Esta semana trouxe vários incidentes de grande dimensão, e todos apontam na mesma direção. A escala do comprometimento de credenciais continua a bater recordes. FortiBleed: 86 000 dispositivos em 194 países. A fuga do Elasticsearch: 24 mil milhões de registos provenientes de dezenas de fontes. A HIBP acrescentou 124 milhões de palavras-passe roubadas por infostealers (malware de roubo de informações) no momento da utilização. Estes dados já estão em circulação.
- Dois métodos de ataque receberam confirmação concreta esta semana. Os atacantes contornam cada vez mais as palavras-passe por completo: a violação da Klue começou com uma conta de serviço esquecida e terminou com tokens OAuth roubados, sem que, em momento algum, tenha sido introduzida uma palavra-passe.
- Os agentes de IA tornaram-se um vetor de ataque independente: um repositório de teste de programação envenenado permitiu a um atacante exfiltrar credenciais da AWS do posto de trabalho de um programador em 111 segundos, sem que fossem gerados alertas de endpoint.
- A pressão regulatória avança em duas frentes. Na Europa, o Conselho da Europa e a plataforma do governo francês Tchap sofreram violações, o Garante italiano aplicou uma coima a uma empresa por armazenar palavras-passe em texto em claro, e foram divulgados novos modelos de notificação de incidentes do EDPB e da NIS2, tudo numa única semana.
- Nos EUA, o presidente Trump assinou duas ordens executivas que fixam prazos federais inadiáveis para a migração para a criptografia pós-quântica, o que indica que a janela de preparação é mais curta do que a maioria das organizações supunha.
Este resumo abrange os 14 acontecimentos mais significativos de 15 a 22 de junho de 2026.
EUA fixam prazos federais de migração para a criptografia pós-quântica (PQC)
Em 22 de junho de 2026, o presidente Trump assinou duas ordens executivas sobre tecnologia quântica. A ordem executiva «Securing the Nation Against Advanced Cryptographic Attacks» exige que as agências federais designem um responsável pela migração para a PQC, transitem os ativos de elevado valor para criptografia pós-quântica até 2030 e concluam a migração integral até 2031.
Uma segunda ordem determina o desenvolvimento de um computador quântico tolerante a falhas até 2028. Ambas as ordens apontam os ataques harvest-now-decrypt-later (recolher agora, decifrar mais tarde) como o principal fator de risco: adversários que recolhem hoje dados cifrados para os decifrar no futuro. A Barron's refere que alguns analistas apontam para uma capacidade viável de decifragem quântica já em 2029.
Porque isto importa: Os prazos federais de 2030–2031 não ficarão confinados ao governo. A contratação pública e a regulamentação setorial tendem a seguir o precedente federal, pelo que qualquer organização que se relacione com infraestruturas governamentais ou opere num setor regulado deve encarar isto como um sinal precoce. O ponto de partida prático é saber o que existe: que sistemas dependem de RSA ou ECC, onde residem de facto as chaves criptográficas e os certificados, e quem os controla.
Fonte: Reuters / White House, 22 de junho de 2026
FortiBleed: Mais de 86 000 credenciais de dispositivos Fortinet comprometidas em 194 países
Uma campanha de roubo de credenciais em grande escala compilou uma base de dados verificada com mais de 86 644 credenciais válidas de firewalls Fortinet FortiGate e de equipamentos SSL VPN expostos à internet, o que corresponde a cerca de 50 % de todos os dispositivos deste tipo expostos à internet. A campanha envolveu a interceção da autenticação SSL VPN, a quebra de hashes num cluster de 45 GPU e o pivoting no Active Directory.
Os atacantes executaram aproximadamente 1,16 mil milhões de tentativas com credenciais contra mais de 320 000 alvos FortiGate. A CISA emitiu um aviso urgente a 18 de junho de 2026, que exige que as organizações terminem as sessões ativas, redefinam todas as credenciais, ativem a autenticação multifator (MFA) resistente a phishing e apliquem o hashing de palavras-passe PBKDF2 nas contas de administrador. A Huntress confirmou que 845 organizações parceiras foram diretamente afetadas.
Porque isto importa: As organizações que aplicaram correções às vulnerabilidades da Fortinet, mas nunca rodaram as credenciais, continuam totalmente expostas. Este é o evento de segurança de credenciais determinante da semana. Qualquer organização com infraestrutura Fortinet exposta à internet deve tratá-lo como um incidente ativo que exige a rotação imediata de credenciais, e não como uma tarefa de manutenção agendada.
Fonte: SecurityWeek, 19 de junho de 2026
24 mil milhões de credenciais roubadas expostas numa fuga colossal no Elasticsearch
Investigadores da Cybernews descobriram um cluster Elasticsearch de acesso público com 24 mil milhões de registos de credenciais roubadas em 8,3 terabytes de dados, provenientes de 36 fontes distintas, incluindo logs de malware infostealer, canais de cibercrime no Telegram e compilações de violações de dados. Mais de 1,7 mil milhões de registos tinham origem em canais do Telegram.
Um aspeto crítico é que o cluster continha também cerca de 9500 registos de CVE associados a repositórios ativos do GitHub, o que indica que o operador estava a construir um pipeline de priorização de ataques para cruzar vulnerabilidades exploráveis com as credenciais roubadas disponíveis. A base de dados foi retirada do ar, mas as credenciais continuam em circulação ativa.
Porque isto importa: O pipeline de ataque enriquecido com CVE altera o cálculo do risco: rodar as credenciais depois de uma violação pode ser tarde demais se o atacante já souber que serviços por corrigir essas credenciais lhe abrem. Os logs recentes de infostealers contêm também cookies de sessão ativos que contornam totalmente a MFA. Ter credenciais únicas por serviço continua a ser a principal defesa estrutural.
Fonte: Cybernews, 17 de junho de 2026
124 milhões de palavras-passe únicas de infostealers adicionadas ao Have I Been Pwned
Em 15 de junho de 2026, o Have I Been Pwned (HIBP) incorporou 56,3 milhões de endereços de e-mail únicos e 124 milhões de palavras-passe únicas provenientes de logs de malware infostealer. Ao contrário dos dados de violações tradicionais, estas credenciais foram roubadas diretamente dos dispositivos das vítimas no momento da utilização, o que significa que estão atuais e não foram rodadas. O conjunto de dados pode agora ser pesquisado através da API Pwned Passwords, integrada em numerosos gestores de palavras-passe empresariais e plataformas de identidade.
Porque isto importa: As organizações que utilizam gestores de palavras-passe com integração HIBP passarão a receber alertas sobre um conjunto substancialmente maior de credenciais em risco. O perigo aqui é a atualidade: os colaboradores que não alteraram as palavras-passe desde que o dispositivo foi infetado continuam totalmente expostos. Este é um motivo direto para realizar uma auditoria de credenciais comprometidas em toda a organização.
Fonte: Have I Been Pwned, 15 de junho de 2026
Ataque à cadeia de abastecimento SaaS da Klue: Tokens OAuth roubados e dados de CRM exfiltrados de vários fornecedores de segurança
Um novo grupo de extorsão denominado Icarus (ativo desde abril de 2026) obteve o acesso inicial à plataforma de inteligência de mercado Klue através de uma credencial legada comprometida, associada a uma conta de serviço de uma integração abandonada. Os atacantes roubaram depois os tokens OAuth que os clientes da Klue utilizam para se ligar ao Salesforce e ao Gong e executaram scripts automatizados contra a API REST do Salesforce durante até 24 horas, para extração em massa de dados de CRM.
As vítimas confirmadas incluem a Huntress, a Recorded Future, a Tanium, a Gong, a Sprout Social, a Jamf e a Insurity. O Salesforce desativou a integração da Klue.
Porque isto importa: A credencial esquecida de uma conta de serviço legada foi o vetor de acesso inicial. Uma vez dentro, o atacante não precisou de palavras-passe nem de códigos MFA: o token OAuth roubado era a identidade, do ponto de vista do Salesforce. O ataque decorreu sem ser detetado durante 24 horas. As credenciais de contas de serviço e as integrações OAuth de terceiros exigem a mesma disciplina de monitorização que as contas de colaboradores.
Fonte: The Hacker News, 19 de junho de 2026
Mais de 1230 chaves de API e tokens JWT hardcoded em ficheiros de instruções de agentes de IA, em mais de 7000 repositórios públicos
A Mitiga Labs analisou mais de 50 000 ficheiros de instruções de IA (regras do Cursor, CLAUDE.md, configurações MCP, ficheiros «brain» de agentes) em mais de 7000 repositórios públicos do GitHub e encontrou mais de 1230 chaves de API e tokens JWT hardcoded (incorporados diretamente no código) em serviços como Anthropic Claude, OpenAI GPT-5, Google Gemini, Databricks, Supabase, Vercel e Google Cloud Storage.
Em separado, a GitGuardian comunicou que 28,65 milhões de segredos foram divulgados no GitHub público em 2025 (um aumento homólogo de 34 %), com um aumento de 81 % nas fugas de serviços de IA.
Porque isto importa: Os ficheiros de configuração de agentes de IA estão a tornar-se um vetor primário de exposição de credenciais hardcoded. Estes ficheiros são frequentemente criados por utilizadores pouco sensibilizados para a segurança, como gestores de produto, investigadores e fundadores, que não aplicam a higiene de segredos habitual. A maioria das políticas de análise de segredos das organizações ainda não abrange ficheiros de instruções, configurações MCP e ficheiros de contexto de agentes. Deveriam fazê-lo.
Fonte: Mitiga Labs, 15 de junho de 2026
Teste de programação envenenado leva um agente de IA a roubar credenciais da AWS em menos de 2 minutos
A Mitiga documentou um ataque real em que um repositório falso de avaliação de programação para fazer em casa continha instruções ocultas nos ficheiros .cursor/rules, README.md e CLAUDE.md. Quando um programador abriu o repositório no Cursor com a execução automática ativada, o agente de programação com IA executou de forma autónoma cat ~/.aws/credentials, aws sts get-caller-identity, cat ~/.kube/config, terraform state list e um grep à procura de segredos, e exfiltrou depois todos os dados recolhidos para um endpoint controlado pelo atacante através de uma chamada a uma ferramenta MCP envenenada. Toda a cadeia ficou concluída em 1 minuto e 51 segundos. Não foi instalado malware; não foram gerados alertas de endpoint.
Porque isto importa: As credenciais de cloud de longa duração armazenadas em postos de trabalho de programadores são agora um alvo principal de ataques mediados por agentes de IA. Todas as ações foram executadas por uma ferramenta legítima com comandos legítimos, pelo que nenhum controlo de endpoint foi acionado. A principal mitigação consiste em substituir as credenciais de longa duração por tokens OIDC de curta duração e autenticação federada.
Fonte: Mitiga Labs, 19 de junho de 2026
O ShinyHunters reivindica a violação do Conselho da Europa: 297 GB de registos de RH, de vencimentos e médicos expostos
O coletivo de hackers ShinyHunters reivindicou a responsabilidade por uma violação do Conselho da Europa e alegou ter roubado 297 GB de dados que abrangem mais de 429 000 ficheiros, incluindo 409 000 recibos de vencimento relativos a mais de 10 000 funcionários ao longo de 15 anos, 14 000 currículos, 3700 processos de pessoal e registos sensíveis com moradas, salários, dados bancários, informação fiscal e registos médicos. A 21 de junho de 2026, o ShinyHunters publicou os dados de forma permanente, depois de o Conselho da Europa não ter respondido às exigências de resgate.
Porque isto importa: Os registos expostos criam vetores eficazes de spear-phishing contra uma instituição sensível. O ShinyHunters já reivindicou ataques à Comissão Europeia (março de 2026), ao Conselho da Europa (junho de 2026) e à operadora de telecomunicações neerlandesa Odido (fevereiro de 2026) num único ano. As equipas de segurança europeias devem tratar isto como uma campanha de ataques sustentada, e não como incidentes isolados.
Fonte: Cybernews, 15 de junho de 2026
Plataforma de mensagens do governo francês Tchap violada: Contas de 73 467 funcionários comprometidas
A plataforma de mensagens governamental soberana de França, a Tchap (utilizada por mais de 825 000 funcionários públicos), foi violada a 7 de junho de 2026 por um agente de ameaça que se autodenomina «misere». A DINUM confirmou que 73 467 contas governamentais foram afetadas, com dados expostos que incluem nomes, endereços de e-mail e entidades governamentais associadas.
O agente de ameaça afirma ainda ter roubado 13,5 GB de ficheiros, incluindo mais de 643 000 mensagens. Acredita-se que o vetor de ataque envolva o sequestro de contas, possivelmente através de credenciais obtidas por infostealers.
Porque isto importa: A violação ilustra como o comprometimento de credenciais (possivelmente através de logs de infostealers) pode ser utilizado como arma, em grande escala, contra a infraestrutura de comunicação de governos soberanos. Especialistas em segurança observaram que o ataque pode não ter exigido zero-days: a extração de dados baseada em API com credenciais legítimas é suficiente para esta escala de exfiltração. Ao abrigo da NIS2, os serviços digitais governamentais são classificados como entidades essenciais, o que desencadeia a notificação obrigatória de incidentes à ANSSI.
Fonte: SecurityWeek, 15 de junho de 2026
Velvet Ant (ligado à China) instala backdoors em módulos PAM do Linux e no OpenSSH para roubar credenciais durante uma década
A equipa de resposta a incidentes da Sygnia descobriu a Operação Highland, uma campanha de espionagem com quase uma década conduzida pelo agente de ameaça Velvet Ant, associado à China. Ativo desde, pelo menos, 2016–2017, o grupo modificou os Pluggable Authentication Modules (PAM) do Linux, em concreto o pam_unix.so, para aceitar uma palavra-passe de backdoor hardcoded, recolher credenciais de tentativas de autenticação legítimas e suprimir todos os logs da atividade do atacante. Foram encontradas nove instâncias do módulo PAM com backdoor em hosts comprometidos. O grupo instalou também backdoors em binários do OpenSSH para manter o acesso persistente.
Porque isto importa: Este ataque não roubou palavras-passe: subverteu a própria camada de autenticação. Ao modificar os módulos PAM, o Velvet Ant podia autenticar-se como qualquer utilizador e recolher todas as palavras-passe introduzidas nos hosts comprometidos. Palavras-passe fortes não oferecem qualquer proteção quando a pilha de autenticação está comprometida. Os operadores de infraestruturas críticas nos setores da energia, da indústria transformadora e da defesa enfrentam riscos diretamente análogos.
Fonte: CyberSecurityNews / Sygnia, 15 de junho de 2026
O Garante italiano aplica coima de 85 000 euros a uma empresa de consultoria por armazenar palavras-passe em texto em claro após violação que afetou 61 000 utilizadores
A autoridade italiana de proteção de dados, o Garante, aplicou uma coima de 85 000 euros a uma empresa de consultoria na sequência de uma violação de dados que expôs dados pessoais de mais de 61 000 utilizadores. O Garante concluiu que certas palavras-passe estavam armazenadas em texto em claro ou protegidas com algoritmos criptográficos obsoletos e que as credenciais de sistemas não utilizados tinham sido conservadas para além do período necessário. As pessoas afetadas foram notificadas cerca de dois meses após a descoberta, e apenas depois de ter sido emitida uma ordem corretiva.
Porque isto importa: O Garante citou expressamente o armazenamento de palavras-passe em texto em claro e a criptografia obsoleta como as principais infrações ao RGPD. Isto estabelece um precedente claro de aplicação: o artigo 32.º exige hashing de palavras-passe moderno, e a conservação de credenciais de sistemas desativados viola o princípio da limitação da conservação. As organizações da UE devem auditar as suas implementações de armazenamento de palavras-passe à luz desta decisão.
Fonte: Gibson Dunn Europe Data Protection, 15 de junho de 2026
O EDPB adota um modelo harmonizado de notificação de violações de dados à escala da UE ao abrigo do RGPD
O Comité Europeu para a Proteção de Dados (EDPB) adotou um modelo normalizado para a notificação de violações de dados pessoais ao abrigo do artigo 33.º do RGPD, em consulta pública até 5 de agosto de 2026. O modelo disponibiliza às organizações de toda a UE um formulário estruturado único para comunicar violações de dados pessoais às autoridades de controlo, e substitui os atuais formatos nacionais, fragmentados.
Porque isto importa: O modelo harmonizado afeta diretamente a forma como as organizações comunicam incidentes de exposição de credenciais ao abrigo do artigo 33.º do RGPD, pois exige a divulgação estruturada dos tipos de dados comprometidos, das pessoas afetadas e das prováveis consequências. As equipas de conformidade e jurídicas devem rever o projeto antes do prazo de consulta de 5 de agosto.
Fonte: LexisNexis UK/EU Risk & Compliance, 18 de junho de 2026
A ANSSI deixará de certificar, a partir de 2027, produtos de segurança sem cifragem resistente à computação quântica
A agência nacional de cibersegurança de França, a ANSSI, anunciou que deixará de certificar, a partir de 2027, os produtos de segurança (incluindo gestores de palavras-passe, VPN e soluções de autenticação) que não incorporem criptografia resistente à computação quântica (pós-quântica).
O anúncio acompanha a estratégia nacional de cibersegurança mais ampla de França, que inclui um investimento público de 200 milhões de euros em infraestruturas de cibersegurança e em ferramentas de criptografia pós-quântica.
Porque isto importa: Os gestores de palavras-passe e os cofres de credenciais assentam em primitivas criptográficas teoricamente vulneráveis a ataques de computação quântica. O requisito de certificação da ANSSI impõe algoritmos pós-quânticos para a aprovação do governo francês, o que faz de França o primeiro Estado-Membro da UE a fixar um prazo inadiável. O quadro de certificação da ANSSI é amplamente referenciado na Europa e deverá influenciar o Sistema Europeu de Certificação da Cibersegurança da ENISA.
Fonte: Reuters, 16 de junho de 2026
A Gartner identifica três mudanças na gestão de segredos que as equipas de segurança não podem ignorar
A Gartner identifica três mudanças estratégicas na gestão de segredos:
- Gestão de acesso de workloads (Workload Access Management): passagem de segredos estáticos para a emissão dinâmica e just-in-time de credenciais para workloads
- Arquitetura sem segredos (Secretless Architecture): eliminação total dos segredos de longa duração em favor do acesso baseado em identidade com SPIFFE/SPIRE
- Governação multicofre (Multi-Vault Governance): gestão coerente de segredos em várias plataformas de cofres, à medida que as organizações acumulam repositórios de segredos dispares no HashiCorp Vault, no AWS Secrets Manager, no Azure Key Vault e noutros
Porque isto importa: Estas três mudanças correspondem diretamente aos modos de falha expostos esta semana. O FortiBleed demonstra o risco de credenciais estáticas que nunca são rodadas (mudança 1). A violação OAuth da Klue demonstra o risco de credenciais legadas de longa duração (mudança 2). A deriva de credenciais (credential drift) em ambientes multicloud é o problema que a mudança 3 resolve. Este modelo oferece à liderança de segurança e de TI uma forma estruturada de avaliar a maturidade atual da gestão de segredos face aos incidentes da semana.
Fonte: Akeyless Blog (com base em investigação da Gartner), 17 de junho de 2026
Resumo da semana
O padrão dos incidentes desta semana é suficientemente regular para ter nome: as credenciais estáticas, as contas de serviço esquecidas e os tokens de longa duração são os pontos de entrada que os atacantes estão a explorar ativamente.
A fiscalização regulatória está a recuperar o atraso. A coima de 85 000 euros aplicada pelo Garante italiano por armazenamento de palavras-passe em texto em claro, os prazos federais dos EUA para a PQC e a data-limite de certificação da ANSSI em 2027 acrescentam uma dimensão prospetiva: os fundamentos criptográficos do armazenamento de credenciais estão, eles próprios, sujeitos a um calendário inadiável.
Três ações decorrem diretamente dos acontecimentos desta semana:
- Primeiro, audite as contas de serviço e as integrações OAuth de terceiros: o ataque à Klue começou com uma conta esquecida.
- Segundo, execute agora uma verificação de credenciais comprometidas no conjunto de dados da HIBP, ampliado em 124 milhões de palavras-passe provenientes de infostealers.
- Terceiro, reveja a forma como os segredos são mantidos nos postos de trabalho dos programadores. As credenciais de cloud de longa duração são agora um alvo explícito de agentes de IA.
As credenciais fora de qualquer sistema gerido são a raiz comum: chaves de API hardcoded, credenciais de VPN que nunca foram rodadas, palavras-passe em texto em claro em serviços desativados. O Passwork oferece às equipas de TI e de segurança visibilidade centralizada sobre as palavras-passe da empresa e os segredos técnicos, com registos de acesso, acompanhamento da rotação e alertas de credenciais comprometidas integrados. Começar pelo que é possível controlar
Alex Muntyan
Alex Muntyan
Alex Muntyan