Microsoft Paint possui falha grave que possibilita ataques remotos no Windows 11

A Microsoft enfrenta acusações de empregar métodos desleais para promover seu navegador Edge. Essas táticas incluem a exibição de publicidade invasiva e modificações nos padrões de arquivos, visando dificultar a transição dos usuários para outras opções de navegação.

Um relatório elaborado pela Browser Choice Alliance (BCA) detalha dez tais «padrões obscuros» utilizados pela empresa, como a abertura de links diretamente no Edge, mesmo quando outro navegador já está configurado como padrão.

Até o momento, a Microsoft não emitiu declaração oficial sobre estas alegações. Embora seja notório o esforço da Microsoft para aumentar a presença do Edge no mercado, a BCA argumenta que a companhia recorre a estratégias antiéticas para fomentar seu navegador.

A BCA divulgou um documento de 46 páginas que descreve dez «truques sujos» implementados pela Microsoft para este propósito. A BCA é uma coalizão composta por organizações que desenvolvem navegadores e que defendem, primariamente, o direito dos usuários do Windows de selecionar livremente qual navegador utilizar. Entre os membros desta aliança estão empresas como Google, Vivaldi, Opera, Midori, Wavebox e BrowserWorks.

Este relatório foi produzido pela Behavioural Insights Team (BIT) e descreve, fundamentalmente, as estratégias que a Microsoft estaria aplicando para impedir que os usuários migrem do Edge para um navegador concorrente. Tais estratégias são classificadas como «dark patterns», ou seja, «padrões obscuros» em tradução livre. Estes padrões referem-se a abordagens técnicas ou de design que buscam levar o usuário a executar ações que ele não faria voluntariamente.

Quais são os padrões obscuros adotados pela Microsoft em relação ao Edge?

O estudo realizado pela BIT identifica dez padrões obscuros, distribuídos em três categorias distintas (ou fases).

Categoria 1: Da instalação de um navegador alternativo

Nesta primeira categoria, são observados os seguintes pontos: anúncios intrusivos, onde o usuário encontra banners ou chamadas em serviços como Bing ao usar o Edge para pesquisar sobre outros navegadores, tentando convencê-lo a permanecer no Edge; alteração fragmentada de padrões, na qual a Microsoft tenta estabelecer o Edge como padrão para formatos de arquivos específicos (como PDF), obrigando o usuário a redefinir o software de sua escolha para diferentes tipos de arquivos múltiplas vezes; e a restrição do Modo S, que impede a instalação de navegadores rivais se o Windows estiver operando no Modo S (um modo restrito focado em segurança).

Categoria 2: Do uso forçado do Edge

Os mecanismos de uso forçado incluem a barra de pesquisa do Windows, que abre resultados de buscas locais no Edge mesmo havendo outro navegador configurado como padrão; widgets e links na tela de bloqueio, que também abrem resultados no Edge apesar da configuração padrão ser outra; o feed de notícias, pois as notícias em destaque no Windows 10 abrem no Edge quando outro navegador está definido como padrão; links presentes no Outlook e Teams, que abrem automaticamente no Edge, exigindo que o usuário configure esse comportamento manualmente para outro navegador; o bloqueio de ferramentas de terceiros que tentam impedir o redirecionamento de links para o navegador da Microsoft; e a abertura forçada de abas no Edge logo após o login, permitindo que o sistema inicie o Edge automaticamente, mesmo que um navegador diferente esteja selecionado como padrão.

Categoria 3: Da atualização do sistema operacional

Por fim, a terceira categoria trata da configuração inadequada após atualizações do sistema, onde a Microsoft tenta novamente definir o Edge como padrão após o Windows receber uma grande atualização.

Usuários do Microsoft Authenticator para Android devem garantir que possuem a versão mais recente do aplicativo instalada em seus dispositivos. Essa atualização corrige uma vulnerabilidade crítica que poderia possibilitar a um invasor o acesso às credenciais de autenticação em diversos serviços.

A falha foi identificada pela empresa de segurança digital Enclave e recebeu uma pontuação de 8,6 (em uma escala de 10) no sistema CVSS 3.1, indicando um nível de severidade muito alto. Segundo a Enclave, um atacante poderia explorar essa vulnerabilidade criando um aplicativo para Android, mesmo sem possuir permissões especiais, fingindo ser um aplicativo oficial da Microsoft para forçar o Authenticator a enviar tokens de autenticação correspondentes.

Com esses tokens em mãos, o invasor conseguiria obter acesso às contas do usuário em múltiplas plataformas. Em testes realizados pela Enclave, foi possível acessar informações confidenciais, como e-mails, agendas e arquivos.

A Enclave notificou a Microsoft sobre a vulnerabilidade, e esta reconheceu o problema através do registro CVE-2026-80097, que foi tornado público em 8 de setembro de 2026. Embora os detalhes técnicos tenham sido divulgados pela Enclave somente recentemente, a comunicação inicial ocorreu prontamente.

Para mitigar o risco, recomenda-se instalar a versão 6.2606.4246 ou superior do Microsoft Authenticator. É possível verificar a versão instalada no celular ou tablet Android acessando a página do Microsoft Authenticator na Google Play Store.

O Microsoft Authenticator é um aplicativo compatível com Android e iOS que facilita a autenticação de dois fatores em inúmeros serviços. Além disso, ele serve para gerar códigos de verificação temporários para logins e permite o acesso a certos serviços da Microsoft sem a necessidade de digitar senhas.

A Microsoft anunciou a oferta a vários funcionários na Índia e em outros três países a possibilidade de deixar o emprego por vontade própria. De acordo com os dados disponíveis, cerca de 60.000 trabalhadores têm direito a participar deste programa de indenização. Este anúncio gerou grande preocupação entre o pessoal da empresa.

Um dos desenvolvedores de software indianos partilhou a sua experiência após receber tal oferta. Ele relatou ter recebido o e-mail correspondente apenas três meses após começar a trabalhar na Microsoft.

Este funcionário publicou a sua história na plataforma social Reddit. O utilizador com o nome de utilizador clock-maker365 publicou um post no subreddit r/developersindia. Na sua mensagem, ele expressou grande apreensão, notando que se juntara à Microsoft há apenas três meses e tinha conhecimentos muito limitados da base de código. Esta publicação inicial foi posteriormente removida.

O desenvolvedor recebeu um e-mail apenas algumas horas atrás, estabelecendo uma data limite para tomar uma decisão sobre o futuro — 1 de dezembro. O post mencionava que o e-mail chegou cerca de três horas antes da publicação. A Microsoft oferece a 60 mil funcionários a possibilidade de reforma voluntária. A essência da oferta é receber uma compensação financeira ao encerrar a carreira na Microsoft em 31 de dezembro. O prazo final para submissão do pedido é 1 de dezembro.

O desenvolvedor esclareceu no seu post que este e-mail não foi enviado a todos os funcionários da empresa. Ele salientou que, embora a oferta seja dirigida a muitos, ela foi recebida apenas por algumas pessoas selecionadas, e ele é uma delas. O desenvolvedor afirmou que, mesmo que recusasse a oferta, a Microsoft poderia despedi-lo da empresa. Ele supôs que receber tal e-mail significava que o seu nome estava na lista de cortes, e a empresa garantiria a sua saída de alguma forma.

A Microsoft ainda não comentou as preocupações sobre o início de uma nova ronda de demissões. No entanto, no início deste ano, a empresa já oferecera a alguns funcionários seniores a possibilidade de reforma voluntária, resultando no despedimento de cerca de 4.800 pessoas.

O desenvolvedor também expressou profunda confusão, notando que, apesar de ter trabalhado arduamente nos últimos três meses, está extremamente preocupado com o seu futuro. Ele questionou por que razão trabalhou tanto para acabar nesta situação instável no mercado de trabalho de uma grande corporação? Ele recorreu aos utilizadores do Reddit pedindo conselhos sobre o seu futuro, pois não tinha um plano B. Ele informou que tem três anos de experiência, não possui um negócio familiar e dispõe de apenas seis meses de fundos. Mencionou que pode trabalhar com DSA, mas duvida da procura por essa competência, considerando-a uma das menos úteis. Ele perguntou o que deveria fazer.

Embora o post tenha sido removido do Reddit, o desenvolvedor informou em resposta a um comentário o valor do pacote de indemnização que lhe foi oferecido. Foi-lhe oferecida uma compensação equivalente a dois ou três salários básicos mais uma semana de salário básico, além de duas semanas de salário básico pelos seis meses de trabalho. Outro utilizador observou que ter a Microsoft no currículo ajudaria o desenvolvedor a encontrar facilmente um novo emprego, afirmando que quem pode trabalhar na Microsoft pode ter sucesso em qualquer empresa. Outro utilizador declarou que se juntou à empresa há um mês e recebeu a mesma oferta, aconselhando o interlocutor a poupar e preparar-se, pois o mercado para quem trabalha na MSFT não é tão mau.