5 short insights this week: A record $409M privacy fine, and not a hacker in sight · A 9.8 zero-day in PeopleSoft, no login required · npm is finally turning off the feature that kept getting you hacked…
Nesta edição
- 01Uma multa recorde de 409 M$ em privacidade, e nem um hacker à vista
- 02Uma zero-day 9,8 no PeopleSoft, sem login necessário
- 03O npm vai finalmente desligar a função que vos andava a fazer hackear
- 04Primeiros números da DORA: 90 % dos incidentes graves não foram cyber
- 0510,9 milhões de registos saíram de um armário não trancado
Receba o próximo GRC Brief na sua caixa de entrada.
Subscrever The GRC BriefUma multa recorde de 409 M$ em privacidade, e nem um hacker à vista
O regulador sul-coreano da privacidade aplicou à Coupang, o maior retalhista online do país, uma multa de 624,7 mil milhões de wons (cerca de 409 milhões de dólares). É a maior sanção de proteção de dados na história do país, quase cinco vezes o recorde anterior. A violação expôs cerca de 34 milhões de clientes mais 4,3 milhões de não-membros, cerca de dois terços da população. A causa não foi um hacking sofisticado. Uma conta de um ex-prestador, nunca desativada, foi usada para exfiltrar a base de dados.
Fonte: The Record · reporting also by BleepingComputer
A minha análise
Releiam a causa. Não foi um Estado-nação. Não foi uma exploração engenhosa. Um tipo que saiu, e a quem ninguém revogou a chave. Isto é gestão de direitos 101. É a parte mais aborrecida de um programa de segurança, e é o que custou à Coupang a maior multa de privacidade na história do país.
É isto que os orçamentos de segurança continuam a errar. Podem gastar milhões em deteção e perder mesmo assim uma revisão de acessos trimestral. O ROI real para a maioria das organizações não é mais um EDR. É o processo de revisão de acessos que realmente funciona.
E reparem no que transformou uma má violação numa multa recorde: os fundamentos, outra vez. Falhar a janela de notificação, subdimensionar o âmbito, não ter uma resposta clara para "como é que este acesso ainda estava ativo". O regulador não multa pelo hack. Multa pela má governança.
Uma zero-day 9,8 no PeopleSoft, sem login necessário
Uma falha crítica no PeopleSoft da Oracle (CVE-2026-35273), avaliada em 9,8 em 10, permite a um atacante assumir o servidor com apenas acesso à rede. Sem login, sem interação do utilizador. A Mandiant da Google diz que um grupo que segue como UNC6240 a estava a explorar entre 27 de maio e 9 de junho. A Oracle não publicou o seu aviso até 10 de junho, o que significa que foi uma zero-day viva durante todo esse tempo. Se executa PeopleSoft, verifique a sua exposição hoje.
Fonte: The Hacker News · attribution by Google Mandiant
A minha análise
O PeopleSoft corre RH e folha de pagamento em uma enorme fatia de grandes organizações. Isso significa que está sentado em cima de uma mina de ouro de identidade pessoal, e é frequentemente esquecido nos inventários de ataque porque é "só" interno. Exceto que este está exposto à internet muito mais frequentemente do que as pessoas pensam.
A parte desconfortável é a cronologia. Os atacantes estavam dentro desde 27 de maio. O patch chegou a 10 de junho. Para equipas que fazem patches duas semanas depois do aviso, são três semanas de pré-exploração às cegas. Esse é o gap que o vosso programa de gestão de vulnerabilidades deveria estar desenhado para fechar, e a maioria não está.
Vão verificar se os vossos endpoints de gestão do PeopleSoft estão expostos. Hoje, não no próximo sprint.
O npm vai finalmente desligar a função que vos andava a fazer hackear
O GitHub anunciou que o npm versão 12, previsto para julho, vai deixar de executar os scripts de instalação de dependências por defeito. Durante anos, um único "npm install" podia executar código de qualquer pacote em qualquer ponto da vossa árvore de dependências, no momento em que o puxavam, em laptops de developers e runners de CI cheios de credenciais. Foi o ponto de apoio por trás de uma longa série de ataques à cadeia de fornecimento. A partir da v12, esses scripts (junto com outros padrões de hook arriscados) ficam desativados salvo override explícito.
Fonte: The Hacker News · GitHub announcement, 9 Jun 2026
A minha análise
Isto é genuinamente uma boa notícia, e é também um prazo. Boa, porque os scripts de instalação automáticos foram um dos caminhos de ataque mais estúpidos da década. Prazo, porque "breaking changes" quer dizer exatamente isso. Se a vossa pipeline de CI depende silenciosamente do script de instalação de um pacote para pré-construir algo, vai partir em julho.
Usem as próximas semanas para fazer uma varredura. Identifiquem pacotes que usam hooks de instalação (postinstall, preinstall) nas vossas dependências diretas. Perguntem-se se precisam deles, ou se era só conveniente. Para a maioria, era só conveniente.
E isto é uma questão de governança, não só de dev. Quem na vossa organização decide que scripts de terceiros correm nos vossos runners. Se a resposta for "ninguém", têm um buraco de governança, não um buraco técnico.
Primeiros números da DORA: 90 % dos incidentes graves não foram cyber
As autoridades europeias de supervisão publicaram o primeiro relatório de incidentes da DORA, a imagem mais clara até agora do que realmente se parte no financeiro europeu. As entidades financeiras reportaram 3.383 incidentes TIC graves em 2025, cerca de 282 por mês. A principal descoberta: apenas 10 % estavam relacionados com cibersegurança. O resto foram falhas de sistema, paragens tecnológicas e eventos externos. Quase um terço remontava a problemas de fornecedores terceiros.
Fonte: European Banking Authority · ESAs first DORA incident report, 3 Jun 2026
A minha análise
Fiquem com esses 10 %. Apesar de todos os títulos sobre ransomware, nove em cada dez incidentes graves no financeiro europeu em 2025 não foram um atacante. Foi uma atualização que correu mal, um fornecedor que caiu, um sistema sem fôlego. Se todo o vosso mapa de risco está centrado em atacantes, estão a olhar para 10 % da imagem.
Este é o argumento para a resiliência operacional numa única estatística. Se todo o vosso programa de resiliência é um plano de resposta a incidentes cyber, não estão prontos para a coisa mais provável que vos vai acontecer. Estão prontos para o que faz manchetes.
O número que vos deve preocupar mais do que os 10 %: quase um terço dos incidentes veio de terceiros. Isto é exatamente o que a NIS 2 e a DORA dizem sobre o risco de terceiros. Não são caixas contratuais. É de onde vêm os cortes reais.
10,9 milhões de registos saíram de um armário não trancado
A Kyushu Electric, uma das maiores utilities regionais do Japão, divulgou que um disco rígido externo com dados de até 10,9 milhões de clientes desapareceu da sua sala de servidores. O bastidores é dolorosamente banal: sem espaço de armazenamento, a equipa de TI copiou os dados para um disco externo a 27 de abril e trancou-o num armário seguro. A 26 de maio voltaram para encontrar o armário aberto e o disco desaparecido.
Fonte: BleepingComputer · 11 Jun 2026
A minha análise
Dois itens neste brief agora, e nem um hacker por trás de qualquer uma das maiores perdas de dados. A Coupang perdeu 34 milhões de registos por uma conta esquecida. A Kyushu perdeu 10,9 milhões por um armário não trancado. A segurança física e a gestão de ativos não são "o outro departamento" para as equipas de GRC. São os controlos fundamentais que aparecem em cada catástrofe.
Reparem no que falta na divulgação: qualquer menção a cifragem. Um disco a conter 10,9 milhões de registos de clientes que não estava cifrado em 2026 conta a sua própria história sobre a maturidade do programa. E este é exatamente o tipo de controlo básico que a ISO 27001 Anexo A 8.24 (criptografia) espera por defeito para suportes amovíveis.