Seu rastreador de menstruação está (provavelmente) espionando você

Horas de São Delegacia de Polícia de Francisco Imagens de vídeo de drone expostas na web aberta ilustra uma nova era de vigilância urbana incrivelmente granular – e consequente. Enquanto isso, o Gabinete do Procurador da Cidade de São Francisco enviou cartas de cessação e desistência à Apple e ao Google esta semana exigindo que o gigantes da tecnologia excluem 13 aplicativos de “troca de rosto” que nudificam a IA de suas lojas de aplicativos que são usadas quase exclusivamente para atingir mulheres e meninas.

Desde WIRED relatado pela primeira vez em junho, sobre o sistema de reconhecimento facial NameTag da Meta, os executivos da empresa fizeram comentários opacos e conflitantes sobre se o recurso existe. Demos um passo para trás expor as reivindicações e os fatos sobre o sistema muito real.

Num discurso na quinta-feira, o presidente Donald Trump continuou a pressionar alegações infundadas e completamente desmascaradas sobre a interferência nas eleições de 2020 nos EUA. Ele até prometeu revelações massivas num conjunto de documentos publicados no website da Casa Branca, mas os ficheiros não provavam as suas afirmações – e em alguns casos contradiziam mesmo as afirmações de Trump.

À medida que a adoção de ferramentas de IA se expande rapidamente e as suas capacidades aumentam, a gigante tecnológica A Anthropic continuou seu esforço para fazer com que os estados dos EUA regulamentassem a IA. Falando sobre os requisitos de transparência da IA ​​​​na Califórnia e em Nova York no ano passado, o chefe de relações governamentais estaduais e locais da Anthropic, Cesar Fernandez, disse à WIRED esta semana: “Os projetos de lei de segurança com foco na transparência de 2025 foram um começo realmente importante, mas à medida que as capacidades dos sistemas de IA continuam a avançar rapidamente – as respostas políticas precisam ser compatíveis”.

E tem mais. Toda semana, reunimos notícias sobre segurança e privacidade que não abordamos em profundidade. Clique nas manchetes para ler as histórias completas. E fique seguro lá fora.

O rastreador de período com tema astrológico Stardust envia detalhes de saúde reprodutiva dos usuários – tipo de controle de natalidade, estado de gravidez, humor e sintomas tão específicos como seios sensíveis e cólicas estomacais – para uma empresa de dados não mencionada em sua política de privacidade, de acordo com a BBCque relatou pela primeira vez uma auditoria da Fundação Mozilla de seis rastreadores populares produzidos em parceria com o Berkman Klein Center de Harvard.

Stardust marcou 2 de 10o pior do grupo. A pesquisadora da Mozilla, Shoshana Wodinsky, descobriu que o aplicativo faz ping em rastreadores de terceiros desde o momento em que é aberto, antes que o usuário insira qualquer coisa; no instante em que ela registrou um sintoma, os detalhes foram para a empresa de análise RudderStack junto com um ID de usuário persistente, sem nenhuma maneira no aplicativo de desativar o compartilhamento. O RudderStack foi desenvolvido para rotear dados para destinos que a Mozilla não conseguiu observar. A Stardust também entrega ao Facebook um identificador de anúncio que vincula o comportamento no aplicativo aos perfis existentes da plataforma. A empresa disse ao TechCrunch nunca recebeu uma demanda legal por dados do usuário.

Euki, um rastreador sem fins lucrativos, obteve nota 10 perfeita: nenhuma conta é necessária, os dados de saúde nunca saem do telefone e os usuários podem definir um PIN, agendar a exclusão automática ou abrir uma tela falsa se alguém forçar a abertura do telefone. Seu único ponto fraco é um navegador no aplicativo para páginas educacionais que carrega os rastreadores habituais da web, mas também redefine os identificadores entre as visitas.

O FSB da Rússia tem há muito tempo uma reputação de ciberespionagem altamente sofisticada, deixando os ataques cibernéticos perturbadores para os seus colegas hackers na agência de inteligência militar GRU do país. Mas as sanções impostas pela UE e pelo Reino Unido esta semana, juntamente com um comunicado da Agência de Segurança Cibernética e de Infraestruturas dos EUA, do FBI e da NSA, identificaram um ataque cibernético contra a rede elétrica polaca no Centro 16 do FSB, um raro exemplo de a agência do Kremlin ter levado a cabo um ataque cibernético que quase causou cortes nos serviços de eletricidade e água do país. O ataque, que o governo polaco disse ter chegado “muito perto” de causar um apagão, foi inicialmente atribuído pelas empresas de segurança cibernética Dragos e ESET a Verme da areiatambém conhecida como Unidade 74455 do GRU, um suspeito mais comum de hacking de infra-estruturas, dado o seu papel activo na longa guerra cibernética da Rússia contra a Ucrânia. Mas a equipa polaca de resposta a emergências informáticas da altura contestou essa conclusão e vinculou o ataque ao FSB, uma conclusão agora apoiada por um amplo consenso dos governos ocidentais. O incidente sugere que o FSB pode estar a assumir algumas das tendências imprudentes e altamente agressivas – e de ataque – dos seus colegas de trabalho do GRU.

Durante anos, a empresa russa de segurança cibernética Kaspersky foi acusada de ter ligações com o governo russo, inclusive por autoridades dos EUA que proibiram o uso dos produtos da empresa dentro do governo dos EUA e, eventualmente, por todos os clientes americanos. No entanto, as evidências evidentes dessas conexões têm sido escassas. Agora, a Reuters relata que Denis Obrezko, um russo que enfrenta acusações de hacking em Boston e suposto membro de um grupo de hackers conhecido como Void Blizzard ou Laundry Bear, passou dois anos trabalhando na Kaspersky. Sua passagem pela empresa ocorreu pouco antes de ingressar em outra empresa de segurança cibernética, a Yutek-NN, onde supostamente participou da campanha de hackers do grupo que roubou dados e comunicações de vários governos da OTAN e de pelo menos 11 empresas dos EUA, segundo promotores dos EUA. Antes da Kaspersky, Obrevko também supostamente trabalhou no FSB, reservando seu tempo na empresa com aparente trabalho para os serviços de inteligência da Rússia.

Obrevko se declarou inocente das acusações de hacking. A Kaspersky respondeu em comunicado à Reuters que “as infrações acusadas não podem estar relacionadas à função ou responsabilidades do indivíduo durante o emprego na Kaspersky”.

Num incidente que irá induzir ansiedade em qualquer pessoa responsável pela avaliação de atividades suspeitas na rede, os funcionários do DHS determinaram – duas vezes – que os sinais de uma violação de hackers na sua plataforma de partilha de dados da Rede de Informação de Segurança Interna eram falsos positivos quando eram, na verdade, sinais de uma intrusão muito real. O HSIN, usado para compartilhar dados não confidenciais entre agências estaduais, locais e federais, bem como parceiros estrangeiros, foi violado por hackers há dois meses, de acordo com relatórios do Nextgov/FCW. Analistas da Agência Federal de Gestão de Emergências detectaram sinais de actividade hacker em meados de Maio – alteração de ficheiros e código, sequestro de um servidor web legítimo e eliminação de registos do seu comportamento – mas as descobertas foram rejeitadas como falso positivo.

Nas semanas que se seguiram, os hackers retornaram, foram novamente detectados e novamente descartados como uma miragem. Não está claro por que os sinais da violação foram mal avaliados, mas os incidentes podem representar desafios crescentes para os analistas federais na detecção de técnicas de hacking “vivas da terra” que usam recursos legítimos de redes para acessar ativos alvo em uma rede, em vez de plantar malware mais facilmente detectado. Embora o HSIN guarde apenas dados não confidenciais, as informações são “altamente sensíveis”, disse o vice-presidente do Comitê de Inteligência do Senado, Mark Warner, em um comunicado após o relatório da violação, e “sua exposição coloca em risco a segurança nacional”.

A startup musical de IA Suno retirou milhões de músicas, letras e podcasts do YouTube Music, Deezer, Genius e uma série de bibliotecas de áudio para treinar seus modelos, de acordo com a 404 Media, que revisou dados internos fornecidos por um hacker que violou a empresa. A invasão também expôs informações de contas de centenas de milhares de clientes, incluindo e-mails, números de telefone e registros de pagamento do Stripe.

As notas do conjunto de dados no código-fonte, aparentemente de 2023 e 2024, totalizam 113.879 horas apenas de áudio do YouTube Music, além de dezenas de milhares de Pond5, Deezer e outras bibliotecas – décadas de música no total. Outros arquivos mostram Suno direcionando sua coleta do YouTube por meio de proxies Bright Data e usando PodcastIndex para atingir cerca de 1 milhão de horas de podcasts. O hacker, conhecido como ellie.191, diz que invadiu comprometendo um funcionário com o worm Shai-Hulud.

Os arquivos aparentemente corroboram a alegação central da indústria fonográfica de que Suno extraiu músicas diretamente do YouTube. A empresa, que argumenta que seu treinamento se qualifica como uso justo e chegou a um acordo com o Warner Music Group em novembro passado, disse que a violação envolveu código desatualizado e nenhuma informação pessoal sensível – embora os clientes cujos dados apareceram em uma amostra compartilhada com a 404 Media tenham dito que nunca foram notificados.

Source link