Segurança da informação para quem decide.
Artigos para o gestor de pequena e média empresa, com fonte em cada número. Os temas seguem as quatro frentes: desenvolvimento seguro, infraestrutura, governança e conformidade, e uso seguro de IA.
Golpe do código de dispositivo no Microsoft 365: como bloquear
O golpe do código de dispositivo faz o funcionário entrar na página verdadeira da Microsoft e aprovar, com a própria autenticação em dois fatores, o acesso do criminoso ao e-mail e aos arquivos da empresa. A defesa é bloquear esse tipo de login por Acesso Condicional para quem não precisa dele e ensinar a equipe a nunca digitar códigos recebidos.
Assistentes de IA com acesso ao e-mail da empresa: riscos e controles
Um assistente de IA ligado ao e-mail, aos arquivos e aos sistemas da empresa age com o acesso de quem o conectou. Os riscos principais são dados sensíveis enviados à ferramenta, instruções escondidas em e-mails e documentos e permissão demais para agir. O gestor controla com inventário, permissão mínima, aprovação humana e política de uso escrita.
Falhas no LangChain e no LangGraph: sua aplicação de IA está exposta?
Se o seu produto usa LangChain ou LangGraph em versão antiga, um atacante pode ler arquivos do servidor, extrair chaves de API ou consultar o banco de conversas. As correções já existem. Descubra quais pacotes e versões sua aplicação usa, atualize e pare de passar dados de usuário para funções que carregam configuração.
Criptografia pós-quântica e o prazo de 2029 do Google: o que a PME faz
Sua empresa não precisa trocar sistemas às pressas, mas precisa começar a mapear onde usa criptografia. Dados roubados hoje podem ser lidos no futuro por um computador quântico. O primeiro passo é um inventário de sistemas, certificados e fornecedores, seguido de atualização de servidores e perguntas diretas aos fornecedores sobre o plano de migração.
Extensões de IA no navegador: o caso do Claude e a regra da empresa
Uma extensão de IA no navegador lê as páginas abertas e pode agir em nome do funcionário no e-mail, no drive e nos sistemas da empresa. Uma página maliciosa pode dar ordens a ela. A empresa precisa de uma lista de extensões aprovadas, aplicada pela política do navegador, e de limites para o que a extensão acessa.
Langflow exposto na internet: como achar ferramentas de IA da equipe
Uma ferramenta de IA que a equipe instalou por conta própria e deixou aberta na internet pode entregar a criminosos as chaves de API e as senhas guardadas nela. Foi o que aconteceu com o Langflow, atacado poucas horas depois do aviso da falha. Descubra o que está exposto, tire da internet, atualize e troque as chaves.
É seguro deixar a IA escolher as bibliotecas do seu sistema?
Pode ser, desde que a esteira confira o que a IA sugere. Assistentes de código às vezes indicam pacotes que não existem ou versões com falha conhecida, e criminosos já registram esses nomes inventados com código malicioso. Lockfile, verificação de vulnerabilidades no pull request e revisão humana de cada dependência nova fecham essa porta.
Skimmer no checkout: como um script rouba o cartão da sua loja
Um skimmer é um script escondido na página de pagamento que copia o cartão enquanto o cliente digita. Ele roda no navegador do comprador, por isso firewall e WAF da loja não o enxergam. A proteção está em listar e autorizar cada script do checkout, conferir alterações na página e usar a página de pagamento do gateway.
Senhas de funcionários vazadas: como descobrir e o que fazer
Senha de funcionário vazada em fórum criminoso abre o e-mail e os sistemas da empresa para quem comprar a lista. Para descobrir, consulte serviços de alerta de vazamento usando o domínio da empresa. Para reduzir o estrago, exija autenticação em dois fatores, adote um gerenciador de senhas e troque a senha sempre que houver sinal de comprometimento.
Como registrar quase-incidentes de segurança na pequena empresa
O golpe que quase deu certo mostra onde sua empresa vai falhar da próxima vez. Registrar quase-incidentes, como o e-mail falso que alguém quase abriu ou o boleto adulterado barrado no último minuto, custa pouco e revela padrões antes do prejuízo. Basta um canal simples, um registro curto e a regra de que ninguém é punido por avisar.
Como saber se um servidor Linux da empresa tem backdoor
Um backdoor instalado por script dá ao invasor acesso permanente ao servidor Linux da sua empresa, mesmo depois de trocar senhas. Para descobrir, a equipe confere as tarefas agendadas no cron, os arquivos de login como o .profile, a pasta .ssh e os processos com conexão de saída. O caso GSocket mostra onde olhar.
Câmeras, DVR e TV box da empresa podem fazer parte de uma botnet?
Podem, e o dono raramente percebe. Câmeras, gravadores, roteadores e TV boxes com senha de fábrica ou malware de origem passam a servir botnets que derrubam sites. A empresa fica com rede lenta, risco aos outros computadores e o endereço de internet usado em crimes. Inventário, senhas novas, rede separada e retirada de aparelhos sem homologação resolvem quase tudo.
Golpe da vaga de emprego falsa com nome de empresa conhecida
Golpistas usam o nome de empresas conhecidas para oferecer vagas falsas e cobrar do candidato. Sua empresa corre dois riscos: a marca aparecer no golpe e um funcionário cair num processo seletivo falso. A resposta é manter um canal oficial de vagas, publicar um aviso de que a empresa nunca cobra nada e treinar a equipe.
Extensões maliciosas no VS Code e no Chrome: como controlar
Uma extensão maliciosa no editor de código ou no navegador roda com o mesmo acesso do programador e pode levar tokens do GitHub, senhas e sessões abertas. O caso GlassWorm mostrou isso no VS Code e no Open VSX. Sua empresa reduz o risco com uma lista de extensões permitidas, aplicada por política nas máquinas.
É seguro deixar agentes de IA rodarem comandos no computador do dev?
É, se a empresa limitar o que o agente pode fazer. Assistentes como Claude Code, Codex e Gemini executam comandos com as permissões do programador, e um repositório malicioso já conseguiu usar isso para rodar código e roubar chaves. Atualização, permissões mínimas, segredos fora da máquina e revisão do que o agente executa reduzem esse risco.
Ataque à cadeia de suprimentos: como proteger a esteira de CI/CD
Um ataque à cadeia de suprimentos acontece quando o criminoso adultera uma ferramenta ou biblioteca em que sua empresa já confia. O código malicioso entra pela própria esteira de entrega e leva senhas e chaves de nuvem. A defesa combina versões fixadas por hash, segredos com permissão mínima, inventário de dependências e troca de segredos depois de um incidente.
Patch Tuesday: como organizar as atualizações Microsoft na empresa
Todo mês a Microsoft corrige falhas de segurança no Windows e no Office, e parte delas já está sendo usada por criminosos. A empresa que atualiza tarde fica com portas abertas conhecidas. A saída é uma rotina mensal simples: saber o que tem, testar em poucas máquinas, instalar em dias e conferir.
Falha crítica no firewall ou na VPN da empresa: o que o gestor faz
Quando o firewall ou a VPN da sua empresa tem uma falha crítica já explorada, o invasor pode entrar na rede sem senha. O gestor precisa confirmar se o equipamento está na versão afetada, aplicar a correção do fabricante em poucos dias, procurar sinais de invasão e trocar as senhas guardadas no aparelho.
Receba o boletim por e-mail.
Novos artigos e alertas críticos. Sem repasse do seu e-mail a terceiro, e com link de descadastro em toda mensagem.