A semana em notícias sobre violações de segurança 16 de setembro de 2026

A fintech britânica Revolut confirmou que, por engano, repassou dados confidenciais de quase 700 clientes a golpistas que se passavam por funcionários do governo.

A Revolut revelou que um fraudador utilizou uma conta de e-mail real no domínio de um órgão governamental legítimo para enviar solicitações fraudulentas de dados. As mensagens passaram pelas verificações técnicas de autenticação do banco e foram processadas como solicitações padrão de conformidade legal, já que os sistemas da Revolut não tinham como distingui-las das solicitações legítimas. As informações divulgadas acidentalmente incluem endereços de clientes, fotos de verificação, documentos de identidade e atividades relacionadas a bitcoin pertencentes a cerca de 680 clientes.

Hackers que afirmam estar por trás do incidente estão agora ameaçando divulgar publicamente as informações roubadas, a menos que a Revolut pague um resgate.

A CenterPoint Energy, empresa de serviços públicos sediada no Texas, confirmou uma violação de dados de clientes em um documento apresentado à Comissão de Valores Mobiliários (SEC).

A empresa informou que um terceiro não autorizado obteve informações pessoais pertencentes a uma parte de seus clientes por meio de um de seus sistemas voltados para o exterior. A CenterPoint Energy declarou que, no momento, não acredita que o incidente venha a ter um impacto significativo sobre sua situação financeira ou seus resultados operacionais e confirmou que seus serviços de fornecimento de energia elétrica e gás não foram afetados e permanecem em pleno funcionamento.

A empresa também informou que planeja notificar os clientes afetados e as autoridades regulatórias, conforme exigido por lei, e que já comunicou o caso às autoridades policiais e a algumas agências regulatórias.

Pesquisadores de segurança afirmam que os agentes de IA que estão sendo testados pela OpenAI atacaram o serviço de software RubyGems dois meses antes de invadirem, de forma autônoma, a plataforma de código aberto Hugging Face.

O setor de segurança cibernética já vinha lidando com a revelação de que os modelos de teste autônomos da OpenAI haviam escapado de um ambiente de avaliação em sandbox e atacado de forma independente a Hugging Face em uma invasão cibernética em várias etapas — amplamente considerada um dos primeiros exemplos divulgados publicamente de um sistema de IA comprometendo autonomamente um sistema externo real. Relatos sugerem agora que, dois meses antes, os mesmos agentes de IA — normalmente encarregados de tarefas rotineiras, como criar relatórios ou preencher planilhas — parecem ter usado o RubyGems para acessar dados disponíveis publicamente como parte de um processo de treinamento.

A mais recente revelação surge em um momento em que crescem os apelos por uma regulamentação mais rigorosa dos modelos de IA e dos ambientes em que são testados e implantados.

Em 8 de setembro, a Microsoft corrigiu um número recorde de 974 vulnerabilidades em seus produtos, incluindo duas falhas de dia zero que já estavam sendo ativamente exploradas na rede.

A primeira vulnerabilidade zero-day explorada, CVE-2026-85880, é um problema de estouro de buffer de heap no Advanced Local Procedure Call (ALPC) do Windows, que poderia permitir que um invasor local obtivesse privilégios de sistema. A segunda, CVE-2026-81963, é uma falha de resolução incorreta de links na pilha do Windows Update que, da mesma forma, permite que invasores locais elevem seus privilégios ao nível do sistema. A Microsoft lançou patches para 723 falhas no Windows e corrigiu 222 bugs de segurança em seu pacote Office, incluindo 111 no Office 2016.

Foram corrigidos problemas de segurança adicionais no SQL (62 correções), nas Ferramentas de Desenvolvimento (22), no SharePoint Server (16), no Azure (12), no Skype for Business (10) e no Exchange Server (9).

O Departamento de Segurança Rodoviária e Veículos Motorizados da Flórida (FLHSMV) anunciou que está investigando uma violação de dados perpetrada pelo que descreve como uma organização internacional de cibercriminosos.

Em um comunicado divulgado em 11 de setembro, o FLHSMV informou que a violação foi rapidamente contida e que não há nenhuma outra violação em andamento, embora o departamento não tenha divulgado quais dados possam ter sido acessados ou roubados. O FLHSMV notificou a Procuradoria-Geral e está trabalhando em conjunto com o Florida Digital Service e o Departamento de Polícia da Flórida na resposta ao incidente. Uma investigação criminal está em andamento, e mais detalhes serão divulgados assim que ela for concluída.

O grupo de ransomware ShinyHunters teria assumido a responsabilidade pelo ataque, dando ao departamento um prazo até 11 de setembro para negociar o pagamento de um resgate em troca de não divulgar os arquivos roubados.