A semana passada não foi propriamente calma no mundo da cibersegurança.
O The Hacker News resumiu, no seu recap semanal, uma falha zero-day no Chrome, routers domésticos sequestrados em massa e um ataque à cadeia de fornecimento que atingiu a Coder.
Três histórias diferentes. Um único fio condutor. O dispositivo que usas para entrar em contas online, seja o banco, o email ou qualquer plataforma que peça login, está mais exposto do que a maioria das pessoas assume.
Não é alarmismo. É aritmética simples. Um browser vulnerável mais um router comprometido é igual a um caminho aberto até às tuas credenciais. E isso interessa a qualquer pessoa em Portugal que insira uma password num site à hora de jantar, sentada no sofá, ligada ao Wi-Fi de casa sem grande cuidado.
A falha no Chrome que obrigou o Google a correr
A Google confirmou, ainda antes deste último recap, uma vulnerabilidade zero-day no motor V8 do Chrome que já estava a ser explorada ativamente antes da correção. Não é a primeira vez este ano. Foi a oitava falha deste tipo corrigida pelo Google em 2025, segundo o levantamento da BleepingComputer, o que diz muito sobre o ritmo a que estes ataques têm vindo a acontecer.
Um zero-day significa que os atacantes encontraram a brecha antes dos programadores. Enquanto o patch não chega ao teu dispositivo, o browser fica exposto. Bastante para permitir a um site malicioso executar código no teu computador só por visitares a página errada. Sem cliques estranhos. Sem downloads suspeitos. Só abrir um separador.
O relatório mais recente da própria The Hacker News confirma que esta falha específica (catalogada como CVE-2025-13223) já estava a ser usada em ataques reais quando a correção saiu. Isto muda o cálculo de risco. Já não é “pode acontecer”. Já estava a acontecer.
A lição prática é aborrecidamente simples, atualiza o Chrome. Hoje. Não na próxima vez que reiniciares o computador por acaso. Vai a `chrome://settings/help`, confirma a versão, reinicia se pedir. Demora 40 segundos e fecha uma porta que, de outra forma, fica aberta.
Routers sequestrados: o elo mais fraco que ninguém verifica
Se o browser é a porta da frente, o router é a fechadura de toda a casa. E é aqui que a coisa fica desconfortável.
A Malwarebytes documentou uma botnet a infetar routers TP-Link em massa, usando-os depois para atacar contas Microsoft 365, segundo o alerta publicado pela própria Malwarebytes. Ao mesmo tempo, investigadores da Security Affairs identificaram a botnet Mirai a explorar routers D-Link antigos, alguns já sem suporte do fabricante há anos.
Um router comprometido não precisa de roubar a tua password diretamente. Basta redirecionar o tráfego, injetar anúncios maliciosos ou interceptar sessões enquanto navegas. É invisível. O Wi-Fi continua a funcionar normalmente, a Netflix carrega sem problemas e nada no ecrã sugere que algo está errado.
É exatamente por isso que este tipo de ataque encaixa tão bem em qualquer site onde faças login com dados sensíveis. Contas bancárias, claro. Mas também qualquer plataforma que exija autenticação e envolva movimentos de dinheiro.
Sites de streaming pago, marketplaces, e sim, também os melhores casinos online em Portugal, que por lidarem com depósitos e retiradas em tempo real, exigem verificação em duas etapas (2FA) e, sempre que possível, uma VPN atualizada quando acedes fora de uma rede de confiança.
Sem essas camadas extra, um router comprometido dá a um atacante uma vista privilegiada sobre tudo o que fazes online, incluindo sessões que deviam estar protegidas.
A prevenção é chata mas eficaz. Verifica se o firmware do teu router foi atualizado nos últimos seis meses. Se não sabes o que é firmware, procura no manual ou na app do fabricante por “atualização de sistema”.
Troca a password de administração do router (a maioria das pessoas nunca mudou a que veio de fábrica). E se o teu router tem mais de cinco anos e o fabricante já não lança atualizações, considera substituí-lo. Não é gasto, é seguro.
Aviso responsável: se decidires jogar em plataformas de casino online, faz sempre login com 2FA ativo e apenas em redes de confiança. Joga com responsabilidade e apenas o que podes perder.
O ataque à Coder e o que os supply chain attacks realmente significam
A terceira peça do puzzle é diferente das outras duas, mas igualmente relevante. A Coder, plataforma usada por equipas de desenvolvimento para ambientes de trabalho remoto, foi alvo de um ataque à sua cadeia de fornecimento. Ou seja, os atacantes não tentaram invadir a Coder diretamente. Comprometeram uma dependência, uma peça de software de terceiros que a Coder usa internamente, e usaram-na como cavalo de Troia.
Esta técnica tem crescido de forma consistente. Em vez de atacar um alvo forte de frente, os atacantes procuram o fornecedor mais fraco na cadeia. É mais barato. É mais difícil de detetar. E afeta, em cascata, todos os clientes que dependem daquele software.
Para o utilizador comum, o impacto direto é menor. Mas o padrão importa. Cada vez mais serviços que usas diariamente dependem de dezenas de bibliotecas de código escritas por terceiros. Quando uma dessas bibliotecas é comprometida, o problema propaga-se sem que a empresa principal tenha feito nada de errado. É uma das razões pelas quais mesmo empresas com boas práticas de segurança continuam a sofrer brechas.
Phishing sem QR: a nova táctica que engana quem já sabe reconhecer códigos maliciosos
O mesmo recap da The Hacker News mencionou uma técnica de phishing que evita códigos QR tradicionais, substituindo-os por imagens geradas de forma a escapar à deteção automática de muitos filtros de email. É um detalhe técnico, mas revela algo maior: os atacantes estão sempre um passo a adaptar-se às defesas mais recentes.
O PayPal publicou recentemente um alerta de segurança sobre este exato tipo de evolução no phishing, recomendando aos utilizadores que desconfiem de qualquer mensagem urgente pedindo confirmação de dados, mesmo quando o design parece perfeitamente legítimo, segundo o comunicado da PayPal Newsroom. A regra continua válida: nenhuma empresa séria pede a password por email ou SMS.
Em Portugal, este tipo de fraude tem crescido junto com a adoção do MB Way e de carteiras digitais. Quanto mais popular fica um método de pagamento, mais atrativo se torna para quem tenta explorá-lo.
O que fazer esta semana, sem complicar
Não precisas de te tornar especialista em segurança informática para reduzir drasticamente o risco. Três ações resolvem a maior parte do problema.
Atualiza o browser agora, não depois. Verifica o firmware do router, e troca a password de administração se ainda for a original. Ativa autenticação de dois fatores em qualquer conta que envolva dinheiro, seja banco, carteira digital, ou qualquer plataforma de entretenimento pago.
Se usas frequentemente redes Wi-Fi públicas ou partilhadas, mesmo a de um café ou aeroporto, uma VPN atualizada deixa de ser luxo e passa a ser básico. Não protege contra tudo, mas fecha uma das portas mais fáceis de explorar.
A cibersegurança de consumo não é sobre paranoia. É sobre reduzir a superfície de ataque com o mínimo de esforço possível. Quem fizer isso esta semana está, sem dúvida, mais protegido do que estava há sete dias.
Perguntas frequentes sobre segurança digital e pagamentos online
O que é exatamente uma vulnerabilidade zero-day? É uma falha de segurança descoberta e explorada por atacantes antes do fabricante lançar uma correção. O nome vem do facto de a empresa ter “zero dias” de aviso antes do ataque começar a acontecer na prática.
Como sei se o meu router foi comprometido? Sinais incluem lentidão inexplicável, dispositivos desconhecidos ligados à rede, ou alterações nas definições de DNS. Muitas apps de fabricantes mostram o histórico de dispositivos ligados, vale a pena verificar mensalmente.
Basta ter antivírus para estar protegido? Não. O antivírus ajuda contra malware no dispositivo, mas não protege contra routers comprometidos, phishing bem feito, ou zero-days no browser. É uma camada, não a solução completa.
Vale a pena trocar de router com frequência? Não é preciso trocar todos os anos, mas se o fabricante já não lança atualizações de firmware, o risco aumenta com o tempo. Routers com mais de cinco a seis anos sem suporte ativo merecem substituição.
A VPvpnN resolve todos os problemas de segurança? Não. Uma VPN protege o tráfego entre o dispositivo e a internet, útil em redes públicas, mas não substitui atualizações de software, passwords fortes, ou autenticação de dois fatores.
Sobre o autor
Aproveite a campanha:
