«Não clique» já não chega

A 1 de outubro a National Cybersecurity Alliance abriu o vigésimo terceiro mês de sensibilização. A frase cabe num cartaz: Don’t Make It Easy for Them. Não lho ponha fácil. Lisa Plaggemier, a diretora, disse-o sem teatro. O crime conta com o facto de você estar ocupado.

O que o cartaz pede

Quatro hábitos. Palavra-passe longa, num gestor. Segundo fator. Olhar a mensagem que aperta. Atualizar. Nada disto sobra. O phishing não se reformou em setembro.

O que setembro já tinha feito

Entre 28 de agosto e 8 de setembro, a Proofpoint descreveu um kit. Chamaram-lhe BlueMoon. Encadeia duas falhas do motor do Chrome, CVE-2026-85046 e CVE-2026-87491, com uma do Windows, CVE-2026-85880, que sobe privilégios. A Google fechou as do navegador a 3 e a 8 de setembro. A do Windows saiu na terça-feira de patches.

A Ars Technica recolheu a frase que um conselho devia sublinhar. Essas falhas do navegador já estavam corrigidas no código público do Chromium. Ainda não no Chrome estável que as pessoas têm aberto. A Proofpoint chama-lhe um dia zero de patch gap: a correção existe, a sua empresa não a tem.

Isto não é zero cliques

Convém não fazer disto um filme. Pelo menos um uso reportado foi correio dirigido. O kit não demonstra que ninguém teve de abrir nada. Demonstra outra coisa: uma página, ou uma mensagem, contra um navegador que vai atrás da correção já publicada.

Se a única mensagem da empresa neste outubro é o cartaz, você está a treinar o clique e não está a medir o atraso.

O que perguntar na segunda-feira

1. Em que versão está o Chrome da direção, e quem o mede em dias?
2. O plano do mês diz alguma coisa sobre o caso em que a pessoa não é a porta?
3. Quem pode tirar da rede um portátil do conselho antes de o patch chegar?
4. O segundo fator é a resposta que damos também quando a falha não pede palavra-passe?