Panorama

A Vates alertou para uma falha de autenticação no Xen Orchestra e no Xen Orchestra Appliance, plataforma web de gestão de ambientes de virtualização XCP-ng, que já estaria sendo explorada. Segundo o BleepingComputer, um cookie de autenticação manipulado permite entrar como administrador sem credenciais, o que pode levar ao controle completo dos hosts como root. A empresa publicou indicadores de comprometimento, como uma máquina virtual chamada pivot2 e arquivos novos em /etc/cron.d/, e lembrou que a exploração não deixa rastro nos logs. As versões corrigidas são a 6.9.1 e a 6.10.0. Se a atualização não for possível, a orientação é restringir a interface de gestão a uma rede dedicada e trocar senhas e segredos se houver suspeita de invasão.

A atualização de segurança de novembro da Microsoft corrigiu 1.094 vulnerabilidades, segundo a SecurityWeek, incluindo uma falha de falsificação no Outlook (CVE-2026-124194) que a empresa diz estar sendo explorada. A vítima precisa abrir um arquivo de mensagem preparado; o painel de visualização não dispara o problema. Se explorada, a falha revela o hash NTLMv2 do usuário, que pode ser usado para se autenticar em nome dele. Afeta o Microsoft 365 Apps para Empresas e o Office LTSC 2021 e 2024. O pacote também traz as últimas atualizações mensais para as edições Enterprise e Education do Windows 11 versão 23H2. A orientação é aplicar as correções e tratar com cautela anexos de mensagem recebidos sem contexto.

A Polícia Federal cumpriu mandado de busca e apreensão em Juiz de Fora (MG), na Operação Nacional Tentáculos, em investigação sobre o suposto uso de uma conta bancária para receber dinheiro de fraudes eletrônicas. Computadores, celulares e outras mídias foram apreendidos para perícia, que deve ajudar a identificar outros envolvidos e dimensionar o prejuízo das vítimas. Segundo a PF, a apuração nasceu do Projeto Tentáculos, iniciativa que usa dados compartilhados por instituições financeiras para identificar fraudes bancárias eletrônicas e golpes digitais. O caso mostra que a conta de passagem é um ponto de investigação central nos golpes.

Um vídeo de torcedores entoando gritos contra o presidente, compartilhado como se fosse do Grande Prêmio de São Paulo de Fórmula 1 de 2026, foi gravado na edição de 2022, poucos dias após aquela eleição presidencial. O Aos Fatos localizou a publicação original, de 13 de novembro de 2022, por meio de busca reversa de imagem e não encontrou registros de manifestação política no evento deste ano. As postagens somavam milhares de curtidas e compartilhamentos no Instagram e no Facebook. O caso ilustra a forma mais comum de desinformação visual: conteúdo verdadeiro, mas fora de contexto, que se desmonta conferindo a primeira aparição do material.

A Polícia Civil do Rio Grande do Sul, por meio da Draco de São Luiz Gonzaga, deflagrou a Operação Miragem contra um grupo suspeito de anunciar veículos em grupos de redes sociais por preços cerca de 30% abaixo do mercado. Segundo a polícia, o comprador pagava um sinal, recebia um recibo de compra falso e o carro nunca era entregue. Foram expedidos 10 mandados de prisão e 102 de busca em 22 municípios, com buscas também em seis presídios onde estariam integrantes do esquema. A investigação aponta pelo menos 120 vítimas, mais de R$ 500 mil arrecadados e 129 investigados, que têm direito à presunção de inocência. Preço muito abaixo do mercado e pedido de sinal antes de ver o veículo seguem como os principais alertas.

A provedora de hospedagem em nuvem Railway publicou relatório sobre a invasão iniciada em 20 de outubro. Segundo o BleepingComputer, os atacantes exploraram uma falha desconhecida na infraestrutura de build para escapar do isolamento, obtiveram uma credencial interna e chegaram a chaves que decifram variáveis de ambiente dos clientes. Até 1,85% dos workspaces podem ter sido afetados, número que a empresa trata como teto, e tokens vinculados de 1.852 usuários foram redefinidos. As credenciais roubadas teriam gerado cerca de US$ 740 mil em cobranças de IA, que a Railway diz que vai reembolsar. A empresa associa o caso à campanha chamada de Black October pela Wiz, que também atingiu outras plataformas de desenvolvimento.

A agência de cibersegurança dos EUA (CISA) adicionou ao catálogo de vulnerabilidades exploradas (KEV), em 9 de novembro de 2026, falhas no IBM Aspera Faspex (escalonamento de privilégios por usuário autenticado), no SignalWire FreeSWITCH (injeção de código que pode expor credenciais e permitir execução de comandos) e no GPUStack (acesso administrativo sem autenticação), além da falha SSHole do OpenSSH. As três primeiras têm nota CVSS 9,8 e já contam com correção. Agências federais americanas têm até 12 de novembro para corrigir. Segundo o The Hacker News, não há detalhes públicos sobre quem explora essas três falhas.

O WhatsMyName, conjunto de dados comunitário usado por várias ferramentas OSINT para verificar se um nome de usuário existe em centenas de sites, deixou de ser mantido em 9 de novembro de 2026. Segundo o aviso do criador, Micah Hoffman (WebBreacher), o repositório foi arquivado por falta de fôlego para manter as detecções e porque já existem outras soluções para o problema. A base final, com 691 sites, segue disponível no mesmo endereço, sob licença aberta, para não quebrar as ferramentas que a baixam. O próprio projeto alerta que, sem atualização, a precisão tende a cair, e recomenda tratar os resultados como pistas a confirmar.

A Polícia Civil de Goiás deflagrou a Operação Máquina de Fraudes contra um grupo suspeito de aplicar golpes pela internet e de atuar com apostas ilegais. Segundo a polícia, a apuração começou com uma falsa campanha de doações que usava vídeo falso de um líder religioso conhecido. Os investigadores dizem ter identificado uma rede de empresas financeiras e plataformas de pagamento supostamente usada para movimentar os valores. Foram expedidos 12 mandados de prisão temporária e 27 de busca em sete estados, e um dos investigados, que mora nos Estados Unidos, é alvo de Difusão Vermelha da Interpol. A Justiça determinou bloqueio de bens que somam quase R$ 40 milhões.

Circula nas redes uma suposta previsão, atribuída a uma conta ligada ao Google e a um episódio de Os Simpsons, de apagão mundial em 17 de novembro de 2026. Não há anúncio oficial nem indício técnico disso. A data coincide com um evento real: o teste nacional do sistema de alertas de emergência (EAS) dos Estados Unidos, marcado pela FEMA e pela FCC para as 14h20 no horário da costa leste americana, com cerca de um minuto de duração e mensagens em emissoras, sem envio a celulares. Nada no anúncio do teste fala em corte de energia.

A Polícia Cibernética da Ucrânia prendeu quatro homens, incluindo o suposto líder, suspeitos de operar call centers que se passavam por consultores financeiros, segundo o The Record. O grupo convenceria pessoas na União Europeia, sobretudo na Alemanha, a investir em plataformas falsas, ajudaria a abrir contas em corretoras de criptomoedas e transferiria os valores para carteiras próprias. Os investigadores contam 135 vítimas na Alemanha e perdas acima de 4,3 milhões de euros. Mais de 50 imóveis foram vistoriados em agosto e setembro, com apreensão de computadores, celulares e carteiras de cripto.

Pesquisadores ligaram ao grupo hacktivista NoName057(16) a publicação, numa página na rede Tor, de dados pessoais de 18 políticos, agentes de segurança e jornalistas europeus, segundo o The Record. O material incluiria telefones, e-mails, perfis em redes sociais e, em alguns casos, endereços. O grupo ofereceria pagamento em criptomoedas a quem enviasse mais informações sobre os alvos e familiares. Promotores italianos investigam o caso, e a Rússia negou envolvimento. O episódio mostra a coleta de dados abertos usada como instrumento de intimidação, o oposto do uso ético da OSINT.

A QNAP informou ter recebido vários relatos de equipamentos NAS com o Plex Media Server aparentemente comprometido pela cadeia de quatro falhas chamada Plex2Shell. Segundo o BleepingComputer, a exploração começou após a divulgação técnica completa, em 16 de outubro, e a correção está na versão 1.43.3.10861 ou posterior. A fabricante orienta tratar como comprometido o NAS que tinha o Plex vulnerável exposto na internet, lembrando que atualizar não remove o que já foi instalado: a recomendação é reinstalar o sistema, trocar credenciais e parar de expor a porta 32400 sem VPN.

A SonicWall corrigiu a CVE-2026-19868, falha no SSL-VPN do SonicOS que afeta só instalações com autenticação SAML. Segundo o BleepingComputer, quem tem credenciais válidas de outro método de login pode contornar os controles SAML, incluindo o segundo fator (MFA) exigido por eles. Estão afetadas as versões Gen7 até 7.3.3-7015 e Gen8 até 8.2.2-8015; as correções são 7.3.4-7013 e 8.2.3-8015, sem alternativa temporária. A CISA confirmou exploração ativa ao incluir a falha no catálogo KEV. O mesmo aviso trata de outras cinco vulnerabilidades.

A empresa Apiiro encontrou 104.185 cópias públicas do arquivo .claude/settings.local.json no GitHub, em que o Claude Code grava comandos aprovados com a opção de não perguntar de novo, segundo o The Hacker News em 7 de novembro de 2026. Em 1.122 cópias havia pelo menos um segredo, somando 1.379 credenciais distintas, entre elas 379 senhas de banco de dados, 43 logins SSH e 23 chaves da AWS. Segundo o estudo, o arquivo entra no exclude global do git do usuário, mas não no .gitignore do projeto, e ferramentas de varredura como gitleaks e TruffleHog deixaram de detectar 215 casos, porque senhas digitadas dentro de comandos parecem texto comum. A recomendação é revogar as credenciais antes de limpar o histórico.

Publicações nas redes usaram um vídeo gravado em maio de 2024 em Birch Tree, no Missouri (EUA), como se mostrasse o tornado que atingiu Chapecó (SC) em 4 de novembro de 2026, segundo checagem do Aos Fatos publicada no dia seguinte. As postagens enganosas somaram ao menos 150 mil visualizações no X. A agência localizou a gravação original por busca reversa de imagens e chegou ao perfil do autor que registrou a tempestade e publicou o vídeo, com a data e o local do registro. Santa Catarina foi de fato atingida por dois tornados naquele dia, em Chapecó e Xanxerê, conforme a Defesa Civil e a imprensa local.

O relatório Occupational Fraud 2026: A Report to the Nations, da Association of Certified Fraud Examiners (ACFE), analisou 2.402 casos de fraude cometidos por empregados, gestores e donos em 143 países e territórios. Segundo o estudo, os profissionais antifraude estimam que as organizações perdem 5% da receita por ano; a perda mediana por caso foi de US$ 104 mil e um caso típico durou 12 meses até ser descoberto. As denúncias foram o principal meio de detecção, em 43% dos casos, quase três vezes mais que o segundo método, e mais da metade delas veio de empregados. O relatório completo pode ser baixado em PDF no site da associação.

O Procon Assembleia, de Roraima, divulgou em 4 de novembro de 2026 orientações para a Black Friday, marcada para 27 de novembro. O órgão alerta para preços elevados antes da campanha para simular desconto, para sites e páginas em redes sociais desconhecidos com preços muito abaixo do mercado e para links recebidos de fontes desconhecidas. Entre as recomendações estão acompanhar o preço do produto com antecedência, confirmar a existência e a reputação da loja, conferir os dados do recebedor antes de pagar via Pix, usar cartão virtual de uso único e guardar comprovantes e anúncios. Os alertas valem para consumidores de qualquer Estado no período de promoções.

Atacantes começaram a explorar a CVE-2026-123158, apelidada de SSHole, poucas horas após sua publicação, segundo o The Hacker News em reportagem atualizada em 8 de novembro de 2026. A falha permite entrar sem senha em contas cujo hash é "*" quando o atacante envia uma senha de 257 a 1.024 bytes, e afeta OpenSSH em sistemas Linux com a biblioteca musl e PAM desativado, como a configuração padrão do Alpine Linux. A empresa Previdian relatou acesso root a um honeypot e, depois, 20 tentativas a partir de 13 endereços em nove países. A correção está no OpenSSH 10.6p2; quem não puder descartar um acesso deve tratar a máquina como comprometida e trocar os segredos que ela alcança.

A Polícia Civil do Rio Grande do Norte deflagrou em 6 de novembro de 2026 a segunda fase da Operação Cavalo de Troia, com três mandados de prisão e seis de busca em Florânia e São Vicente (RN) e em Campina Grande (PB), segundo o portal Via Certa Natal. De acordo com a polícia, o grupo investigado se passaria por executivos ou donos de empresas para pressionar empregados do financeiro a fazer transferências urgentes; em um dos casos, quatro Pix somariam cerca de R$ 1 milhão. A apuração, que segue em andamento, indicaria divisão entre quem aplicava o golpe e quem cuidava da lavagem. A orientação da polícia é confirmar por canais oficiais qualquer pedido de pagamento feito por aplicativo de mensagens.

Em 6 de novembro de 2026, a Polícia Civil de Mato Grosso cumpriu, a pedido da Justiça de Goiás, três mandados de prisão preventiva e dois de busca em Cuiabá, Primavera do Leste, Rondonópolis e Várzea Grande, na Operação Tentáculo Digital. Segundo a investigação da Polícia Civil de Goiás, em um caso o grupo teria usado o ramal de um hospital para pedir à família de uma gestante internada pagamento urgente por transferência e exames, com perda de cerca de R$ 10 mil. Em outro, um falso representante de empresa de equipamentos teria recebido quase R$ 12 mil sem entregar os produtos. Uma investigada teria cedido a conta bancária para receber os valores.

O diretor Iagê Miola foi designado presidente interino da Autoridade Nacional de Proteção de Dados (ANPD), segundo a MLex em 6 de novembro de 2026. A decisão do conselho diretor ocorreu após o fim do mandato de Waldemar Gonçalves Ortunho Júnior, encerrado em 5 de novembro. Miola é diretor da agência desde janeiro de 2025 e fica no cargo até que um novo presidente seja indicado pela Presidência da República e aprovado pelo Senado. Para quem acompanha a agenda de fiscalização da LGPD, a transição merece atenção, porque a escolha do novo comando pode influenciar prioridades regulatórias.

Um ataque cibernético atingiu a Beget, grande provedora russa de hospedagem e registro de domínios, segundo o The Record em 4 de novembro de 2026. Os invasores teriam alcançado os sistemas de gestão da infraestrutura e executado scripts para apagar dados de servidores virtuais, armazenamento em nuvem e serviços Kubernetes. Todas as cópias binárias dos servidores virtuais foram perdidas, mas restaram cópias em nível de arquivo. A empresa disse que mais de mil servidores precisam ser inspecionados manualmente e que não achou indício de cópia de dados de clientes. Centenas de sites foram afetados. Nenhum grupo assumiu a autoria até a publicação.

A D-Link alertou para múltiplas vulnerabilidades ainda sem correção em versões de firmware do switch DGS-3130-30TS, segundo reportagem do BleepingComputer de 6 de novembro de 2026. As falhas, relatadas por um pesquisador independente, envolvem autenticação, controle de acesso e tratamento de informações no D-Link Discovery Protocol (DDP) e poderiam permitir obter dados do equipamento, alterar credenciais ou configuração, vazar strings SNMP e provocar reinicializações. A reportagem não cita exploração ativa. Enquanto não há firmware novo, a fabricante recomenda desativar o DDP, remover strings SNMP padrão e restringir SSH, interface web e SNMP a uma rede de gerência isolada.

A Push Security descreveu em 5 de novembro de 2026 uma campanha de phishing com convites falsos para eventos de marcas de IA, como uma transmissão da OpenAI Academy e um briefing da SpaceX, que prometem brindes em troca de login com conta de trabalho. No caminho Microsoft, a página gera um código de dispositivo e pede que a vítima o digite na página legítima da Microsoft, entregando tokens ao operador. No caminho Google, um proxy reverso captura senha, resposta de MFA e cookie de sessão. Segundo a empresa, os links passam por redirecionadores confiáveis e por desafio anti-robô para escapar de filtros, e os alvos preferenciais seriam equipes de marketing.

A Polícia Civil do Distrito Federal deflagrou em 5 de novembro de 2026 a segunda fase da Operação OFFService, com cinco prisões (duas preventivas e três temporárias) e sete mandados de busca. Segundo a polícia, o grupo investigado compraria celulares em grandes plataformas de comércio eletrônico com CPFs falsos, pediria reembolso alegando defeito e não devolveria os aparelhos. Os celulares teriam o IMEI alterado para dificultar o rastreio e seriam revendidos no mercado paralelo. O prejuízo estimado às empresas é de cerca de R$ 4 milhões. O caso mostra como a política de reembolso, pensada para proteger o consumidor, pode ser explorada em escala quando a validação de identidade é frágil.

A autoridade certificadora DigiCert informou que um sistema interno ficou acessível pela internet depois de ser migrado para fora de uma rede restrita por VPN em fevereiro de 2025. Segundo a empresa, a exposição foi identificada em junho de 2026, houve acesso ao banco de dados a partir de 27 de junho e a correção foi concluída até 2 de julho. Podem ter sido expostos nomes, e-mails corporativos, telefones e documentos enviados por clientes, como carteiras de motorista, passaportes e contas de serviços. A DigiCert afirma que os invasores não conseguiram emitir certificados, que os serviços da autoridade certificadora não foram afetados e que não há evidência de uso indevido. A empresa atribuiu a falha a uma migração tratada como mudança de infraestrutura, sem revisão de segurança detalhada.

A primeira-ministra do Japão, Sanae Takaichi, anunciou um pacote emergencial de cibersegurança de cerca de 10 bilhões de ienes (aproximadamente US$ 63 milhões), após uma série de vazamentos em grandes empresas e órgãos públicos. Segundo a SecurityWeek, as medidas incluem a ampliação da chamada defesa cibernética ativa, que permite acessar servidores usados por atacantes, poder legalizado em outubro; uma equipe de apoio com Defesa, Polícia Nacional e o escritório nacional de cibersegurança; um grupo de especialistas do Ministério da Economia que usará IA para encontrar fragilidades em redes; e equipes público-privadas de resposta inicial e de prevenção para empresas. O governo justificou a urgência citando ataques gerados com apoio de IA.

Pesquisadores da Kela descreveram uma campanha com mais de 300 domínios falsos, dos quais 248 imitam 189 instituições financeiras dos EUA, com foco em acessos empresariais e de tesouraria. Segundo a análise, o kit registra o IP de cada visitante: no primeiro acesso exibe a tela de login do banco; nas visitas seguintes do mesmo IP, mostra um aviso de conta suspensa que copia o modelo de provedores de hospedagem. Alguns domínios também redirecionam para o Google. O efeito é que serviços de derrubada que verificam o endereço de novo podem concluir que o site saiu do ar, enquanto ele continua ativo para novas vítimas. Também foram encontradas vítimas no Reino Unido, na Austrália e na Nova Zelândia.

A empresa de segurança Dr.Web identificou mais de 2.000 computadores Windows comprometidos por uma campanha que passou a publicar no GitHub repositórios que se apresentam como ferramentas de varredura, teste de segurança e análise de logs. Um dos exemplos é um script que prometia organizar a saída do scanner Fscan. Segundo o relato, o código malicioso fica escondido em projetos do Visual Studio, scripts Python e arquivos Go, atrás de longos trechos de espaços em branco, e em alguns casos roda em eventos de pré-compilação. A cadeia termina com o backdoor AsyncRAT, um clipper que troca endereços de carteiras de criptomoedas e um ladrão de credenciais que envia dados por um bot do Telegram. A Dr.Web publicou os indicadores de comprometimento.