A semana em notícias sobre violações de segurança 15 de outubro de 2025

A divulgação feita pela SonicWall no mês passado sobre uma violação de dados em seu serviço de backup em nuvem parece ser muito mais grave do que se acreditava inicialmente.

Em 8 de outubro, após uma investigação completa conduzida em parceria com a Mandiant, do Google, a SonicWall anunciou que um terceiro não autorizado acessou arquivos de backup da configuração do firewall de todos os clientes que utilizaram o serviço de backup em nuvem da SonicWall. Trata-se de um agravamento significativo em relação à avaliação anterior da empresa, realizada em 17 de setembro, quando se acreditava que apenas 5% de sua base instalada de firewalls havia sido afetada. Ao mesmo tempo, a SonicWall reafirmou que os arquivos expostos contêm credenciais criptografadas e dados de configuração.

A empresa recomenda que todos os clientes façam login e verifiquem seus dispositivos imediatamente. Além disso, já começou a notificar parceiros e usuários diretamente e disponibilizou ferramentas para ajudar a avaliar e corrigir os sistemas afetados.

A Microsoft alertou que hackers estão invadindo plataformas SaaS de recursos humanos, como a Workday, para atacar funcionários de universidades dos EUA e desviar seus salários para contas controladas pelos invasores.

Apelidado de “pirata da folha de pagamento”, o Microsoft Threat Intelligence observou um golpe com motivação financeira perpetrado por um agente malicioso chamado Storm-2657, que comprometeu contas de funcionários de universidades para acessar perfis de RH e redirecionar pagamentos. Desde março de 2025, o grupo tem usado táticas de engenharia social e a falta de autenticação multifatorial (MFA) para invadir 11 contas de e-mail em três universidades. A partir daí, eles enviaram quase 6.000 e-mails de phishing para 25 universidades, usando iscas como alertas de doenças no campus e denúncias de má conduta de professores para roubar credenciais de login por meio de ataques do tipo “adversário no meio” (AiTM).

A Microsoft afirmou que essa é mais uma variante do golpe conhecido como “business email compromise” (BEC). Os ataques não exploram falhas nas próprias plataformas de RH, mas sim tiram proveito da baixa adoção da autenticação multifatorial (MFA) e de práticas de autenticação deficientes.

Em 12 de outubro de 2025, a Qantas Airways confirmou que hackers haviam divulgado os dados pessoais de mais de 5,7 milhões de clientes na dark web.

A Qantas está entre as muitas empresas globais — incluindo Toyota, Disney, Ikea, Air France e KLM — que foram alvo do coletivo de hackers Scattered Lapsus$ Hunters. Segundo relatos, o grupo roubou quase 1 bilhão de registros em julho, tendo como alvo clientes da gigante de tecnologia em nuvem. Embora os hackers não tenham invadido a própria Salesforce, eles se passaram por funcionários legítimos da Salesforce em ligações para os serviços de suporte de TI das empresas afetadas para obter acesso. No caso da Qantas, um call center nas Filipinas teria sido explorado para obter acesso.

Os dados dos passageiros que vazaram incluem datas de nascimento, números de telefone, endereços, e-mails e números de programas de milhagem. A Qantas confirmou que nenhum dado de cartão de crédito, informação financeira ou de passaporte foi comprometido e que as contas dos programas de milhagem permanecem seguras.

Em um novo e preocupante desdobramento, os agentes mal-intencionados estão se valendo indevidamente de uma ferramenta de perícia digital e resposta a incidentes (DFIR) para realizar ataques de ransomware.

O Velociraptor é uma plataforma DFIR de código aberto utilizada por equipes de segurança para monitorar terminais em ambientes Windows, Linux e macOS. Ela permite a coleta contínua de dados e uma resposta rápida a eventos de segurança. De acordo com pesquisadores da Cisco Talos, em um ataque observado em meados de agosto de 2025, os invasores utilizaram a ferramenta para distribuir as famílias de ransomware Warlock, LockBit e Babuk. Durante o ataque, os invasores exploraram vulnerabilidades do SharePoint local, conhecidas como ToolShell, para obter acesso inicial e implantar uma versão desatualizada do Velociraptor (versão 0.73.4.0). Essa versão continha uma falha de escalonamento de privilégios (CVE-2025-6264) que permitia a execução arbitrária de comandos e o comprometimento total do terminal.

Pesquisadores afirmam que isso representa mais um exemplo de como os grupos de ransomware estão ampliando seus arsenais, transformando ferramentas legítimas — tanto comerciais quanto de código aberto — em armas para ataques mais sofisticados.

A Shuffle, uma das principais plataformas de apostas em criptomoedas, confirmou uma violação de dados após seu prestador de serviços de atendimento ao cliente ter sido comprometido, expondo os dados da maioria de seus usuários.

Em 10 de outubro, a Shuffle anunciou que sua prestadora de serviços de gestão de relacionamento com o cliente (CRM), a Fast Track, sofreu uma violação de dados que expôs informações dos usuários. A empresa utilizava a Fast Track para o envio programático de e-mails e outras comunicações com os usuários, o que significa que se acredita que endereços de e-mail e mensagens estejam entre os dados comprometidos. A Shuffle informou que seus especialistas estão investigando como ocorreu o vazamento e para onde os dados roubados podem ter ido parar.

As informações expostas incluem nomes completos, endereços de e-mail, endereços residenciais, números de telefone e históricos completos de transações. A violação também revelou padrões de apostas e registros de mensagens do suporte ao cliente, gerando preocupações quanto à privacidade dos usuários e ao possível uso indevido de dados comportamentais confidenciais.