataque não esvaziará sua carteira, pode esvaziar sua geladeira.

Alguém pode desbloquear seu telefone com uma foto impressa do seu rosto, e a maioria de vocês nem sabe disso. A maioria dos telefones Android usa uma câmera 2D básica para desbloqueio por rosto, sem infravermelho, sem detecção de profundidade, apenas uma correspondência de imagem plana. Pesquisadores têm comprovado há anos que uma simples foto é suficiente para contornar esse recurso. Essa é a “segurança” que protege seus aplicativos bancários, suas carteiras de criptomoedas, suas frases semente, toda a sua vida. E toda vez que você o usa, sua câmera frontal processa um quadro do seu rosto e o armazena localmente em pastas do sistema que você nunca abriu. Não criptografado, não protegido, apenas lá, esperando. Se você estiver usando o desbloqueio por rosto em qualquer dispositivo que não seja um flagship com detecção de profundidade adequada, troque para impressão digital ou um PIN forte hoje. Seu rosto é a única senha que você nunca poderá redefinir.

o aplicativo que você baixou para proteger suas contas pode ter sido a razão pela qual você foi hackeado o Microsoft Authenticator no Android tinha uma vulnerabilidade que permitia a aplicativos maliciosos roubar tokens de acesso à sua conta de trabalho sem precisar de nenhuma permissão É um aplicativo sentado no seu telefone fazendo o que quiser A falha estava no componente broker, basicamente a parte que gerencia a autenticação entre aplicativos Ele não estava verificando corretamente, então qualquer aplicativo aleatório podia entrar e pegar seus tokens como se eles pertencessem a ele A Microsoft já corrigiu isso (CVE-2026-80097, CVSS 8.6, que é uma gravidade alta), mas se você não atualizou seu aplicativo Authenticator recentemente, ainda pode estar exposto É essa parte que me deixa chocado. As pessoas instalam aplicativos autenticadores porque são orientadas a fazer isso como algo seguro, e é mesmo Mas quando a própria ferramenta de segurança tem uma falha, a maioria das pessoas nunca sequer pensaria em verificar Atualize seus aplicativos. Não apenas o sistema operacional do seu telefone, mas também seus aplicativos. Especialmente aqueles em que você mais confia Porque são esses os que você deixa de prestar atenção

Fiz uma postagem sobre o que estava acontecendo na internet há alguns dias e ela atingiu 2,3 milhões de visualizações. Desde então, piorou. A vulnerabilidade Brotli que a OpenAI encontrou acidentalmente? Ela evoluiu. Agora estão chamando de HTTP2Shell, e afeta todos os principais navegadores, todos os sistemas operacionais, aplicativos como Discord, Slack, VS Code, 1Password. Correções ainda não estão disponíveis para tudo. O CEO da Cloudflare disse: “Toda semana vai parecer que o céu está caindo”. A Polymarket abriu literalmente uma aposta sobre se mais falhas graves serão divulgadas este mês. Hackers usaram modelos de IA para automatizar ataques simultâneos em mais de 400 bancos pela América Latina. 24 horas por dia, sem pausas. O X tinha uma falha que permitia acessar a conta de um estranho apenas inserindo seu número de telefone. A carteira de hardware Keystone foi comprometida por meio da API da Shopify; nomes e endereços residenciais dos clientes vazaram. Uma empresa japonesa de nuvem perdeu 27.000 servidores e o Japão ativou pela primeira vez na história uma defesa cibernética de nível militar. Atualize seu navegador. Atualize seus aplicativos. Altere suas senhas. Ative a autenticação de dois fatores em todos os lugares. Outubro ainda não acabou conosco.

Um desenvolvedor acabou de depositar US$ 2.000 em bitcoin em um servidor com vulnerabilidade PHP e desafiou toda a internet a roubá-lo. 17 horas depois, o dinheiro ainda está lá. As pessoas estão sobrecarregando o servidor, mas ninguém consegue realmente explorar a vulnerabilidade. Lembra quando eu postei sobre Marcus Hutchins expor aqueles exploits falsos gerados por IA no GitHub? Essa é a prova. A vulnerabilidade é real. Mas usá-la efetivamente é uma história completamente diferente. US$ 2.000 sentados em um servidor com falha, e toda a internet não consegue tocar neles.

Um único bug colocou todos os navegadores, todos os sistemas operacionais e quase todos os aplicativos que você usa em risco de serem hackeados. A vulnerabilidade do bug Brotli, descoberta acidentalmente pela OpenAI enquanto realizava testes de invasão em seus próprios sistemas, evoluiu de “node2shell” para algo que pesquisadores estão chamando de HTTP2Shell, e o alcance do dano é imenso. Não estamos falando mais de uma única biblioteca. Estamos falando de todos os principais navegadores: Chrome, Edge, Firefox. Todos os sistemas operacionais, incluindo iOS. Aplicativos Electron como Discord, Slack, VS Code, 1Password, Notion. Ferramentas de imagem, leitores de PDF, softwares de arquivamento, aplicativos de IA para desktop, até mesmo o curl. Basicamente, se algo toca a internet ou lida com dados comprimidos, provavelmente está afetado. O CVE original, CVE-2026-111497, já era grave — execução remota de código sem autenticação por meio de dados comprimidos maliciosos. Mas o escopo acabou de se expandir para abranger quase tudo o que você usa diariamente. Correções ainda não estão disponíveis para todos os serviços afetados. Atualize tudo agora. Navegadores primeiro, depois aplicativos de desktop, depois ferramentas de desenvolvimento. Se algo oferecer uma atualização hoje, não faça perguntas — apenas instale. A internet está funcionando sobre uma base rachada e as rachaduras acabaram de ficar muito maiores.

Esse cara de TI acabou de salvar toda uma empresa de um ataque de ransomware à meia-noite, e essa história é insana. O cara estava literalmente assistindo Netflix quando seu telefone começou a ficar louco com alertas de servidor. Ele se conectou remotamente e viu os arquivos da empresa mudando de nome um por um em tempo real, tudo se transformando em uma bagunça sem sentido. Esse homem pegou as chaves do carro e dirigiu até o escritório como um louco. Chegou às 12:20 AM, totalmente escuro, e foi de mesa em mesa, puxando manualmente os cabos LAN de 40 PCs, com as mãos tremendo. A nota de resgate em cada tela? Pague-nos todo o lucro mensal da empresa em bitcoin em até 72 horas. Seu chefe ligou e disse para pagar, precisamos desses arquivos para segunda-feira. Ele disse não. Empresas que pagam são alvejadas novamente. Tentou restaurar a partir dos backups, mas o servidor de backup também havia sido atingido. Mesma rede, mesmo ransomware. O cara disse que sua mente ficou completamente em branco. Mas ele tinha uma última carta na manga. Toda quarta-feira, no caminho para casa, ele fazia manualmente um backup dos dados da empresa em um disco rígido externo e guardava no gaveteiro da sua mesa. Um hábito que quase deixou de fazer porque parecia uma perda de tempo. Esse disco rígido no gaveteiro salvou toda a empresa. Reconstruiu tudo durante o fim de semana, e na segunda-feira de manhã todos os envios foram enviados. Seu chefe riu e disse: "Fico feliz que você não enviou aquele bitcoin". Na semana seguinte, dois discos rígidos adicionais apareceram na sua mesa. O hábito chato que ninguém queria fazer foi a única coisa que realmente funcionou.

A OpenAI acidentalmente encontrou uma vulnerabilidade que poderia comprometer milhões de servidores e eles nem estavam procurando por ela. Eles estavam tentando impedir que seus modelos de IA acessassem a internet durante o treinamento, criando um mundo totalmente offline para eles. Enquanto realizavam red-teaming nesse ambiente, depararam-se com uma vulnerabilidade no Brotli, uma das bibliotecas de compressão mais amplamente utilizadas na internet. A falha permite que um atacante execute seu próprio código em qualquer sistema afetado enviando dados comprimidos maliciosos. Nenhum login é necessário, nenhuma conta de usuário é exigida. Basta enviar os dados e você já está dentro. O Brotli está integrado ao Node.js, Bun, Envoy e basicamente qualquer coisa que lide com tráfego web comprimido. A falha foi tecnicamente corrigida em fevereiro, mas ninguém sabia na época que se tratava de uma questão de segurança. Assim, por meses, o patch existiu, mas quase ninguém o aplicou, pois parecia apenas uma atualização rotineira. Às vezes, as descobertas mais assustadoras acontecem quando você nem está procurando.

Eles estão chamando isso de “Outubro Negro”, e acho que as pessoas não percebem o quão sério isso é. Nas últimas 48 horas, ocorreram mais de 27 incidentes cibernéticos importantes. Não em um mês. Não em uma semana. Em 48 horas. QUALQUER UM desses normalmente seria a maior notícia do ano. PHP: vulnerabilidade crítica no software que executa 80% da web. gravidade 9,2 de 10. Node.js: falha de alta gravidade que permite que atacantes assumam servidores remotamente. Afeta as versões 22, 24 e 26. Java: também comprometido. Três das linguagens de programação mais usadas no mundo atingidas ao mesmo tempo. GitLab: falha de gravidade 10/10 em todas as versões desde 2014. Railway: plataforma de hospedagem comprometida. Chaves API da OpenAI, Claude e Stripe potencialmente expostas. Signal: um bug que pode deixar seu microfone e câmera ligados após você desligar a chamada. WordPress: hackers roubaram as chaves de um criador de plugin e instalaram backdoors em sites. LiteLLM: uma ferramenta de IA baixada 3,4 milhões de vezes por dia foi envenenada com um roubador de senhas. E isso nem é metade da lista. Milhares de enxames de agentes de IA estão supostamente escaneando e atacando servidores vulneráveis agora mesmo. Automatizados. 24 horas por dia. Pesquisadores de segurança dizem que isso pode ser o início de um incidente cibernético global que ninguém ainda entende plenamente. Se você mantém um site, usa serviços em nuvem, armazena chaves API em plataformas de hospedagem ou usa qualquer software construído com PHP, Node.js ou Java, você pode estar afetado. Atualize tudo. Rotacione suas chaves API. Altere suas senhas nos serviços críticos. Ative a autenticação de dois fatores em todos os lugares onde ainda não ativou. Esta não é uma semana normal na internet. Isso é algo diferente.

Mais uma vez, Revolut, mano. Vazamento de dados que expôs nomes, endereços, fotos de passaportes e histórico de transações em cripto. Há algumas semanas. Um cara pode ter sido assaltado à faca por US$ 800 mil por causa desses dados vazados. Semana passada. Agora, uma interrupção de serviço afetando milhões de usuários hoje. “Seu dinheiro e seus dados estão seguros”, dizem eles. Neste ponto, quantas vezes a Revolut precisa aparecer na mídia por motivos errados antes que as pessoas comecem a fazer perguntas sérias? Seus dados são vazados. Seu serviço cai. E tudo o que você recebe é “pedimos desculpas por qualquer inconveniente”. Um assalto de US$ 800 mil não é um inconveniente, mano.