Pacific News #296: O Artista de Códigos

Assunto do momento: Conversas privadas com o Claude expostas nos resultados de pesquisa do Google e do Bing

O que aconteceu? No fim de semana, usuários notaram que links compartilhados de conversas do Claude estavam aparecendo em buscas no Google e Bing. Um usuário no Reddit identificou o problema em 25 de julho usando o operador de busca site:claude.ai/share.

O que foi exposto: Opiniões políticas, dúvidas éticas de advogados e até diálogos de cunho sexual. 

A causa técnica: Não foi um vazamento de segurança no sentido de invasão. Quando um usuário clica em “Compartilhar” no Claude.ai, recebe uma URL pública, e a Anthropic não aplicava a tag X-Robots-Tag: noindex nem regra de bloqueio no robots.txt nessas URLs. Então os crawlers dos buscadores trataram os links como qualquer página pública normal.

Por que isso importa? Há uma falsa sensação de privacidade, pois quem gera um link de compartilhamento costuma assumir que ele só será visto por quem receber a URL direta. 

O cenário geral: As mesmas empresas que cobram de criadores o uso de padrões de bloqueio (como robots.txt) para proteger conteúdos contra o treino de IA falharam no básico para proteger os dados dos próprios usuários. A Anthropic e a Microsoft não responderam aos pedidos de comentário da WIRED antes da publicação desta notícia.

Acoustic Side-Channel: um ataque baseado nos sons do seu teclado

O que aconteceu? Pesquisadores da Universidade Tohoku, liderados por Atsunori Okada, desenvolveram um ataque side-channel capaz de reconstruir o texto digitado em um computador a partir dos sons das teclas. 

Por que isso importa? Diferente de ataques anteriores, esta nova técnica não depende de um modelo treinado a partir de inúmeras gravações do mesmo teclado para maior confiabilidade nos resultados, sendo considerado um ataque viável de ser executado na vida real, requerendo apenas acesso ao áudio do teclado da vítima e mais nada.

Os cenários: A partir dos estudos, os pesquisadores descreveram três cenários possíveis de ataque:

• Colocar um smartphone perto da vítima em um espaço público;
• Usar um microfone de contato em uma mesa compartilhada ou parede para capturar vibrações;
• Recuperar sons de teclado transmitidos como ruído de fundo em gravações online

Como ocorre: O sistema captura o áudio das teclas digitadas, agrupa sons semelhantes e usa um modelo de linguagem para deduzir a sequência mais provável de caracteres, levando em conta o contexto das palavras ao redor, não apenas o som isolado de cada tecla. 

Os números: Em testes com um smartphone posicionado ao lado de um MacBook Pro, o sistema atingiu mais de 99% de precisão na reconstrução do texto após apenas 100 a 150 teclas capturadas. A eficácia se manteve acima de 90% mesmo a três metros de distância ou através de uma parede, usando microfones de contato. 

Home office: Testado também em chamadas pelo Google Meet, Teams e Zoom, com supressão de ruído desativada, o ataque frequentemente reconstruiu o texto digitado com alta precisão após algumas centenas de teclas.

Vakinha confirma vazamento de dados de usuários

O que aconteceu? A Vakinha confirmou um incidente de segurança após dados cadastrais de usuários serem expostos por cibercriminosos. A empresa afirma que o problema foi contido e que senhas, dados sensíveis e meios de pagamento não foram comprometidos.

Por que isso importa? Com o conjunto de dados disponíveis, criminosos podem criar golpes mais convincentes, como campanhas de phishing e tentativas de fraudes direcionadas.

O que foi vazado: A base contém dados cadastrais e de contato, além de CPFs e campos relacionados a valores financeiros transacionados em cada conta. Os criminosos afirmam ter obtido cerca de  18 milhões de registros, mas a Vakinha contesta esse número e diz que ele inclui duplicidades.

O que fazer: A empresa afirma que não é necessário tomar nenhuma ação imediata. Ainda assim, usuários devem ficar atentos a emails, mensagens e ligações suspeitas que usem seus dados pessoais para tentar aplicar golpes.

Papo Rápido

@Ataques

A empresa de faturamento médico MCBS divulgou que uma invasão à sua rede, ocorrida em setembro de 2025, expôs dados sensíveis de aproximadamente 1,26 milhão de pessoas. O grupo de ramsomware PEAR assumiu a autoria do ataque e afirma ter roubado 3,3 TB de dados após a empresa se recusar a pagar o resgate. (BleepingComputer)

O grupo iraniano Nimbus Manticore foi identificado em uma nova campanha usando o NightLedger, um backdoor Windows inédito capaz de executar comandos, capturar telas, manipular arquivos e mapear redes das vítimas. Os alvos incluem governos e empresas no Egito, Jordânia, Tanzânia, Paquistão, Etiópia e Burkina Faso. Os setores de aviação, telecomunicações e finanças estão entre os mais afetados. (TheHackerNews)

@Atualizações

A Microsoft lançou o “MAI-Cyber-1-Flash”, seu primeiro modelo de inteligência artificial produzido para identificar vulnerabilidades de alto nível em códigos complexos. Este modelo será integrado ao ecossistema do MDASH, que orquestrará mais de 100 agentes de IA especializados em múltiplas camadas. (SecurityWeek)

@Mundo

O aplicativo oficial de orações do Papa, Click To Pray, expõe nomes, e-mails, datas de nascimento e países de mais de 719 mil usuários via uma falha IDOR. BobDaHacker, a pesquisadora que descobriu a vulnerabilidade, reportou o problema em janeiro e nunca recebeu resposta. (TheRegister)

A Nvidia, em parceria com mais de 30 empresas de tecnologia e cibersegurança, lançou a Open Secure AI Alliance, iniciativa voltada ao desenvolvimento de ferramentas abertas para testar, auditar e proteger modelos e agentes de IA. A aliança busca fortalecer a colaboração entre defensores diante do aumento dos riscos envolvendo sistemas de IA avançados. (SecurityWeek)

Quer saber mais? Siga-nos nas redes sociais: Linkedin, Instagram.
Segurança nunca é demais, ainda mais nos dias de hoje.
Compartilhe o conhecimento, espalhe a segurança!

Siga nossa Newsletter e se mantenha atualizado sobre as últimas tendências em Cybersec!

Escrito por: Thaís Hudari Abib, Murilo Lopes e Cíntia Baltar
Arte: George Lopes e Anselmo Costa