github-actions[bot]
commented
9 months ago Boletim de Segurança
:arrow_right: Meta implementa criptografia de ponta a ponta por padrão no Messenger. A Meta anunciou oficialmente a implementação do suporte para criptografia de ponta a ponta (E2EE) no Messenger para chamadas pessoais e mensagens individuais por padrão, marcando um marco significativo na segurança e privacidade dos usuários. Loredana Crisan, vice-presidente do Messenger na Meta, descreveu a atualização como mais do que uma simples mudança de segurança, destacando que o aplicativo foi reconstruído do zero, em estreita consulta com especialistas em privacidade e segurança. Mark Zuckerberg, CEO da Meta, que em 2019 anunciou uma “visão focada em privacidade para as redes sociais”, afirmou que a atualização é o resultado de anos de trabalho para redesenhar a plataforma. Vale ressaltar que a E2EE para mensagens em grupo no Messenger ainda está em fase de teste. As conversas criptografadas foram introduzidas pela primeira vez no Messenger como um recurso opcional chamado “conversas secretas” em 2016. O Instagram da Meta também oferece suporte para E2EE em mensagens e chamadas, mas apenas em algumas áreas e não ativado por padrão.
:arrow_right: Governos podem espionar usuários através de notificações Push. O senador dos EUA, Ron Wyden, revelou que governos não especificados têm exigido registros de notificações push de usuários da Apple e do Google para perseguir pessoas de interesse. As notificações push, que são alertas enviados por aplicativos de telefone para smartphones, passam por um “correio digital” administrado pelos provedores do sistema operacional do telefone, principalmente Apple ou Google. Devido a essa estrutura, as duas empresas têm visibilidade sobre como seus clientes usam aplicativos e podem ser obrigadas a fornecer essas informações aos governos dos EUA ou estrangeiros.
:arrow_right: Cibercriminosos utilizam AWS STS para acesso não autorizado. Pesquisadores da Red Canary, alertaram que atores de ameaças podem explorar o Amazon Web Services Security Token Service (AWS STS) como um meio de infiltrar contas na nuvem e realizar ataques subsequentes. O AWS STS é um serviço web que permite aos usuários solicitar credenciais temporárias e de privilégios limitados para acessar recursos da AWS sem a necessidade de criar uma identidade AWS. Esses tokens STS podem ser válidos de 15 minutos a 36 horas. Os atores de ameaças podem roubar tokens IAM de longo prazo por meio de métodos como infecções por malware, credenciais expostas publicamente e e-mails de phishing, usando-os posteriormente para determinar funções e privilégios associados a esses tokens por meio de chamadas de API. Dependendo do nível de permissão do token, os adversários também podem usá-lo para criar usuários IAM adicionais com tokens AKIA de longo prazo para garantir persistência, caso seu token AKIA inicial e todos os tokens ASIA de curto prazo gerados sejam descobertos e revogados.
Agradecimentos ao Thierre Madureira de Souza pela inspiração
Automação desenvolvida por /Enderson Menezes/ e /Elias Júnior/
Aprenda a programar em Codaqui.dev
Fonte: https://boletimsec.com.br/boletim-diario-ciberseguranca/
:point_down: