Pacific News #302: A Nuvem Passageira

Assunto do momento: Atacante explora configurações permissivas em Salesforce e ServiceNow há mais de um ano

O que aconteceu? Pesquisadores da Reco identificaram uma campanha de coleta automatizada de dados em portais públicos de Salesforce Experience Cloud e ServiceNow. A atividade, chamada City Forum, está associada a uma mesma infraestrutura utilizada desde pelo menos março de 2025.

Evidência: O atacante utiliza o IP 158.220.87.79, hospedado na Contabo, e uma ferramenta própria identificada pelo user-agent padrão do Go net/http. Foram observados alvos em telecomunicações, bancos, serviços financeiros, software, empresas de segurança e órgãos públicos. No Salesforce, o atacante explora tanto o framework Aura quanto o mais recente Lightning Web Runtime/UI-API. Em um único alvo, foram registrados mais de 560 mil eventos associados ao IP. No ServiceNow, a automação consulta repetidamente o endpoint de busca do Service Portal, /api/now/sp/search, tentando descobrir informações acessíveis ao perfil Guest. A infraestrutura continua ativa, e os pesquisadores afirmam que o volume de atividade está aumentando. O operador ainda não foi atribuído a nenhum grupo conhecido.

Por que isso importa? O ataque não depende necessariamente de uma vulnerabilidade tradicional. O problema central é o controle de acesso excessivamente permissivo para usuários Guest. Se esse perfil puder consultar determinado registro, o dado pode ser recuperado sem autenticação, mesmo que a interface do portal aparentemente exija login.

O cenário geral: O caso reforça um risco recorrente em SaaS: uma configuração de autorização aparentemente pequena pode transformar portais corporativos em APIs públicas para exfiltração automatizada em escala.

CEO da Proton: “IA e privacidade terão que coexistir”

O que aconteceu? Em entrevista à WIRED, Andy Yen, fundador e CEO da Proton, explica por que uma empresa construída em torno de criptografia e privacidade decidiu entrar de vez em inteligência artificial. A tese dele é simples: a IA não vai desaparecer, então empresas focadas em privacidade precisam oferecer uma alternativa às Big Techs.

Por que isso importa? Para Yen, o maior risco não é a existência da IA em si, mas quem controla os modelos e os dados utilizados por eles. Ele argumenta que deixar esse mercado exclusivamente nas mãos de Google, Meta e outras grandes plataformas repetiria o modelo da internet baseado em coleta, monetização e vigilância de usuários.

O paradoxo: A própria Proton lançou o Lumo, seu chatbot de IA focado em privacidade. Mas, diferentemente do Proton Mail, as conversas com o Lumo ainda não possuem uma garantia de privacidade baseada em criptografia de ponta a ponta. Hoje, a proteção depende principalmente da arquitetura do serviço e do compromisso da Proton de não registrar ou acessar as conversas.

Saiba mais: Hoje, serviços como o Lumo ainda dependem parcialmente de confiança institucional. O objetivo da próxima geração de IA privada é substituir essa confiança por garantias técnicas verificáveis, aproximando o modelo daquilo que a criptografia ponta a ponta já oferece para comunicações.

Papo Rápido

@Ataques

O grupo Ransom Busters afirma invadir servidores de grupos de ransomware para apagar dados roubados de vítimas, cobrando entre US$20 mil e US$60 mil pelo serviço. Pesquisadores, porém, acreditam que a operação pode ser de um próprio afiliado de ransomware tentando extorquir as vítimas novamente, sem qualquer garantia de que os dados serão apagados. (TheHackerNews)

A falha crítica de execução remota de código em servidores PTC Windchill e FlexPLM  (CVE-2026-12569) está sendo explorada pelo grupo Clop. O grupo criou um web shell Java sob medida para acessar bancos de dados, mapear repositórios, roubar arquivos e credenciais e executar código. Organizações devem aplicar as correções e verificar os servidores em busca de web shells suspeitos. (BleepingComputer) 

@Atualizações

Falhas no Microsoft Copilot Personal poderiam permitir que um simples clique em um link malicioso extraísse dados de aplicativos conectados, incluindo emails, calendários, arquivos e conversas. A Microsoft corrigiu as vulnerabilidades, os pesquisadores recomendam revisar os aplicativos conectados e ter cautela com links que abrem assistentes de IA. (TheHackerNews) 

Uma falha crítica de injeção de código no GitLab (CVE-2026-19478) permite que invasores não autenticados modifiquem ou excluam dados de usuários e projetos públicos por meio do GraphQL. O GitLab já corrigiu a vulnerabilidade e recomenda que organizações com instalações self-managed atualizem imediatamente para as versões corrigidas. (SecurityWeek)

@Mundo

O Google comprou por US$10 milhões um enorme acervo de dados da falida companhia aérea americana Spirit Airlines, com mais de 100 milhões de e-mails, 500 milhões de itens do Teams, milhões de arquivos e registros operacionais. Os dados, anonimizados, serão usados para aprimorar produtos e modelos de IA. (TheRegister)

Quer saber mais? Siga-nos nas redes sociais: Linkedin, Instagram.
Segurança nunca é demais, ainda mais nos dias de hoje.
Compartilhe o conhecimento, espalhe a segurança!

Siga nossa Newsletter e se mantenha atualizado sobre as últimas tendências em Cybersec!

Escrito por: Thaís Hudari Abib, Murilo Lopes e Cíntia Baltar
Arte: George Lopes e Anselmo Costa