A semana em notícias sobre violações de segurança 1º de outubro de 2025

Os cibercriminosos continuam atacando instituições de ensino nos EUA a um ritmo alarmante. A mais recente vítima, o Distrito Escolar Comunitário de South Lyon, foi obrigada a fechar as escolas após um ataque de ransomware.

Descoberto em 14 de setembro, confirmou-se que o ataque foi resultado de uma infecção por ransomware perpetrada por um grupo conhecido, embora as autoridades ainda não tenham divulgado o nome. Embora não haja evidências de que os dados de alunos ou professores tenham sido comprometidos, o ataque paralisou os sistemas telefônicos e vários subsistemas auxiliares, incluindo aqueles utilizados em situações de emergência, como respostas a ataques com atirador ativo.

Esse ataque é um dos muitos que estão afetando escolas em todo o país. É preocupante que, de acordo com a organização sem fins lucrativos Center for Internet Security (CIS), 82% das escolas do ensino fundamental e médio tenham sofrido um incidente cibernético entre julho de 2023 e dezembro de 2024.

A Harrods, loja de departamentos de luxo de Londres, divulgou que os dados pessoais de 430 mil clientes foram comprometidos em uma violação de dados. Em um e-mail enviado aos clientes em 26 de setembro, a empresa alertou que os dados pessoais podem ter sido roubados após um dos sistemas de um de seus prestadores de serviços ter sido comprometido.

A Harrods afirmou que o impacto foi “limitado” a informações básicas, incluindo nomes, dados de contato e preferências de marketing. A empresa enfatizou que as senhas das contas e os dados de pagamento não foram afetados. Embora os invasores tenham tentado entrar em contato com a empresa, a Harrods se recusou a dialogar ou negociar com o grupo de hackers.

A empresa acrescentou que se tratou de um “incidente isolado” e que não tinha relação com um outro incidente ocorrido em maio, quando restringiu o acesso à internet em todas as suas instalações após uma tentativa de acesso não autorizado. Ainda assim, isso representa mais um ataque em uma onda de incidentes cibernéticos que, recentemente, têm tido como alvo empresas britânicas de grande visibilidade.

A Agência de Segurança Cibernética e de Infraestrutura (CISA) divulgou na semana passada que agentes mal-intencionados invadiram, no ano passado, uma agência não identificada do Poder Executivo Civil Federal (FCEB), explorando uma vulnerabilidade crítica em seu servidor de mapeamento GeoServer, de código aberto.

Embora o ataque tenha ocorrido em um dos servidores da agência em 9 de julho de 2024, a ferramenta de detecção e resposta em terminais (EDR) da agência só alertou seu centro de operações de segurança (SOC) três semanas depois. Durante esse período, os agentes mal-intencionados utilizaram técnicas de força bruta para roubar senhas, escalar privilégios e se deslocar lateralmente para comprometer mais dois servidores.

A vulnerabilidade crítica, que permite a execução remota de código (RCE), foi divulgada em 30 de junho de 2024, com uma pontuação CVSS de 9,8. Esse ataque ocorreu apenas duas semanas após essa divulgação. Na sequência da violação, a CISA instou as equipes de operações de segurança de todas as organizações a monitorarem de perto os alertas do EDR em busca de atividades suspeitas e a reforçarem os planos de resposta a incidentes para conter as violações mais rapidamente.

Agências de segurança cibernética em todo o mundo, incluindo a CISA e o Centro Nacional de Segurança Cibernética (NCSC) do Reino Unido, alertaram sobre um “ator de ameaças avançado” que está atacando ativamente dispositivos que executam o software de firewall Adaptive Security Appliances (ASA) da Cisco.

De acordo com as agências, a campanha “generalizada” explora vulnerabilidades de dia zero em dispositivos da Cisco, permitindo que invasores executem código malicioso e instalem malware. Os equipamentos afetados incluem determinados dispositivos da série Cisco ASA 5500-X, que atuam como firewalls protegendo redes corporativas contra invasões.

Em um comunicado, os analistas da Cisco afirmaram ter “alta confiança” de que a campanha está ligada ao ArcaneDoor — um agente de ameaças patrocinado pelo Estado que a empresa identificou pela primeira vez em 2024. Em uma diretiva de emergência emitida na última quinta-feira, a CISA ordenou que as equipes de segurança cibernética do governo localizassem todos os dispositivos afetados em pouco mais de um dia, os verificassem em busca de atividades maliciosas e aplicassem as atualizações de segurança destinadas a corrigir as vulnerabilidades.

A Volvo North America divulgou uma violação de dados envolvendo informações pessoais de seus funcionários, após um ataque de ransomware ter atingido seu fornecedor terceirizado, a Miljödata.

O ataque de ransomware, ocorrido em 20 de agosto, afetou pelo menos 25 organizações, incluindo a Volvo North America, a companhia aérea escandinava SAS e mais de 200 municípios suecos. O ataque teve como alvo sistemas utilizados para atestados médicos, registros de reabilitação e gestão de acidentes de trabalho. Os dados expostos incluíram nomes de funcionários, números de Seguro Social, endereços de e-mail, endereços físicos, números de telefone, documentos de identidade oficiais, datas de nascimento e gênero.

Um grupo de ransomware chamado DataCarry assumiu a responsabilidade pelo ataque à Miljödata e, supostamente, já teria publicado os dados roubados em seu site de vazamento na rede Tor.

Em mais um caso de vazamento de dados de terceiros, a empresa brasileira de tecnologia da saúde Maida.health teria exposto mais de 2 TB de dados confidenciais relacionados à Polícia Militar do país.

A empresa, que gerencia softwares de faturamento, sinistros de seguros e teleconsultas para prestadores de serviços de saúde, incluindo a Polícia Militar do Brasil, teria sofrido uma violação que comprometeu 2,3 TB de dados. As informações expostas incluiriam diagnósticos médicos, números de identificação e dados pessoais de membros da Polícia Militar, o que suscita grandes preocupações quanto à segurança das informações relacionadas à defesa do país. Ainda mais alarmante é o fato de os dados roubados terem sido anunciados para venda em um fórum clandestino.