Campanha teria afetado organizações em 194 países e exige revisão imediata de acessos.
Pesquisadores relataram uma campanha de roubo de credenciais que teria atingido cerca de 75 mil firewalls Fortinet. O caso envolveria 21.632 domínios únicos em 194 países. A Fortinet afirmou que os dados não estão ligados a um incidente recente, mas sim a informações antigas republicadas combinadas com força bruta de senhas.
A publicação relata uma campanha de roubo de senhas que teria atingido cerca de 75 mil firewalls Fortinet ao redor do mundo. O levantamento cita 21.632 domínios únicos em 194 países, um alcance amplo e com forte presença corporativa.
A Fortinet negou que os dados tenham ligação com um incidente recente. Para a empresa, o material seria a republicação de informações de violações anteriores, misturada com tentativas em massa de adivinhar senhas. Ainda assim, qualquer organização que use FortiGate deve tratar o tema como risco real até concluir uma revisão interna.
Segundo o texto analisado, a operação teria explorado autenticações de VPN SSL. A VPN é a porta de entrada que funcionários e parceiros usam para acessar sistemas internos à distância. Quando uma senha válida é roubada, o invasor tenta entrar passando-se por um usuário autorizado.
A campanha também teria envolvido a quebra de versões embaralhadas de senhas com uso de placas de vídeo, tentativas em massa contra FortiGate e servidores MSSQL, além de movimentação para ambientes internos de Active Directory, que controla usuários e permissões na maioria das empresas. Uma senha reutilizada ou fraca pode abrir caminho até outros sistemas críticos.
Organizações com Fortinet FortiGate devem revisar os registros de acesso e procurar comportamentos fora do padrão. Entre os mais relevantes estão:
Um exemplo concreto: se um colaborador sempre acessa a VPN do Brasil em horário comercial e, de repente, surge um login bem-sucedido de outro país durante a madrugada, esse evento precisa ser investigado na hora.
A resposta deve priorizar contas e acessos remotos. Comece redefinindo as senhas dos usuários com acesso à VPN FortiGate, com atenção especial a administradores, terceiros e contas com muitos privilégios. Em seguida, ative a autenticação multifator, para que a senha sozinha deixe de ser suficiente para entrar.
Revisar os logs de VPN, FortiGate, servidores MSSQL e dos ambientes de identidade internos é igualmente essencial. Diante de qualquer indício de acesso suspeito, verifique se a movimentação ficou restrita à VPN ou se houve tentativa de alcançar sistemas internos. Trocar senhas sem entender se alguma conta já foi usada de forma indevida deixa o ambiente vulnerável.
Não necessariamente. O texto descreve uma campanha ampla de credenciais, mas não confirma que todas as organizações citadas tenham sofrido invasão interna. O caminho certo é revisar acessos, trocar senhas e procurar sinais concretos nos logs.
Não. A Fortinet afirmou que os dados não estão ligados a um incidente recente e que seriam republicações de violações anteriores combinadas com força bruta de credenciais.
Ajuda, mas não basta. Se uma senha já foi usada por um invasor, é preciso verificar logs, ativar MFA e investigar se houve acesso a sistemas internos.
A LC SEC ajuda sua organização a revisar acessos remotos, validar controles de MFA, analisar logs e identificar sinais de comprometimento antes que uma credencial roubada vire incidente.
Conheca: Pentest, Threat Intelligence com IA, Conscientizacao de Seguranca, SGSI, Plano Diretor de Seguranca, Auditoria Interna, Governanca de MFA e Cofre TOTP, ISO 42001 - IA, Diagnostico Gratuito de Seguranca. lcsec.io
Fontes:
cybersecbrazil.com.br