Polícia Civil de SP: 22 mil credenciais à venda por US$ 40 mil, Barracuda com root explorado e Nitori com 37,6 milhões

Polícia Civil de SP: 22 mil credenciais à venda por US$ 40 mil, Barracuda com root explorado e Nitori com 37,6 milhões

O ciclo de 11 para 12 de novembro de 2026 fecha com quatro frentes abertas ao mesmo tempo: um leilão de acesso privilegiado a sistemas de segurança pública no Brasil, duas falhas de firewall de e-mail que já entregaram root a atacantes, um calendário federal de correção com prazo em três dias e uma sequência de vazamentos industriais em série — Japão, Dinamarca e Estados Unidos na mesma página. Nenhum desses eventos é isolado. Todos dependem do mesmo insumo: credencial válida em ambiente onde ninguém olhou o suficiente.

Polícia Civil de SP: o anúncio, o inquérito e o silêncio dos bancos de dados

No sábado, 7 de novembro, o grupo que se identifica como bl33dr00t publicou em fórum clandestino a alegação de comprometimento de ambientes internos da Polícia Civil do Estado de São Paulo. O anúncio descreve acesso com nível máximo de privilégio a três superfícies distintas: os servidores do Instituto de Identificação Ricardo Gumbleton Daunt (IIRGD) — a base de identificação civil que sustenta a emissão de RG no estado —, o sistema “Phoenix” e o SharePoint corporativo da instituição.

O material anunciado tem dois componentes. O primeiro é um pacote de aproximadamente 22 mil credenciais ; o segundo é um mapa de sistemas de outras instituições de segurança pública, o que sugere reconhecimento além do alvo inicial. O preço pedido é de US 220 mil .

A resposta oficial veio em dois tempos. A Secretaria da Segurança Pública (SSP) afirmou que as checagens técnicas iniciais não identificaram acessos indevidos aos bancos de dados , e a corporação instaurou inquérito para apurar o caso. Ou seja: há investigação formal em curso, não há confirmação de exfiltração. Essa diferença importa tecnicamente, por dois motivos.

Ausência de indício não é ausência de acesso. Logs de aplicação em ambientes SharePoint raramente retêm, por padrão, o volume e o tempo de retenção necessários para provar que uma conta administrativa não foi usada. Sem trilha de auditoria estendida e sem correlação com VPN e autenticação, a negativa é uma constatação de escopo, não uma prova de integridade.

Identificação civil é dado de risco assimétrico. Um dump de RG, filiação, data de nascimento e biometria não tem valor de revenda alto como cartão de crédito — tem valor estrutural. É matéria-prima de abertura de contas, saque de benefício, constituição de empresa e engenharia social contra agentes públicos.

Para quem administra ambientes correlatos, o roteiro de verificação é direto: revisar contas com privilégio administrativo em SharePoint e nos sistemas de identificação, invalidar sessões de serviço, checar criação de usuários fora do fluxo de provisionamento, auditar acesso ao diretório de identidade nos últimos 30 dias e testar se o registro de log cobre leitura em massa de registros civis. Se a organização guarda base de identificação, o controle adequado não é só permissão de leitura — é alerta de volume por analista, por hora.

Barracuda ESG: CVE-2026-116606 e CVE-2026-111560 já foram usadas em produção

A Barracuda Networks publicou as correções em 2 de novembro, divulgou o caso em 4 de novembro e, na noite de 9 de novembro, atualizou o aviso com a frase que ninguém quer ler: “identificamos atividade de exploração afetando um pequeno número de organizações”. As duas falhas são encadeáveis.

CVE-2026-116606 (CVSS 9,3) — bypass de autorização pré-autenticação nos appliances de Email Security Gateway. Permite alterar a configuração global do equipamento sem credencial válida.

CVE-2026-111560 — injeção de comandos de sistema operacional que executa com privilégio de root , sem autenticação.

Somadas, a cadeia entrega o que qualquer atacante procura em um gateway de e-mail: persistência no ponto por onde passa toda a mensagem da empresa, capacidade de manipular regras de transporte, inspecionar anexos e interceptar autenticação. A linha de produtos citada no boletim inclui ESG, Load Balancer/ADC, Message Archiver e WAF Control Center — vale conferir cada appliance dessa família, não apenas o gateway de e-mail.

A CISA incluiu o par no catálogo de vulnerabilidades exploradas em 10 de novembro, com prazo federal de correção em sexta-feira, 13 de novembro , e exigência adicional de triagem forense — não basta aplicar patch, é preciso provar que o appliance não foi tocado antes.

Mitigação imediata, em ordem de prioridade:

aplicar a atualização e confirmar a versão efetiva no painel, não apenas o retorno da interface de update;

restringir a interface de administração a rede de gestão, com allowlist de origem;

rotacionar credenciais e chaves de API usadas pelo appliance, incluindo integrações com diretório e com o tenant de e-mail;

procurar por contas administrativas criadas fora de janela, alterações de configuração global e regras de transporte desconhecidas;

preservar evidências antes de reiniciar o equipamento.

CISA KEV: seis novas entradas e um calendário que não espera

Na mesma atualização, a agência adicionou seis vulnerabilidades com evidência de exploração ativa. Entre as confirmadas publicamente estão:

CVE-2026-20320 — Cisco BroadWorks, restrição inadequada de referência a entidade externa XML (XXE), com potencial de exposição de dados de configuração;

CVE-2026-111793 — Openwave Messaging Webtop Media Transcoder, transferência incorreta de recursos entre esferas, explorável por usuário autenticado em ambiente de webmail;

CVE-2026-111560 — a injeção de comandos da Barracuda já descrita;

entradas adicionais na família Chromium , com prazo de correção em 24 de novembro .

Os prazos se dividem: 13 de novembro para o par Barracuda, 24 de novembro para Chromium, BroadWorks e Openwave. Para operações fora do escopo federal, o valor do KEV é outro — serve como lista de prioridade real quando o volume de CVEs do mês supera a capacidade de patch. Um par explorado com root obtido vence qualquer discussão sobre criticidade teórica.

Nitori: até 37,6 milhões de registros no Japão

A rede de móveis e utilidades domésticas Nitori detectou acesso não autorizado em 6 de novembro, bloqueou a intrusão e divulgou o caso em 9 de novembro: até 37,62 milhões de registros de clientes podem ter sido expelidos. A empresa afirma que senhas e dados de cartão não foram comprometidos — o que desloca o risco para phishing direcionado com dados corretos , o cenário em que a vítima não tem como distinguir a mensagem falsa pelo conteúdo.

O caso se soma a uma sequência japonesa que já inclui Iris Ohyama e Waseda neste mesmo mês. O padrão é constante: detecção rápida, comunicação em até três dias, ausência de ator nomeado, e uma frase de mitigação que empurra o custo para o usuário final — “cuidado com golpes”.

Maersk e WhiteArmor: US$ 5 milhões, 100 GB e um sistema herdado

A A.P. Moller–Maersk confirmou em 11 de novembro acesso não autorizado e extração de dados de um sistema local herdado de uma empresa anteriormente adquirida . O grupo WhiteArmor reivindicou o ataque no fim de semana e ameaça publicar cerca de 100 GB supostamente retirados de uma plataforma de logística e cadeia de suprimentos, com pedido de US$ 5 milhões . A Maersk sustenta que não houve interrupção operacional e que, até aqui, nenhum dado sensível foi divulgado.

O detalhe técnico que merece atenção não é o valor do resgate: é a expressão “sistema herdado de aquisição”. Fusões e aquisições são a forma mais eficiente de introduzir ativos sem dono no inventário. Aquele servidor que ninguém documentou, com credencial local compartilhada e fora do EDR, é o alvo preferencial justamente porque não aparece no CMDB nem no escopo do pentest. Toda aquisição deveria terminar com um inventário de identidades e uma lista de sistemas a desativar — não apenas com uma integração de rede.

SEGA: 2,19 milhões de e-mails via fornecedor de newsletter

A SEGA confirmou que o acesso indevido ocorreu na ARARA , fornecedora japonesa de distribuição de mensagens, e expôs 2.196.044 endereços de e-mail ligados a 11 newsletters de produtos e serviços da marca. Cerca de 92.273 registros incluem informações adicionais ainda em apuração. Nomes, datas de nascimento, endereços, telefones, dados de cartão e senhas não foram comprometidos, e contas SEGA não foram afetadas.

O ponto de arquitetura é o de sempre e nunca é aplicado: o fornecedor de disparo guarda a lista inteira e não precisa dela em claro. Tokenização de endereço, criptografia no repositório do provedor e — sobretudo — não entregar ao disparador mais campos do que o necessário para enviar a mensagem reduziriam o dano a quase zero. O vazamento de e-mails parece pouco até o primeiro e-mail de reset de senha convincente chegar com nome, produto e histórico corretos.

Railway: chaves de IA roubadas e US$ 740 mil de consumo alheio

A plataforma Railway informou que chaves de provedores de IA armazenadas por clientes foram roubadas em uma invasão de outubro e usadas para gerar cerca de US$ 740 mil em consumo não autorizado . A empresa se comprometeu a absorver a conta quando o provedor de IA não reembolsar.

Esse é o vetor novo que o ciclo escancara: segredo de IA virou ativo financeiro com liquidez imediata . Uma chave de API vazada não exige movimentação lateral, não precisa de persistência e não dispara alerta de malware — gera fatura. Controles que passam a ser obrigatórios: limite de gasto por chave, rotação automática, escopo por projeto, detecção de uso fora do padrão geográfico e varredura de segredos em pipeline e em variáveis de ambiente de build.

Qlik Sense: o “ZeroQlik” voltou com reverse shell e kit de n-day

A Cynet reportou atividade de outubro de 2026 contra servidores Qlik Sense de vários clientes na União Europeia, dentro de uma janela de pouco mais de três minutos — típico de automação, não de operador humano. O comando tentado foi um reverse shell em PowerShell , que faria o servidor abrir sessão de comando de saída para infraestrutura do atacante; as execuções foram bloqueadas.

A análise da infraestrutura de comando e controle encontrou um kit de exploração reutilizável:

exploit para Apache ActiveMQ (falha n-day conhecida);

ferramentas de ataque a Veeam , alvo clássico de roubo de credenciais de backup;

um agente em Go para controle remoto;

scripts de persistência que reinstalam reverse shell agendado e instalam OpenSSH com acesso SSH de entrada liberado.

A vulnerabilidade de entrada inicial permanece desconhecida — o que, na prática, significa que a hipótese mais provável é uma falha já corrigida em instalação não atualizada. O mapeamento ATT&CK do incidente cai em aplicação pública explorada (T1190), execução via PowerShell (T1059.001) e cifragem de dados para impacto (T1486). Servidor de BI é alvo de alto valor: concentra credencial de banco de dados, roda como serviço de sistema e quase nunca está no escopo do patch semanal.

Análise de tendência: o elo comum é a identidade, não o malware

Três dos eventos do dia — Polícia Civil de SP, Barracuda e Qlik Sense — dependem de credencial ou de configuração, e não de exploit exótico. O atacante que compra 22 mil logins por US$ 40 mil não precisa de zero-day; precisa que ninguém revogue sessão. O que muda a economia do ataque é tempo de detecção, não sofisticação.

O segundo sinal é a terceirização do risco : ARARA, sistema herdado da Maersk, provedor de nuvem da Iris Plaza na semana passada. O dado sai pela porta do fornecedor, mas a notificação, a multa e a reputação ficam com quem contratou.

O terceiro é a financeirização dos segredos : chaves de IA com fatura e resgate em cripto transformaram credencial em produto negociável sem intermediário. Controle de acesso deixou de ser governança e passou a ser controle de custo.

Conclusão e o que fazer hoje

A janela de 24 horas entrega uma lista curta e executável: se você opera Barracuda ESG ou appliance da mesma família, o patch e a triagem forense vencem em 13 de novembro; se armazena dados de identificação, audite leitura em massa, não apenas escrita; se depende de fornecedor de disparo ou de sistema herdado de aquisição, trate ambos como ativos com prazo de validade; e se usa API de modelo de linguagem em produção, coloque limite de gasto por chave antes do próximo incidente.

Se este boletim ajuda seu time a priorizar, assine a newsletter para receber a análise diária e encaminhe o artigo ao responsável por segurança da sua organização — a diferença entre um incidente contido e um vazamento de 37 milhões de registros costuma ser uma pessoa que leu o aviso na hora certa.

Fontes