247 - A Microsoft restringiu o acesso de empresas chinesas a informações antecipadas sobre falhas de segurança em seus produtos. A decisão foi revelada pela Bloomberg nesta quarta-feira (20) e decorre de investigações internas sobre possíveis vazamentos no programa Microsoft Active Protections Program (MAPP), que teriam sido explorados em ataques cibernéticos contra o software SharePoint.
Segundo a empresa, a mudança foi implementada no mês passado e afeta países onde há exigência legal de comunicar vulnerabilidades ao governo, como a China. O porta-voz David Cuddy afirmou: “Estamos cientes do potencial de abuso, por isso tomamos medidas — tanto conhecidas quanto confidenciais — para prevenir mau uso”.
<h3>Ataques e investigações</h3>
Os ajustes no programa ocorreram após ataques que a Microsoft atribuiu a hackers ligados ao governo chinês. Mais de 400 órgãos e empresas foram atingidos, entre eles a Administração Nacional de Segurança Nuclear dos Estados Unidos.
Não há confirmação de como as falhas foram exploradas. A Microsoft investigou se informações sobre vulnerabilidades vazaram de parceiros do MAPP. Embora não tenha apresentado conclusões, Cuddy disse que há “múltiplas teorias de trabalho” sobre a origem dos ataques.
Com a nova política, empresas chinesas não receberão mais códigos de demonstração (“prova de conceito”), apenas descrições técnicas no momento em que as correções forem liberadas ao público.
<h3>Resposta oficial da China</h3>
A embaixada chinesa em Washington informou não ter conhecimento das mudanças na política da Microsoft nem de suspeitas de vazamentos. Em nota, declarou que a cibersegurança é um “desafio comum” a todos os países e defendeu cooperação internacional. O comunicado afirmou ainda que a China “se opõe e combate atividades de hackers de acordo com a lei” e rejeita “ataques e difamações contra a China sob o pretexto de questões de cibersegurança”.
<h3>Histórico de vazamentos</h3>
O MAPP já havia sido alvo de suspeitas anteriores. Em 2012, a Microsoft acusou a empresa chinesa Hangzhou DPtech de violar um acordo de confidencialidade e expor uma vulnerabilidade no Windows. Em 2021, outros dois parceiros chineses foram investigados por vazamentos de informações sobre falhas no Exchange, ligados ao grupo Hafnium, atribuído à espionagem cibernética chinesa.
<h3>Repercussões</h3>
Para o consultor Dakota Cary, da empresa norte-americana SentinelOne, a decisão é “uma mudança positiva”. Ele afirmou: “É muito claro que as empresas chinesas no MAPP precisam responder a incentivos do governo, então faz sentido limitar as informações fornecidas”.
O pesquisador Eugenio Benincasa, do Centro de Estudos de Segurança de Zurique, avaliou que a medida reflete a “atenção sem precedentes sobre as operações cibernéticas da China”.
A Microsoft também confirmou que já havia encerrado, desde 2019, os “centros de transparência” que mantinha no país, onde autoridades chinesas tinham acesso ao código-fonte de seus produtos.

Luis Mauro Filho

Logotipo da Microsoft nos escritórios em Issy-les-Moulineaux, perto de Paris, França

original

1250x600

610x380

1280x490

300x400

500x240

321x200

square

320x320

thumbnail

viewImage

Mundo

Microsoft restringe acesso antecipado de empresas chinesas a informações sobre falhas de segurança

247 - Um novo episódio de vazamento de dados na XP Inc. reacendeu o debate sobre a atuação do Banco Central (BC) na fiscalização da segurança cibernética das instituições financeiras, relata o <a href="https://relatorioreservado.com.br/noticias/vazamento-de-dados-da-xp-expoe-nao-apenas-clientes-mas-tambem-o-banco-central/">Relatório Reservado</a>, lembrando do incidente mais recente, ocorrido em março mas só comunicado aos clientes em 24 de abril, com um atraso de 32 dias.
Segundo a própria corretora, “uma base de dados que se encontrava hospedada em um fornecedor externo da XP teve um acesso não autorizado”. A empresa assegura que “os recursos dos clientes e da própria instituição estão seguros, protegidos e não sofreram qualquer tipo de impacto”, e que os clientes “podem continuar a operar com total segurança”. Contudo, evitou responder perguntas específicas sobre o grau de acesso dos agentes autônomos aos seus sistemas e sobre a existência de planos de contingência. A XP também não detalhou quais medidas de segurança foram efetivamente adotadas após o incidente, limitando-se a dizer que “adotou todas as medidas adicionais de segurança para solucionar o fato”.
Reincidência e histórico preocupante - Não é a primeira vez que a XP se vê no centro de uma crise de dados. Em 2017, dados pessoais de cerca de 29 mil clientes — como nome, CPF, telefone e e-mail — foram expostos, e criminosos chegaram a contatar os próprios investidores. À época, veio à tona que as fragilidades no sistema de proteção da empresa remontavam a 2013, quando hackers invadiram seus sistemas e roubaram informações cadastrais. Em um dos casos, houve o desvio de R$ 500 mil de contas de três clientes, posteriormente ressarcidos.
Esse histórico, somado ao novo vazamento, levanta dúvidas sobre a robustez da estrutura de segurança da XP e sobre a responsabilidade do Banco Central na supervisão do setor.
O silêncio do BC e a complexidade regulatória - De acordo com a autoridade monetária, a supervisão da conformidade das instituições com as normas de segurança da informação se dá por meio de “um processo contínuo de supervisão”, cuja intensidade e frequência variam conforme o “perfil de riscos das instituições”. Na prática, porém, o BC evita declarações públicas sobre falhas de segurança, ainda que relevantes, temendo abalar a estabilidade do sistema financeiro.
A legislação vigente é extensa: a Resolução BC nº 85/2021 (para instituições de pagamento) e a Resolução CMN nº 4.893/2021 (para instituições financeiras) tratam das políticas de segurança cibernética e da contratação de serviços em nuvem. Já a Resolução BC nº 260/2022 e a Resolução CMN nº 4.968/2021 abordam os controles internos obrigatórios. Todas exigem testes periódicos de segurança, mas faltam informações claras sobre como essas exigências são auditadas na prática.
Apesar de a legislação prever sanções, o Banco Central não informa se já puniu algum banco por episódios de vazamento de dados — o que gera a percepção de que o órgão mantém uma postura leniente ou, no mínimo, opaca.
O contraste com os números do mercado - O cenário nacional é alarmante. De acordo com a Surfshark, empresa de cibersegurança sediada na Holanda, o Brasil registrou 84,6 milhões de contas bancárias violadas em 2024 — um salto de 24 vezes em relação ao ano anterior. Já a Kaspersky aponta que o país liderou os ataques virtuais a bancos na América Latina, com 1,6 milhão de incidentes no mesmo período.
Em meio a esse contexto, a Federação Brasileira de Bancos (Febraban) argumenta que o setor tem investido fortemente em proteção digital. “O sistema bancário possui robustas estruturas de monitoramento de seus sistemas e utiliza o que há de mais moderno em termos de tecnologia e segurança da informação”, informou a entidade ao Relatório Reservado. Ela ainda estima que os bancos associados investirão R$ 47,8 bilhões em tecnologia neste ano, dos quais 10% serão destinados à cibersegurança.
A Febraban também destacou a criação, em 2020, de um Laboratório de Segurança Cibernética, que já realizou mais de 200 atividades com foco em prevenção, conscientização e combate a crimes digitais, alcançando mais de 23 mil profissionais de instituições financeiras.
A vulnerabilidade dos agentes autônomos - A estrutura descentralizada da XP — com mais de 400 escritórios e 15 mil agentes autônomos — é apontada no próprio mercado como um possível ponto frágil em sua segurança de dados. O Relatório Reservado questionou diretamente a empresa sobre os procedimentos adotados com relação a seus agentes e a existência de um plano padronizado de resposta a incidentes, mas não obteve respostas objetivas.
A falta de transparência, somada ao histórico de falhas, contribui para um cenário em que o risco à privacidade dos dados dos clientes parece cada vez mais elevado. Enquanto isso, o Banco Central mantém-se reticente e invisível — um "vigilante insone" ou, talvez, um "síndico ausente".

Redação Brasil 247

Economia

Banco Central silencia sobre falhas de segurança enquanto XP reincide em vazamento de dados

247 – Um órgão chinês de cibersegurança acusou os Estados Unidos de conduzir ciberataques e roubar segredos comerciais de um centro de pesquisa e uma empresa de dados, conforme noticiado pelo <a href="https://www.scmp.com/news/china/politics/article/3291521/chinese-cybersecurity-centre-accuses-us-hacking-and-stealing-tech-secrets?module=top_story&amp;pgtype=homepage">South China Morning Post</a>. A declaração foi amplamente divulgada pela mídia estatal na última quarta-feira.
De acordo com o Centro Nacional de Resposta Técnica a Emergências de Rede/Coordenação da China, uma entidade não governamental que monitora ameaças cibernéticas, os ataques teriam sido identificados e “lidado com” pela organização. Desde agosto, uma unidade de pesquisa em design de materiais avançados foi alvo de ataques cibernéticos suspeitos de serem conduzidos por agências de inteligência americanas.
A análise realizada pelo centro revelou que os invasores exploraram uma brecha em um sistema de gestão de segurança de documentos eletrônicos para invadir o servidor da empresa. Utilizando um serviço de atualização de software, um vírus Trojan foi enviado para mais de 270 hosts, permitindo o controle desses sistemas e o roubo de segredos comerciais.
Outro incidente mencionado ocorreu em maio de 2023, quando os atacantes exploraram uma vulnerabilidade no software Microsoft Exchange para invadir o servidor de e-mails de uma grande empresa de alta tecnologia especializada em energia inteligente e informação digital. Programas de back-door foram implantados nos servidores da empresa, resultando no roubo de dados de e-mails e no controle de mais de 30 dispositivos para exfiltrar informações comerciais.
No relatório semanal mais recente, o centro chinês detalhou a coordenação com provedores de serviços em nuvem, organizações de registro de nomes de domínio, lojas de aplicativos, subcentros provinciais e organizações internacionais para lidar com 146 incidentes de segurança de rede, incluindo 92 de caráter transfronteiriço. Além disso, o relatório identificou 2.950 violações de segurança de dados e alertou sobre diversas brechas em programas de software como Adobe Illustrator, Android, IBM Cognos Controller e Apache NimBLE.
As tensões cibernéticas entre China e Estados Unidos têm sido frequentes nos últimos anos. O governo americano tem intensificado esforços para restringir empresas de tecnologia ligadas à China, consideradas potenciais ameaças às redes e dados dos EUA. Recentemente, um alto funcionário da Casa Branca afirmou que pelo menos oito empresas de telecomunicações dos EUA e dezenas de países foram afetados por uma campanha de hacking chinesa. Em resposta, a China negou as acusações, com a embaixada chinesa em Washington declarando: “Os EUA precisam parar seus próprios ciberataques contra outros países e se abster de usar a cibersegurança para difamar e caluniar a China.”
No ano passado, Pequim divulgou um relatório alegando que a CIA utilizou poderosas ciberarmas para atacar diversos países, incluindo a China. Segundo o relatório, foram capturados e extraídos um grande número de programas Trojan, plug-ins funcionais e amostras de plataformas de ataque associadas de perto à CIA, revelando um “império de hackers” sob controle americano.
A continuidade dessas acusações e negações ressalta a complexidade e a fragilidade das relações cibernéticas entre as duas superpotências, impactando não apenas a segurança nacional, mas também o ambiente de negócios e a confiança internacional no setor de tecnologia.

Centro chinês de cibersegurança acusa EUA de hacking e roubo de segredos tecnológicos

247 - Durante audiência pública na Câmara dos Deputados sobre a reforma administrativa, o presidente do Conselho Nacional de Secretários de Administração do Brasil (Consad), Fabricio Barbosa, destacou a importância da cibersegurança para a administração pública. Ele aproveitou a oportunidade para reforçar a proximidade da votação da reforma tributária, prevista para os próximos dias, ressaltando a relevância da cibersegurança também nesse contexto.
"Gostaria de trazer a esta comissão a necessidade de pautarmos o tema cibersegurança para a administração pública de forma geral, e também de incluirmos a relevância do tema na reforma tributária. Precisamos garantir que nesta reforma haverá incentivos para a contratação de serviços de cibersegurança nos próximos anos e que este assunto será tratado com uma visão estratégica de defesa nacional, priorizando sempre o fortalecimento da indústria nacional”, afirmou

Brasília

Presidente do Consad cobra discussão sobre cibersegurança nas reformas tributária e administrativa

Tudo sobre ciberseguranca

Microsoft restringe acesso antecipado de empresas chinesas a informações sobre falhas de segurança

Banco Central silencia sobre falhas de segurança enquanto XP reincide em vazamento de dados

Centro chinês de cibersegurança acusa EUA de hacking e roubo de segredos tecnológicos

Presidente do Consad cobra discussão sobre cibersegurança nas reformas tributária e administrativa

Cortes da TV 247