Abertura
Em um relatório divulgado recentemente, pesquisadores de cibersegurança detalharam uma campanha que visou firewalls de borda expostos, especificamente os dispositivos FortiGate da Fortinet e GlobalProtect da Palo Alto Networks. A operação resultou na coleta de mais de 70 mil credenciais, permitindo que atores maliciosos acessassem redes corporativas em múltiplas regiões. O ataque foi identificado por meio de artefatos que apontam para tentativas de comprometimento adicional em diversas vítimas.
Contexto
Historicamente, firewalls de perímetro são alvos privilegiados devido ao seu papel central na filtragem de tráfego e na aplicação de políticas de segurança. Nos últimos anos, a exposição de interfaces de gerenciamento sem autenticação ou com senhas fracas tem facilitado a exploração por grupos organizados. Nesse cenário, a Fortinet e a Palo Alto Networks lançaram atualizações para mitigar riscos, porém a configuração inadequada ainda persiste em ambientes que não seguem boas práticas. A campanha analisada demonstra que, mesmo com patches disponíveis, a falha humana na gestão de credenciais continua sendo um vetor crítico.
Impacto
Organizações de diferentes setores, incluindo finanças, saúde e tecnologia, relataram a presença de credenciais comprometidas em seus sistemas. A escala de mais de 70 mil contas vazadas eleva o risco de ataques de movimentação lateral, roubo de dados sensíveis e interrupções operacionais. Para as empresas afetadas, a exposição pode significar a necessidade de redefinir senhas, revisar políticas de acesso e conduzir auditorias de segurança extensas. Além disso, a possibilidade de uso das credenciais para infiltrações futuras aumenta a pressão sobre equipes de resposta a incidentes.
Detalhes técnicos
A investigação apontou que os invasores exploraram portas de gerenciamento expostas na internet, muitas vezes configuradas com autenticação padrão ou senhas fracas. Uma vez dentro, eles empregaram scripts automatizados para extrair arquivos de configuração que continham credenciais em texto plano. Em alguns casos, as credenciais foram reutilizadas para acessar servidores internos, VPNs e outros recursos críticos. O método de coleta de dados mostrou-se eficiente ao combinar varredura de endereços IP públicos com tentativas de login em massa, aproveitando a falta de segmentação de rede em ambientes menos maduros.
Encerramento
Até o momento, as empresas afetadas estão sendo notificadas pelos pesquisadores, que recomendam a revisão imediata das configurações de acesso remoto, a aplicação de autenticação multifator e a atualização de senhas administrativas. Especialistas sugerem ainda a implementação de monitoramento contínuo de tráfego de gerenciamento e a realização de testes de penetração regulares para identificar pontos vulneráveis. O relatório original foi publicado pelo The Hacker News, que serviu como fonte para a compilação desta matéria.