19 notícia(s) relacionada(s).
Reunimos nesta página as publicações do Hack Alerta relacionadas a 2fa.
WhatsApp desenvolve uma senha de conta opcional para adicionar uma terceira camada de autenticação, além do SMS e da verificação em duas etapas. O recurso visa combater ataques de account takeover como SIM swapping.
Extensão 'CL Suite' no Chrome Web Store rouba sementes TOTP 2FA e dados confidenciais do Meta Business Manager, permitindo sequestro de contas publicitárias. Ferramenta disfarçada solicita permissões amplas e exfiltrar informações para servidores controlados por atacantes.
Alertas indicam exploração ativa de CVE-2020-12812, falha no FortiOS que permite contornar autenticação de dois fatores em FortiGate. Equipes de rede devem priorizar identificação de aparelhos afetados, aplicar mitigação oficial e monitorar sinais de acesso administrativo não autorizado.
Fortinet confirmou exploração ativa de CVE-2020-12812: em dispositivos FortiGate mal configurados, diferença de sensibilidade a maiúsculas entre o appliance e LDAP permite bypass de 2FA. A fabricante recomenda patch, ajuste de case sensitivity e auditoria de logs. Sem dados públicos sobre alcance total.
Relatório da Recorded Future atribui ao grupo estatal BlueDelta uma campanha de furto de credenciais contra usuários do UKR.NET entre junho/2024 e abril/2025. Operação usou páginas falsas hospedadas em serviços gratuitos, PDFs com links, túneis ngrok e headers para suprimir avisos do navegador, com mais de 42 cadeias identificadas.
Falha crítica (CVE-2025-66489) no fluxo de autenticação do cal.com permitia pular verificação de senha quando um campo TOTP recebesse qualquer valor. A falha afeta versões até 5.9.7; cal.com publicou patch na 5.9.8. Usuários devem atualizar imediatamente e revisar logs de autenticação.
Pesquisas identificam amostras híbridas que combinam Salty2FA e Tycoon2FA: quando a infraestrutura de um kit falha, um fallback carrega o outro, criando uma cadeia resiliente que complica detecção baseada em IOCs estáticos e exige correlação entre sinais de entrega e comportamento de rede.
Pixnapping é uma técnica side‑channel demonstrada na ACM CCS 2025 que explora o compositor gráfico do Android para reconstruir pixels da tela e extrair códigos 2FA em menos de 30 segundos. Testes abarcaram Google Pixel 6–9 e Samsung Galaxy S25 (Android 13–16). Google atribuiu CVE‑2025‑48561 e liberou correções para Pixel; Samsung avaliou o risco como de menor severidade.
Pesquisadores batizaram de Pixnapping uma técnica side-channel capaz de capturar elementos de tela pixel a pixel em Android, potencialmente expondo códigos 2FA e timelines de localização; Google liberou um patch parcial e trabalha em correções adicionais.