O Boletim ThreatsDay desta semana cobre uma ampla gama de ameaças, desde um roubo de criptomoedas de US$ 6,43 bilhões e o Volt Typhoon até falhas no ChatGPT, backdoors em extensões de IA, spyware, um botnet DDoS para Linux e CVEs críticas. Neste resumo semanal de segurança online, focamos nos itens em que leitores do dia a dia podem agir imediatamente: spyware para Android e phishing por código de dispositivo.

O boletim de origem é uma compilação em nível de manchetes, então nos atemos ao que ele nomeia e evitamos adivinhar detalhes que ele não fornece. Onde faltam especificidades, apontamos hábitos de proteção gerais e bem estabelecidos.

Spyware para Android e o que ele pode acessar

Spyware é um software malicioso que monitora secretamente a atividade do dispositivo. De acordo com nossa entrada de glossário sobre spyware, ele pode coletar dados sensíveis como senhas, hábitos de navegação e informações pessoais sem o seu conhecimento ou consentimento.

Em um celular, isso importa porque o dispositivo concentra muita coisa em um só lugar: mensagens, fotos, contatos, e-mail e os aplicativos de autenticação ou códigos que protegem suas outras contas. Spyware que obtém permissões amplas pode potencialmente alcançar muitas dessas coisas de uma só vez.

Já cobrimos como isso se desenrola na prática. Um exemplo recente é o Mantax Otax, uma cepa de malware para Android que borra a linha entre ransomware e spyware e ameaça as senhas de uso único, uma proteção com a qual muitas pessoas contam. A lição é que o malware não precisa parecer dramático para ser prejudicial. Ler códigos ou mensagens silenciosamente pode ser suficiente para permitir que um atacante entre nas suas contas.

Phishing por código de dispositivo: por que prompts de login inesperados são um sinal de alerta

O phishing por código de dispositivo é outro item no boletim desta semana. A ideia geral por trás desse tipo de ataque é que a pessoa é induzida a inserir um código ou aprovar um login em uma página de login legítima, o que pode entregar a um atacante o acesso a uma conta. Como a própria página pode ser real, o conselho habitual de verificar o endereço web nem sempre é suficiente.

A regra prática é simples: se você não iniciou um login, não o conclua. Um código, prompt ou solicitação de aprovação inesperados são um sinal para parar e verificar. Tenha cuidado especial quando alguém entra em contato com você e pede que insira um código em um dispositivo ou site, mesmo que a mensagem pareça oficial ou urgente.

Passos para proteger suas contas e dispositivos esta semana

Nenhum desses passos exige conhecimento técnico. Juntos, eles reduzem as chances de que spyware ou phishing tenham sucesso.

  • Audite as permissões dos aplicativos. Abra as configurações do seu celular e revise quais apps podem acessar SMS, contatos, microfone, câmera, localização e recursos de acessibilidade. Remova ou restrinja qualquer coisa que claramente não precise disso.
  • Remova apps que você não usa. Todo aplicativo instalado é uma superfície de ataque potencial. Desinstale qualquer coisa desconhecida ou desnecessária.
  • Recuse códigos de login inesperados. Nunca compartilhe um código de uso único ou aprove um login que você não iniciou. Serviços legítimos não pedem que você leia códigos para eles.
  • Instale atualizações prontamente. O boletim inclui CVEs críticas, e os patches são a principal defesa contra vulnerabilidades conhecidas. Atualize seu sistema operacional, navegador e aplicativos.
  • Fique restrito às lojas de aplicativos oficiais e desconfie de apps que solicitam permissões amplas para funções simples.
  • Use senhas fortes e exclusivas e autenticação multifator quando disponível, lembrando que os códigos só ajudam se você os proteger.

O quadro maior: roubo de criptomoedas, Volt Typhoon e CVEs críticas

O boletim também aponta para histórias maiores. Um roubo de criptomoedas de US$ 6,43 bilhões mostra quanto valor os atacantes podem visar, enquanto o Volt Typhoon é um lembrete de que campanhas de longa duração e bem financiadas continuam fazendo parte do cenário. A menção a falhas no ChatGPT e backdoors em extensões de IA sugere que ferramentas mais recentes e complementos de navegador merecem o mesmo escrutínio que qualquer outro software que você instala.

Para indivíduos, o fio condutor comum é que os atacantes vão atrás do elo mais fraco, seja um sistema sem patch, um aplicativo com permissões excessivas ou uma pessoa pressionada a aprovar um login. Reportagens relacionadas são um lembrete útil de que ferramentas de vigilância podem assumir muitas formas, desde stalkerware que expôs 86.000 arquivos de influenciadores da UE até spyware de anúncios zero-click que jornalistas enfrentaram em 2024.

O que isso significa para você

Você não precisa acompanhar cada manchete para ficar mais seguro. A maioria dos riscos desta semana se resume a dois hábitos: limitar o que apps e extensões podem acessar e pausar antes de aprovar qualquer login que você não iniciou. Manter os dispositivos atualizados fecha muitas falhas conhecidas, o que é especialmente relevante dadas as CVEs críticas no boletim. Se você usa extensões de IA para navegador, revise-as com o mesmo cuidado que qualquer outro complemento.

Principais conclusões

Este resumo semanal de segurança online se resume a uma lista de verificação curta: revise os apps instalados e as permissões, exclua o que você não precisa, nunca aprove códigos de login inesperados e atualize seus dispositivos hoje. Para contexto, leia nossa entrada de glossário sobre spyware, e para um exemplo real de malware para Android visando OTPs, veja o artigo sobre Mantax Otax. Alguns minutos de revisão agora podem evitar um problema muito maior depois.