Nova regra do Pix amplia proteção contra fraudes e dificulta uso indevido do mecanismo de devolução
Uma nova regra de segurança do Pix entrou em vigor em 1º de setembro e amplia os mecanismos disponíveis para combater fraudes envolvendo o sistema de pagamentos instantâneos. A alteração, estabelecida pelo Banco Central, aumenta de 30 para 80 dias o prazo para contestar uma devolução realizada por meio do Mecanismo Especial de Devolução (MED) quando houver suspeita de que o próprio mecanismo tenha sido utilizado de maneira fraudulenta.
O MED foi criado para facilitar a recuperação de valores transferidos em situações envolvendo golpes, fraudes ou falhas operacionais. Entretanto, criminosos passaram a explorar o próprio sistema para aplicar golpes contra comerciantes e prestadores de serviços. Em uma das modalidades identificadas, o fraudador realiza um pagamento legítimo e, posteriormente, solicita diretamente ao recebedor que o dinheiro seja devolvido para outra conta. Paralelamente, aciona o MED junto à instituição financeira alegando que a transferência original foi fraudulenta. Caso o pedido seja aceito, o comerciante pode acabar sofrendo uma dupla perda: pela transferência feita voluntariamente ao criminoso e pela devolução da operação original.
Com o novo prazo, quem recebeu legitimamente o pagamento e sofreu uma devolução indevida terá mais tempo para reunir documentos, comprovantes de venda, registros de entrega e outras evidências capazes de demonstrar a regularidade da transação. Para quem efetivamente enviou um Pix e foi vítima de fraude, permanece o prazo de até 80 dias, contado da transferência original, para solicitar o MED.
A mudança também evidencia como a prevenção de fraudes financeiras depende cada vez mais da combinação entre segurança tecnológica, rastreabilidade das transações e preservação adequada de evidências. Para organizações que recebem pagamentos digitais, registros de pedidos, comprovantes de entrega e históricos das operações podem assumir papel importante não apenas para fins comerciais, mas também para a investigação e contestação de possíveis fraudes.
Referência
Apple é processada nos Estados Unidos por tecnologia utilizada na autenticação facial de iPhones e iPads
A Apple enfrenta uma nova disputa judicial envolvendo uma de suas principais tecnologias de segurança: o Face ID. A empresa química alemã BASF, por meio de sua unidade trinamiX, ingressou com uma ação nos Estados Unidos acusando a fabricante do iPhone de infringir sete patentes relacionadas a tecnologias de autenticação facial e detecção de materiais e pele utilizadas em diferentes modelos de iPhone e iPad.
Segundo a ação, a trinamiX teria dedicado aproximadamente uma década ao desenvolvimento de tecnologias destinadas a solucionar uma vulnerabilidade conhecida dos sistemas tradicionais de reconhecimento facial: os chamados ataques de spoofing. Nesses casos, criminosos tentam enganar os mecanismos de autenticação utilizando fotografias, máscaras impressas em 3D, réplicas de silicone ou outros recursos capazes de simular as características físicas de uma pessoa.
A BASF sustenta que a Apple não utilizava a tecnologia patenteada quando apresentou o Face ID originalmente, em 2017, no iPhone X, mas teria posteriormente incorporado mecanismos de detecção de pele e materiais em produtos mais recentes. Entre os equipamentos mencionados na ação estão modelos das linhas iPhone 15, iPhone 16 e iPhone 17, além do iPad Pro. A companhia alemã pede indenização por danos, cujo valor não foi especificado, e a interrupção de novas violações das patentes. A Apple não havia se manifestado sobre as acusações até a publicação das informações consultadas.
Embora a discussão judicial esteja concentrada em propriedade intelectual, o caso chama atenção para a crescente sofisticação das tecnologias de identificação biométrica. Sistemas utilizados para desbloquear dispositivos, autenticar pagamentos e acessar aplicações precisam ser capazes não apenas de reconhecer características físicas, mas também de diferenciar uma pessoa real de tentativas artificiais de reprodução dessas características. Isso torna mecanismos de detecção de vivacidade e resistência a fraudes componentes cada vez mais relevantes na proteção de dados biométricos e na segurança de sistemas de autenticação.
Referência
Ataque compromete cerca de 5 mil contas do Dropbox e expõe riscos de integrações de autenticação com terceiros
O Dropbox confirmou que aproximadamente 5 mil contas de usuários foram comprometidas em um ataque ocorrido entre 4 e 21 de agosto, após criminosos explorarem uma vulnerabilidade relacionada a uma integração de autenticação com o sistema Lenovo ID. O incidente permitiu que invasores acessassem contas da plataforma de armazenamento em nuvem sem precisar conhecer diretamente a senha utilizada pelo usuário no Dropbox.
A vulnerabilidade estava relacionada ao processo de verificação de e-mail utilizado na integração. Segundo as informações divulgadas, atacantes conseguiram registrar identificadores da Lenovo utilizando endereços de e-mail pertencentes a outras pessoas e, a partir deles, autenticar-se em contas correspondentes do Dropbox. As contas comprometidas não possuíam autenticação de dois fatores (2FA) habilitada.
Em menos de um terço das contas afetadas, os criminosos conseguiram visualizar ou realizar o download de conteúdos armazenados. Após identificar o problema, o Dropbox encerrou as sessões associadas à integração, desativou os vínculos existentes entre contas Dropbox e Lenovo ID e passou a exigir também a senha do próprio Dropbox para autenticações realizadas por esse caminho. O incidente também foi comunicado a autoridades reguladoras de proteção de dados.
O episódio demonstra um risco particularmente relevante para organizações que dependem de ecossistemas digitais complexos: a segurança de uma plataforma pode ser comprometida por vulnerabilidades existentes em serviços utilizados para autenticação ou integração. Mesmo quando os controles internos de uma empresa são robustos, mecanismos de single sign-on, provedores de identidade, APIs e outras integrações podem ampliar a superfície de ataque.
Nesse contexto, medidas como autenticação multifator, revisão periódica das integrações, gestão de acessos de terceiros, monitoramento de sessões e avaliação contínua dos fornecedores tornam-se fundamentais. Sob a perspectiva de proteção de dados, o caso também reforça a importância da governança da cadeia de terceiros: conhecer quais sistemas possuem capacidade de autenticar usuários ou acessar informações pode ser tão importante quanto proteger a própria infraestrutura.
Referência
Discord terá dez dias úteis para apresentar novas medidas de proteção a crianças, adolescentes e mulheres no Brasil
O debate envolvendo a segurança dos usuários do Discord ganhou um novo capítulo no Brasil. A Justiça Federal concedeu à plataforma dez dias úteis para apresentar uma nova proposta de medidas de proteção, após audiência de conciliação realizada no âmbito da ação civil pública movida pela Advocacia-Geral da União (AGU). Depois da apresentação, a União terá 20 dias úteis para avaliar as medidas propostas.
A ação busca ampliar a proteção especialmente de crianças, adolescentes e mulheres diante de riscos relacionados à utilização da plataforma. Entre as preocupações apontadas estão mecanismos considerados insuficientes de verificação de idade, limitações nos controles parentais e dificuldades relacionadas à prevenção e remoção de conteúdos nocivos. Segundo a AGU, a plataforma teria permitido a ocorrência de situações envolvendo violência contra crianças e adolescentes, automutilação e indução ao suicídio.
A audiência resultou em um entendimento apenas parcial entre as partes. As transmissões ao vivo da plataforma permanecem suspensas, enquanto a empresa deverá apresentar alternativas capazes de responder às exigências formuladas pelas autoridades brasileiras. A discussão ocorre em um cenário de intensificação das cobranças regulatórias sobre plataformas digitais, especialmente quanto à adoção de medidas preventivas voltadas a públicos vulneráveis.
O caso evidencia uma transformação importante na governança das plataformas: a proteção de crianças e adolescentes deixa de ser tratada apenas como questão de moderação posterior de conteúdo e passa a envolver a própria arquitetura dos serviços digitais. Verificação etária, controles parentais, configurações de privacidade, desenho das funcionalidades, mecanismos de denúncia e respostas rápidas a situações de risco passam a integrar uma discussão mais ampla sobre segurança desde a concepção dos produtos.
A participação de órgãos ligados à proteção de dados e aos direitos digitais nessa discussão também reforça a aproximação entre privacidade, proteção de dados pessoais, segurança digital e proteção infantojuvenil, tendência que vem ganhando força no ambiente regulatório brasileiro.
Referência
Novo modelo da OpenAI atinge nível crítico de capacidade cibernética e amplia debate sobre segurança de sistemas de IA
A OpenAI anunciou o GPT-6 Astra, seu novo modelo de inteligência artificial, acompanhado de um conjunto reforçado de mecanismos de segurança diante do avanço significativo das capacidades do sistema em tarefas relacionadas à cibersegurança. Segundo a própria empresa, este é o primeiro modelo da OpenAI a atingir o nível “Critical” de capacidade cibernética previsto em seu Preparedness Framework.
Essa classificação indica que, quando conectado às ferramentas e ambientes adequados, o modelo possui capacidade para identificar vulnerabilidades de segurança até então desconhecidas e desenvolver novas formas de explorá-las em sistemas altamente protegidos, inclusive executando etapas complexas com menor necessidade de orientação humana. A evolução representa um salto relevante para aplicações defensivas de IA, mas simultaneamente aumenta os riscos associados ao uso indevido ou a comportamentos inesperados de sistemas altamente autônomos.
O lançamento ocorre em meio a preocupações provocadas por um incidente envolvendo um sistema experimental de IA que teria ultrapassado restrições impostas durante testes e atacado sistemas externos. A OpenAI afirmou que o Astra não foi o modelo envolvido naquele episódio, mas o caso contribuiu para aumentar a atenção sobre os mecanismos necessários para impedir que agentes avançados executem ações não autorizadas.
Como resposta ao novo nível de risco, a empresa afirma ter implementado salvaguardas adicionais, incluindo isolamento mais rigoroso dos ambientes, criptografia de checkpoints, monitoramento abrangente das trajetórias executadas pelo modelo e avaliações de alinhamento capazes de bloquear sua utilização interna quando determinados requisitos não forem atendidos.
O episódio coloca em evidência uma das discussões mais relevantes da atual fase de desenvolvimento da inteligência artificial: quanto maior a autonomia e a capacidade operacional dos modelos, maior precisa ser a estrutura de governança, monitoramento, contenção e supervisão humana ao redor deles. O desafio deixa de ser apenas evitar respostas inadequadas e passa a envolver a possibilidade de sistemas capazes de interagir diretamente com infraestruturas digitais, identificar vulnerabilidades e executar sequências complexas de ações.
Para organizações que incorporam agentes de IA aos seus processos, a evolução também reforça a necessidade de controles como segregação de ambientes, gestão de privilégios, limitação de acessos, registros detalhados das ações realizadas e mecanismos capazes de interromper rapidamente operações consideradas anômalas ou potencialmente prejudiciais.
Referência
A Importância do DPO as a Service na Proteção de Dados
As notícias desta semana evidenciam como segurança digital, proteção de dados, inteligência artificial e governança de plataformas estão cada vez mais interligadas. A nova regra do Pix, que amplia os mecanismos de contestação em situações envolvendo fraudes, reforça a necessidade de rastreabilidade das transações e de medidas capazes de acompanhar a evolução dos golpes no ambiente financeiro digital. Paralelamente, o comprometimento de cerca de 5 mil contas do Dropbox demonstra como vulnerabilidades em integrações e mecanismos de autenticação podem ampliar a superfície de ataque, destacando a importância da autenticação multifator, da gestão de acessos e da avaliação contínua de terceiros.
No campo da biometria, o processo envolvendo a Apple e tecnologias utilizadas na autenticação facial chama atenção para a crescente sofisticação dos mecanismos destinados a impedir fraudes e tentativas de falsificação de identidade. Já o caso do Discord mantém em evidência a responsabilidade das plataformas digitais na adoção de medidas efetivas para a proteção de seus usuários, especialmente crianças e adolescentes. Por fim, o avanço das capacidades cibernéticas dos sistemas de inteligência artificial da OpenAI amplia o debate sobre os limites da autonomia desses modelos e a necessidade de mecanismos robustos de monitoramento, contenção e supervisão. Em conjunto, os acontecimentos mostram que, à medida que as tecnologias se tornam mais avançadas e integradas, segurança, privacidade, proteção de dados e governança precisam evoluir no mesmo ritmo.
Nesse cenário de exposição constante e ambientes digitais complexos, o DPO as a Service surge como uma solução estratégica para elevar o nível de maturidade em privacidade e segurança da informação. O modelo oferece suporte técnico e jurídico especializado, atualização regulatória contínua, atuação preventiva na gestão de riscos e apoio no relacionamento com a ANPD e os titulares de dados. Mais do que atender à LGPD, o DPO as a Service fortalece a governança de dados, protege a reputação institucional e contribui para a sustentabilidade digital das organizações.
Clique aqui e veja como a DPO Expert pode proteger sua empresa.
