FortiBleed expõe quase 74.000 credenciais e reclama reforçar a segurança perimetral

A filtragem conhecida como "FortiBleed" — com quase 74.000 credenciais associadas a dispositivos Fortinet expostas — torna uma realidade que os responsáveis pela segurança conhecem, mas muitas vezes subestimam: as infra-estruturas de perímetro continuam a ser um objetivo primário e rentável para os atacantes. O achado, relatado pelo pesquisador Volodymyr Diachenko e analisado por várias assinaturas de inteligência, inclui usuários, e-mails e senhas em texto plano associadas a firewalls e portas de ligação VPN de organizações de todo o mundo, desde grandes fabricantes até operadores de infraestrutura crítica.

A ameaça não é teórica: CISA advertiu que atores maliciosos usaram credenciais comprometidas para acessar dispositivos Fortinet expostos na Internet, e pediu medidas urgentes de mitigação.

Como em incidentes prévios com dispositivos de rede, as implicações práticas são duas: acesso remoto legítimo para os atacantes (por exemplo, por SSL VPN) e possibilidade de movimento lateral dentro de redes corporativas. Uma vez obtida uma conta administrativa de um firewall pode alterar-se rotas, abrir túneis, exportar configurações ou implantar persistência, o que facilita fraudes, exfiltração de dados ou implantação de ransomware.

O que fará agora (prioridade máxima): assumir compromisso e conter). Se você administra FortiGate ou outra equipe Fortinet exposta, aplique imediatamente as medidas recomendadas pelas autoridades: terminar todas as sessões SSL VPN e administrativas ativas; forçar o restabelecimento de todas as senhas e chaves afetadas; e revogar ou rotar certificados e segredos associados. Além disso, habilita mecanismos de autenticação multifator resistentes ao phishing (FIDO2, certificados OAUTH/PKI ou tokens de hardware) e revoga sessões antigas e tokens persistentes.

Investigação e detecção: registra como incidentes prioritários qualquer início de sessão administrativa fora do horário habitual, mudanças na configuração do dispositivo, regras de firewall recém adicionadas ou a criação de novas contas administrativas. Verifique os logs de VPN, autenticação e gestão, correlacionando-os com fontes EDR/SIEM para procurar comandos suspeitos e sinais de movimento lateral. Assume que, se as credenciais eram válidas, poderiam ter sido usadas para deixar portas traseiras; realiza buscas de persistência e revisa backups e configurações exportadas.

Redução do risco a quente e a frio: a curto prazo, restringe o acesso às interfaces de gestão a redes internas ou a saltos administrativos (bastion/jump hosts) e aplica listas de controle de acesso para limitar IPs autorizados. A médio e longo prazo, elimina a exposição direta do plano de gestão à Internet, segmenta funções críticas, endurece políticas de senhas e armazena credenciais administrativas com algoritmos de derivação de chave modernos (por exemplo, PBKDF2 como recomenda o alerta da CISA). Também revisa e elimina contas não autorizadas ou com privilégios excessivos.

Ferramentas e verificação: várias assinaturas publicaram utilitários e recursos para verificar a afectação. Se você quer verificar rapidamente se o seu org aparece no dataset, Hudson Rock disponibilizou uma ferramenta de busca, e a própria CISA mantém um alerta com medidas e contexto que é imprescindível ler para priorizar ações: verificador FortiBleed de Hudson Rock e a alerta oficial da CISA.

Não te fís das aparências. Especialistas verificaram que muitas das entradas no dataset correspondem a dispositivos que seguem conectados e gerenciados na Internet. A fonte exata do volcado continua sem confirmar: pode ser tratada de configurações exportadas, armazenamento em servidores mal protegidos ou exfiltração após exploração de vulnerabilidades já conhecidas. Por isso, além das mitigações imediatas, sistemaize os dispositivos com urgência e revisa o catálogo de falhas explorados em Fortinet (CISA mantém uma lista de CVE explorados na natureza) para garantir que não haja vetores abertos que permitam recuperar credenciais ou controle.

Lecções estruturais: Este incidente recorda a necessidade de aplicar um modelo de segurança que reduza a dependência de credenciais estáticas: menos gestão exposta à Internet pública; MFA resistente ao phishing; rotação de segredos e certificados; monitorização contínua; e exercícios regulares de simulação de ataques e resposta (breach and attack simulation) para validar detecções e procedimentos. A preparação e o design em camadas ainda são a melhor defesa contra este tipo de grandes vazamentos de credenciais.

Se a sua organização detectar sinais de compromisso ou aparecer em qualquer lista pública, age com a prioridade máxima e coordena fornecedores, parceiros e autoridades reguladoras de acordo com a sensibilidade do ambiente. Mantenha a comunicação interna orientada para a contenção e a remediação e documenta todas as ações para suporte forense e cumprimento. A exposição de FortiGate à Internet já não é apenas uma má prática: em 2026, pode significar uma porta aberta a intrusões de alto impacto.