531 certificados falsos já expuseram 300 mil contas de e-mail. Desta vez foram apenas 8, mas o risco estava mais escondido 🦖
🕐 最新解读群里更新
As chaves privadas de 8 certificados intermediários da autoridade certificadora indiana eMudhra foram recuperadas de forma independente por uma equipe de segurança. No relatório do incidente, o engenheiro de criptografia da Mozilla, Dennis Jackson, escreveu que o processo de geração dessas chaves tinha falhas — e era tão simples que qualquer um poderia explorá-las ⚠️
O alerta chegou no sábado, 17 de outubro. Até terça-feira desta semana, os quatro navegadores — Google, Apple, Microsoft e Firefox — já haviam bloqueado os certificados. A divulgação oficial estava marcada para 19 de outubro.
Para começar, vamos esclarecer o que é um certificado: é a identidade de um site. O HTTPS depende de o navegador confiar nesse certificado. Se ele for válido, o navegador exibe um cadeado na barra de endereço e o usuário presume que está no site verdadeiro.
Assim, quando é possível recuperar a chave privada de uma autoridade certificadora, um invasor pode emitir certificados para qualquer domínio e, depois, interceptar a conexão dos usuários para roubar senhas e contas ou alterar endereços de transferência. Durante todo o processo, o navegador não mostra nenhum alerta 🔐
O bloqueio foi, na verdade, bastante rápido. O Google colocou os certificados na lista de bloqueio no próprio sábado; a Apple fez isso na segunda-feira e a Microsoft, na terça. Além de bloquear os certificados, o Firefox também lançou atualizações para as versões de computador e Android, impedindo que configurações personalizadas dos usuários contornassem a proteção. A empresa de segurança em nuvem Cloudflare foi informada na segunda-feira e, na terça, atualizou o One, os clientes WARP e o serviço Tunnel.
Um detalhe ainda mais importante: desde abril de 2025, não há nenhum registro desses certificados intermediários nos logs de Transparência de Certificados. Ou seja, até o momento, não há evidências de que algum dos 8 certificados tenha sido realmente usado 💥
Mas não terem sido usados não significa que o sistema não tenha problemas.
Muitos clientes que não são navegadores sequer verificam a Transparência de Certificados. Aplicativos de carteira, versões para computador de plataformas de negociação, plugins de cotações e scripts de negociação automatizada estão entre eles. Eles apenas verificam a cadeia de certificados, sem conferir se o certificado foi registrado nos logs. Em outras palavras, os navegadores já estão seguros, mas não dá para ter certeza quanto aos aplicativos instalados no seu celular.
O incidente da DigiNotar, em 2011, serve de alerta. Na época, hackers invadiram essa autoridade certificadora holandesa e emitiram 531 certificados falsos para se passar por serviços do Google. Cerca de 300 mil contas iranianas do Gmail foram monitoradas. No fim, a empresa fechou as portas.
Na minha opinião, o verdadeiro risco desse tipo de incidente já migrou dos navegadores para as carteiras e outros clientes. Os fabricantes de navegadores têm equipes dedicadas, listas de bloqueio e registros obrigatórios, e reagem em questão de horas. Já os aplicativos de carteira e de negociação recebem atualizações mais lentamente, passam por menos auditorias e não contam com ninguém para verificar a Transparência de Certificados.
Para quem acessa plataformas de negociação todos os dias, basta lembrar de uma coisa: um certificado válido não significa que o site é verdadeiro. Confira o domínio manualmente, não clique nos anúncios que aparecem nos resultados de busca e não instale aplicativos para computador de origem duvidosa. Isso vale mais do que qualquer outra coisa.
Como você costuma confirmar que está acessando o site oficial? Conte nos comentários.
Clique no avatar para assistir à transmissão ao vivo.
Todos os dias, acompanho com você os principais destaques do mercado de criptomoedas. Não apenas o que está acontecendo, mas também a lógica e as oportunidades por trás das notícias 👀🚀
🕐 最新解读群里更新
As chaves privadas de 8 certificados intermediários da autoridade certificadora indiana eMudhra foram recuperadas de forma independente por uma equipe de segurança. No relatório do incidente, o engenheiro de criptografia da Mozilla, Dennis Jackson, escreveu que o processo de geração dessas chaves tinha falhas — e era tão simples que qualquer um poderia explorá-las ⚠️
O alerta chegou no sábado, 17 de outubro. Até terça-feira desta semana, os quatro navegadores — Google, Apple, Microsoft e Firefox — já haviam bloqueado os certificados. A divulgação oficial estava marcada para 19 de outubro.
Para começar, vamos esclarecer o que é um certificado: é a identidade de um site. O HTTPS depende de o navegador confiar nesse certificado. Se ele for válido, o navegador exibe um cadeado na barra de endereço e o usuário presume que está no site verdadeiro.
Assim, quando é possível recuperar a chave privada de uma autoridade certificadora, um invasor pode emitir certificados para qualquer domínio e, depois, interceptar a conexão dos usuários para roubar senhas e contas ou alterar endereços de transferência. Durante todo o processo, o navegador não mostra nenhum alerta 🔐
O bloqueio foi, na verdade, bastante rápido. O Google colocou os certificados na lista de bloqueio no próprio sábado; a Apple fez isso na segunda-feira e a Microsoft, na terça. Além de bloquear os certificados, o Firefox também lançou atualizações para as versões de computador e Android, impedindo que configurações personalizadas dos usuários contornassem a proteção. A empresa de segurança em nuvem Cloudflare foi informada na segunda-feira e, na terça, atualizou o One, os clientes WARP e o serviço Tunnel.
Um detalhe ainda mais importante: desde abril de 2025, não há nenhum registro desses certificados intermediários nos logs de Transparência de Certificados. Ou seja, até o momento, não há evidências de que algum dos 8 certificados tenha sido realmente usado 💥
Mas não terem sido usados não significa que o sistema não tenha problemas.
Muitos clientes que não são navegadores sequer verificam a Transparência de Certificados. Aplicativos de carteira, versões para computador de plataformas de negociação, plugins de cotações e scripts de negociação automatizada estão entre eles. Eles apenas verificam a cadeia de certificados, sem conferir se o certificado foi registrado nos logs. Em outras palavras, os navegadores já estão seguros, mas não dá para ter certeza quanto aos aplicativos instalados no seu celular.
O incidente da DigiNotar, em 2011, serve de alerta. Na época, hackers invadiram essa autoridade certificadora holandesa e emitiram 531 certificados falsos para se passar por serviços do Google. Cerca de 300 mil contas iranianas do Gmail foram monitoradas. No fim, a empresa fechou as portas.
Na minha opinião, o verdadeiro risco desse tipo de incidente já migrou dos navegadores para as carteiras e outros clientes. Os fabricantes de navegadores têm equipes dedicadas, listas de bloqueio e registros obrigatórios, e reagem em questão de horas. Já os aplicativos de carteira e de negociação recebem atualizações mais lentamente, passam por menos auditorias e não contam com ninguém para verificar a Transparência de Certificados.
Para quem acessa plataformas de negociação todos os dias, basta lembrar de uma coisa: um certificado válido não significa que o site é verdadeiro. Confira o domínio manualmente, não clique nos anúncios que aparecem nos resultados de busca e não instale aplicativos para computador de origem duvidosa. Isso vale mais do que qualquer outra coisa.
Como você costuma confirmar que está acessando o site oficial? Conte nos comentários.
Clique no avatar para assistir à transmissão ao vivo.
Todos os dias, acompanho com você os principais destaques do mercado de criptomoedas. Não apenas o que está acontecendo, mas também a lógica e as oportunidades por trás das notícias 👀🚀